Selamlar,
V12'nin 22 Ekim 2026 bulgularına göre, YZ ajanlarının API çağrılarını kripto ile ödemesini sağlayan x402 SDK'larında kritik hatalar vardı. Varsayılan istemci 18 Ağustos 2026'ya kadar harcama limiti koymuyordu; kötü amaçlı bir API, ajanın desteklenen token bakiyesinin tamamını isteyebiliyordu. x402 Foundation (Coinbase'in Linux Foundation'a devrettiği proje) üç kritik hatayı Ağustos sürümlerinde kapatmış; ancak güvenlik danışması yayımlanmadığı için npm audit / PyPI uyarısı görünmüyor.
Konuda anlatılacaklar
- Üç kritik hata
- Kimler etkileniyordu?
- Hangi sürüme geçilmeli?
- Politika önerileri
1. Üç kritik hata
- Harcama limiti yok: Varsayılan istemci listedeki ilk ödeme seçeneğini imzalıyordu; tutar sınırı yoktu.
- Solana ödeme atlatma (yalnızca TypeScript): Facilitator, token transferi yerine approval talimatını geçerli ödeme sayabiliyordu.
- SIWx oturum açma: Otomatik istemci, mesajdaki site ile gerçek 402 yanıtını veren siteyi karşılaştırmadan imza atıyordu; başka bir siteye giriş mümkün olabiliyordu.
2. Kimler etkileniyordu?
Otomatik imzalayan ve uygulama katmanında harcama politikası koymayan ajanlar. Elle onaylayan veya kendi limitini yazan uygulamalar daha az risk altındaydı.
3. Hedef sürümler (23 Ekim itibarıyla)
Kod:
TypeScript @x402/core / fetch / axios / svm / extensions 2.28.0
Go v2.28.0
Python 2.25.0
Harcama fix @x402/fetch veya @x402/axios >= 2.23.04. Politika önerileri
- Ödeme başına ve kümülatif bütçe koyun.
- İzinli token, ağ ve alıcı beyaz listesi tanımlayın.
- SIWx mesajında site eşleşmesini doğrulayın.
- Yalnızca npm audit'e güvenmeyin; sürümü sabitleyin ve changelog okuyun.
YZ ajanlarınıza otomatik ödeme yetkisi veriyor musunuz? Limit nasıl tanımlı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar