31 kwetsbaarheden in x402-crypto-betalingen stellen 99% van transacties bloot aan diefstal en gratis-winkelen-aanvallen

Beveiligingsonderzoekers hebben het x402 crypto-betalingsprotocol grondig onder de loep genomen en daarbij 31 afzonderlijke kwetsbaarheden in kaart gebracht bij 15 operators die samen 99% van de waargenomen transacties verwerken — en bevestigden daarbij zowel diefstal van tegoeden als gratis-winkelen-exploits als reële, aangetoonde aanvalscategorieën, aldus CryptoSlate.

Ethereum

ETH

Bekijk coin →

$2.398,96 ▼2,00%

Marktkapitalisatie · $293.01B

De timing is wreed. De crypto-infrastructuur ligt deze maand al onder zware vuur, en deze onthulling plaatst x402 op een groeiende lijst van betalings- en bridge-protocollen waarvan de veiligheidsaannames onder kritische blik zijn gebarsten.

Wat is x402?

x402 is een crypto-native HTTP-betalingsprotocol, genoemd naar statuscode 402 — “Payment Required”. Het is ontworpen om machine-tot-machine- en API-niveau-micropayments op blockchain-rails mogelijk te maken en presenteert zichzelf als fundamentele infrastructuur voor pay-per-use internetdiensten; het verkoopverhaal is helder: in plaats van abonnementsmuren of door advertenties ondersteunde API’s, stuurt een server HTTP 402 terug en betaalt een client in crypto om door te gaan. Die architectuur maakt de beveiliging van operators essentieel. Als de entiteiten die deze micropayments daadwerkelijk verwerken kwetsbaar zijn, stort de kernwaarde van het protocol — frictieloze, trust-minimized facturering — precies in op het moment dat gebruikers transacties uitvoeren.

De kwetsbaarheden

Eenendertig afzonderlijke gebreken. Vijftien operators. Twee van die gebreken zijn bevestigd als “gratis-winkelen”-aanvallen — onderzoekers toonden in de praktijk aan dat goederen of diensten verkregen konden worden zonder dat er legitiem betaald hoefde te worden. Diefstal van tegoeden werd vermeld als bevestigde aanvalscategorie, niet als theoretisch scenario. Andere high-impact tests waren “bewust afgebakend”, wat betekent dat de onderzoekers hun eigen exploitatie beperkten om daadwerkelijke financiële schade tijdens het testen te voorkomen — en die terughoudendheid is relevant, omdat het suggereert dat het werkelijke aanvalsoppervlak zich mogelijk ver uitstrekt voorbij wat formeel is aangetoond, en een ongemakkelijke vraag oproept: of kwaadwillenden dezelfde paden al in kaart hebben gebracht.

Omvang en systeemrisico

Het percentage van 99% is waar het rapport echt verontrustend wordt. Deze 15 operators vormen geen willekeurige steekproef uit een gefragmenteerd ecosysteem. Ze domineren het waargenomen transactievolume van x402, punt uit. Een kwetsbaarheid die ze allemaal treft, is geen randgeval; het is een vrijwel volledige blootstelling van de actieve protocolomgeving, en elke gebruiker die via de x402-rails transacties verricht, passeert statistisch gezien een operator met minstens één ongepatcht gebrek. De concentratie zelf is al een structureel falen — een protocol dat bijna al zijn verkeer via een handvol tussenpartijen laat lopen, erft elk van hun individuele veiligheidslekken.

Bredere veiligheidscontext

De bredere context maakt dit moeilijker weg te wuiven. Het crypto-betalingsbedrijf Triple-A zou naar verluidt zijn getroffen door een lediging van een hot wallet ter waarde van $9,7 miljoen, al is dat cijfer afkomstig van een Reddit-post en nog niet bevestigd door een officiële verklaring van het bedrijf of een grote nieuwsbron — beschouw het als een onbevestigde claim. Daarnaast is deze maand $31,7 miljoen aan ETH$2.398,96▼2,00% bridge-ledigingen gedocumenteerd. Het patroon houdt stand: componenten op infrastructuurniveau — betalingsverwerkers, bridges en nu betalingsstandaarden op protocolniveau — worden systematisch aangevallen, en de mislukkingen blijven niet beperkt tot obscure DeFi-experimenten; ze treffen bedrijven en protocollen die reëel afwikkelingsvolume verwerken.

Het marktsentiment weerspiegelt de druk. De Fear & Greed Index staat op 30 van de 100, stevig in “Fear”-territorium per 27 juli 2026. De totale marktkapitalisatie van crypto bedraagt ongeveer $2.313,2 miljard bij een 24-uursvolume van $55,2 miljard. BTC$80.965,00▼1,62% noteert rond $65.005, een stijging van 0,8% op de dag. Ethereum won 3,7% en staat op $1.956. Geen van beide bewegingen duidt op paniekverkopen — maar een stand van 30 op de sentimentindex laat zien dat marktpartijen al rekening houden met een verhoogd risico in de hele sector, en een onthulling als deze helpt daar niet tegen.

Onzekerheden en hiaten

Wat het rapport weglaat, is net zo veelzeggend als wat het vermeldt. Geen patchstatus. Geen CVE-identificaties. Geen tijdlijn voor responsible disclosure. Het is onduidelijk of de 15 getroffen operators formeel zijn geïnformeerd, of een van hen al heeft hersteld, of de kwetsbaarheden al in het wild worden misbruikt buiten de twee door onderzoekers bevestigde gevallen; de identiteit van het onderzoeksteam — onafhankelijk beveiligingsbedrijf, academische groep of white-hat-collectief — wordt in het beschikbare bronmateriaal niet gespecificeerd, en het onderliggende onderzoeksrapport is niet publiekelijk gelinkt.

Die hiaten laten gebruikers met niets concreets achter. Ze kunnen niet bepalen of hun transacties vandaag veilig zijn, of ze dat morgen zullen zijn, of dat de gebreken al zijn ingezet als wapen door iemand die minder voorzichtig is dan degenen die ze vonden. Voor een protocol dat zichzelf presenteert als de betalingslaag voor machine-tot-machine internethandel, is die onzekerheid op een specifieke manier schadelijk — x402’s argument is dat crypto-rails de factureringsinfrastructuur van het web kunnen vervangen, en op dit moment loopt 99% van de actieve transacties via operators met bevestigde, ongepatchte kwetsbaarheden. De volgende test voor het protocol is niet adoptie. Het is of de operators 31 veiligheidslekken kunnen dichten voordat iemand met minder terughoudendheid dan het onderzoeksteam dezelfde lekken vindt.