미국의 보안 연구팀이 발표한 ‘When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments’ 보고서에 따르면, 코인베이스(COINBASE)를 포함해 총 15개의 결제 인프라 제공자가 최소 한 번 이상의 보안 규칙 위반 사례를 확인받았다. 연구진은 49건의 규칙 위반과 31개 취약점을 찾아냈으며, 이 중 6건이 실제 공격으로 검증된 것으로 드러났다.
보고서에 따르면 x402는 HTTP 402 결제 요청 흐름을 블록체인 정산과 연결해, 주요 퍼실리테이터가 결제 증명 검증과 온체인 정산을 동시에 담당하도록 설계했다. 연구진은 보안 규칙 8개를 설정하고, 15개 플랫폼에 대해 블랙박스 테스트를 수행했다. 그 결과는 x402 거래의 99%와 결제 규모의 98%가 취약점이 존재함을 시사시켰다.
실제로 검증된 공격 경로는 총 6건이다. ‘프리 쇼핑’ 서비스에서 결제 정산 전 서비스를 제공받는 두 경우, ‘가스 남용’으로 퍼실리테이터가 네트워크 수수료를 대신 내는 세 경우, 그리고 한 건의 데이터 유출이 확인됐다. 취약점의 핵심은 검증과 정산 사이에 발생하는 간극이며, 퍼실리테이터가 결제 증명을 유효하다고 판단해도 온체인 정산이 실패할 수 있다. 이 상황에서 상인이 디지털 서비스나 API 접근권을 먼저 제공하면 대금을 받지 못할 위험이 존재한다.
연구진은 31개 취약점을 49건의 규칙 위반에 매핑했으며, 특히 ERC‑6492와 관련된 카운터팩추얼 서명 처리에서 자산 탈취 위험이 두드러웠다. 가스 남용 사례는 퍼실리테이터가 거래 수수료를 대신 내는 구조에서 나타났다. 베이스와 솔라나의 최근 1억1900만 건 거래에서 x402 관련 정산은 약 20만2000 달러(≈2억9700만원)의 네트워크 수수료를 소모했다. 이 중 약 5800 달러(≈822만원)는 되돌려졌거나 실패한 거래에서 손실된 것으로 보고되었다.
x402는 이미 실사용 통계를 쌓고 있으며, x402.org는 최근 30일 기준으로 거래 7541만 건, 결제 규모 2424만 달러(약 356억 원), 구매자 9만4060명, 판매자 2만2000명을 공개하고 있다. 연구진은 베이스와 솔라나에서 1억건 이상 거래와 2800만 달러(≈397억 원) 규모 결제를 처리했다고 발표했다. 이러한 결과는 x402가 단순한 실험을 넘어 결제 인프라 문제로 부상되고 있음을 시사시켰다.
연구진은 2026년 1월 14개 대상에게 사전 통보했고, 2월 6일 기준으로 코인베이스, PayAI, Mogami 등 6개의 취약점을 확인했으며 일부는 수정됐다고 밝혔다. 그러나 공개 기록만으로 어떤 취약점이 실제 운영 환경에 남아 있는지는 확정되지 않는다.