ช่องโหว่วิกฤตใน x402 SDK เปิดทาง API อันตรายดูดยอดโทเคนทั้งกระเป๋าของ AI agent — V12 พบ 25 จุด แก้เงียบโดยไม่มี advisory
บริษัท V12 เปิดเผยเมื่อ 22 ตุลาคม 2569 ว่าพบ 25 ช่องโหว่ใน SDK ของ x402 มาตรฐานชำระเงินผ่าน HTTP 402 สำหรับ AI agent โดย 3 จุดอยู่ในระดับวิกฤต จุดแรกคือไคลเอนต์ไม่มีเพดานจ่าย ทำให้ API อันตรายขอเงินเต็มยอดกระเป๋าได้ จุดที่สองคือ facilitator ฝั่ง Solana ใน TypeScript ยอมรับธุรกรรม approve แทนการโอน และจุดที่สามคือ agent ลงนามล็อกอินให้เว็บไซต์อื่น ทั้งหมดแก้แล้วเมื่อ 18 สิงหาคม แต่ไม่มี advisory ทำให้ npm audit และ PyPI ไม่เตือน