엄선된 준의 식견

https://news.kbs.co.kr/news/pc/view/view.do?ncd=8621941 유 전 시장 부부는 보유 가상자산 2만 1천 개를 해외거래소로 이전해 지방선거 후보자 재산 신고에서 고의로 누락했다는 의혹을 받고 있습니다.

: : 포필러스, 국내 대학 블록체인 학회 대상 "Four Pillars Research Challenge 2026" 개최 포필러스가 국내 주요 대학 블록체인 학회를 대상으로 총 상금 $8,000 규모의 리서치 경진대회인 "Four Pillars Research Challenge 2026"을 개최합니다. 솔라나(Solana), 메타마스크(MetaMask), 칸토8(Cantor8), 서프 AI(Surf AI)가 스폰서로 참여하여 4개의 리서치 트랙이 존재하며, 참가 학회들에게는 더블록 프로(The Block Pro)와 서프 AI의 유료 구독 계정이 제공될 예정입니다. 공정한 대회 진행을 위해 참가 신청부터 리서치 작성, 제출은 전부 익명으로 진행되며, 10월 1일 저녁에는 해시드 라운지에서 시상식 및 학회 중심의 행사가 있을 예정이니 많은 관심 부탁드립니다. [상금 및 특전] • 총 상금: $8,000 • 각 리서치 트랙당 1위 1팀($1,000), 2위 1팀($500), 3위 2팀($250) 수상 예정 • 각 트랙별 수상팀의 리서치는 포필러스 채널에 배포될 예정이며, 솔라나 트랙의 우수작은 추후에 솔라나 공식 채널에 업로드 될 예정 [리서치 트랙] • 솔라나 트랙: Solana Blockchain Core (Alpenglow, SIMD, Firedancer, etc.) • 메타마스크 트랙: LLMs for Security, Formal Verification, or AI-assisted Smart Contract Security • 칸토8 트랙: PoS Economic Security Rises of RWA or Legal/Criminal Risks of Public-Chain Stablecoin Issuance • 서프AI 트랙: Open-Topic Research with Surf AI [일정] • (~08/02) 대회 참가 신청 • (08/03~09/06) 리서치 작성 및 제출 • (09/07~09/13) 심사 • (10/1) 시상식 및 오프라인 행사 📱 X 포스트 📰 관련기사 (1/2/3/4) 문의: @eth100y FP Website | Telegram (EN / KR) | X (EN / KR)

: : [크립토/코멘트] x402에는 ‘중앙화된 책임’이 필요하다. 작성자: 준

x402의 취약점은 결국 신뢰의 비용을 아무도 지지 않은 결과이며, 프로토콜은 열어두되 그 비용을 감당할 중앙화된 책임 주체를 세우는 것이 현실적인 방향이라고 생각됩니다.

🌎 코멘트 전문 (X / 웹사이트) FP Website | Telegram (EN / KR) | X (EN / KR)

MoonPay and Tempo Announce Ecosystem Partnership to Power Stablecoin Payments > PathUSD and USDC.e on Tempo are live across MoonPay's Ramps and Virtual Accounts, along with native onramping support in Tempo Wallet. Source: https://x.com/moonpay/status/2081726668926861567

6/ 이상, 퇴근길에 'x402 망했다' 뉴스 보고 밥 먹자마자 달려와서 부랴부랴 읽고 남겨보는 의견입니다 식겁했네요

5/ 결국 그러한 시장이 온다고 하더라도, 지금 당장 드는 생각은 어그리게이터도 어느정도 인증된 기관이나 프로젝트들이 해야하지 않나 싶고(ex) Coinbase) 이러한 점에서 orthogonal(https://x.com/orthogonal_sh)과 같은 프로젝트들이 더욱 주목받지 않을까 하네요

4/ 결국 여기서 또 블록체인/탈중앙화의 아이러니가 나온거 같네요. x402가 겨냥하는 시장은 원래 누구나 API를 팔 수 있는 개인과 소규모 공급자들의 마이크로페이먼트 시장인데, 완벽한 패널티 매커니즘(카드의 차지백같은)을 구현하지 않는 이상 컨슈머와 머천트를 동시에 보호하려는 탈중앙 설계는 필연적으로 실패할수 밖에 없다고 생각이 드네요

3/ 결국 논문으로 돌아가면, 이 공격 벡터들이 나오는 근본 원인은 세 가지 설계 결정으로 나온다고 생각하는데: 첫째, verify가 nonce 소비나 자금 예약 없는 stateless 검사, 사실상 prediction에 그친다는 점 - 카드 결제의 authorization이 자금을 실제로 묶는 상태 변경인 반면, x402의 verify는 "settle 시점에도 유효할 것"이라는 예측일 뿐 보증이 아니므로 취약점 생길 가능성 농후 둘째, 소비자와 머천트를 동시에 보호하려다 보니 verify - execute - settle이라는 분리 구조가 나옴. - 온체인 정산은 되돌릴 수 없으므로 business logic이 성공한 뒤에만 정산해야 하는데, 이 순서가 verify와 settle 사이에 어느 당사자도 책임지지 않는 상태 구간을 만든다. 셋째, gas와 rent 부담을 facilitator에게 이전함. - 지갑에 native token이 없는 에이전트도 결제하게 하려는 선택인데, 그 순간 공격자 통제 입력이 facilitator 비용으로 직결 낙관적으로 보면, Cloudflare Monetization Gateway처럼 검증된 빅테크의 수직 통합 모델에서는 이 문제들이 그렇게 큰 문제를 야기하지는 않는데: - 게이트웨이가 reverse proxy로 앉아 있어 origin이 리소스를 만들어놓아도 정산이 확정될 때까지 응답을 반출하지 않으면 되고(release를 settle 뒤로 미루는 것) - gas와 rent도 자신이 fee payer라 통제 가능 . 다만 이건 취약점을 제거한 것이 아니라 다수의 분산된 구현 버그를 소수의 집중된 신뢰 가정으로 치환한 것에 가깝다. 논문 §7.1이 지적하듯 이미 서버의 93% 이상이 단일 facilitator에 묶여 있고, 선도 facilitator의 결함은 곧 생태계 전체의 노출로 번진다. 빅테크 모델은 통합 버그를 없애는 대가로 이 집중 리스크를 오히려 키운다.

https://www.youtube.com/watch?v=IH7LtXoC6CA&t=17s 요거 온체인버전이네요

재미있는 공격 1) x402에서 퍼실리테이터의 주된 역할은 가스 스폰서링(EIP3009, EIP2612, ..) -> EVM과 다르게 솔라나는 ATA신규 수취인 처리를 위한 초기화 과정에서 0.002SOL (165byte) 필요 -> 그러면 공격자가 payload구성시, 서비스 제공자 역할하는 지갑(A)을 임의로 하나 생성해서 페이로드 구성 -> 해당 페이로드를 퍼실리테이터로 보내서 온체인 정산 시작, verify/settle하는 과정에서 퍼실리테이터는 0.002SOL을 (A) 지갑에 제공 -> 렌트피가 (A)에 전달되면 바로 해당 수수료 회수(Sol-Incinerator) 쓰는것처럼 -> 퍼실리테이터에게서 0.002SOL 갈취 성공!

과거 트랜잭션에 대한 Ground Truth가 없어서 이 공격이 확실하다는 증거는 없지만 논문에서는 전체 ATA의 60.59%가 토큰 transfer 3회 미만에서 폐쇄됐고, Gini 계수 0.664. 극단적 tail 행동과 빠른 폐쇄 패턴을 들어 리스크 증거로 설명했습니다

이건 오히려 훨씬 잘썼다 싶었는데 시스템보안 학계 최고권위자가 교신저자로 들어가있네요. 논문 하나하나가 주옥같다 https://scholar.google.com/citations?user=9cFCY5wAAAAJ&hl=ko&oi=ao

3/ 자세히는 못봤지만 예로들어 공격벡터중 하나로 제시한 Free Shopping은, 공식 결제플로우가 verify->execute(서비스요청)->settle인점을 착안하여 settle이 실패했지만 execute된점을 이용한 공격인데

2/ https://arxiv.org/html/2607.19545 새로운 논문이 나왔군요 한번 뜯어보죠

1/ 예전에 공유해 드린 논문인데, 아마도 이러한 공격 벡터들을 기반으로 조사가 진행되지 않았을까 추측해 봅니다. 사실 공식 문서에 나와 있는 결제 플로우만 보더라도 쉽게 예상할 수 있는 공격 방식들(예: 비동기식 블록체인 정산)이 존재합니다. 바로 이런 취약점들 때문에, 실제로는 기존 결제 플로우를 그대로 쓰기보다 약간 변형해서 사용하는 경우가 대부분입니다. (예: 클라우드플레어의 Monetization Workflow)

Five Attacks on x402 Agentic Payment Protocol [출처] x402의 공격 벡터를 다룬 논문이 arxiv에 8시간 전에 공개되었네요, 재미있게 한번 읽어보겠습니다

[x402 암호화폐 결제망에서 31개 취약점 발견..거래 99% 노출 위험] 크립토슬레이트에 따르면 HTTP 기반 암호화폐 결제 표준인 'x402'를 지원하는 주요 서비스 제공 업체들에서 31개의 신종 취약점이 발견됐다. 이번 조사는 전체 거래의 99%를 차지하는 15개 업체를 대상으로 진행되었으며, 모든 업체에서 결제 검증 및 정산 규정 위반이 확인됐다. 발견된 취약점은 무단 이용, 자산 도난, 서비스 거부, 가스비 남용 등 4가지 유형이다. 특히 정산이 완료되기 전 서비스를 제공하는 허점을 노린 '무단 이용(Free shopping)' 사례 2건이 검증됐다. 코인베이스, PayAI 등 주요 업체들은 관련 취약점을 인정하고 보완 작업에 나섰다. 연구진은 가맹점들에게 사전 검증에만 의존하지 말고, 최종 정산 확인 후 서비스를 제공하거나 명시적인 롤백 로직을 도입할 것을 당부했다. https://coinness.com/news/1163979

처음으로 프로젝트 매니저(PM)라는 맥용 데스크톱 앱을 만들어봤습니다. 개발할때 로컬에 여러 포트 띄우고 백그라운드에 뭐 돌고 있는지 명령어로 확인하고 리소스 관리하기 귀찮아서 하나 만들어서 쓰니까 나름 편리하더라구요. 써보시고 피드백 좀 부탁드립니다... https://github.com/heun630/pm

GPT-5.6에게 간단한 자료 조사를 맡기면서 전체 액세스 권한을 열어뒀는데, 관련 스킬을 사용하라고 따로 지시하지 않았음에도 AgentCash를 통해 필요한 이미지를 수집·중계 업로드하고, 그 과정에서 발생한 $0.02를 x402로 자동 결제하네요. 물론 전체 권한을 줬으니 가능한 동작이긴 하지만, 에이전트가 필요한 유료 리소스를 스스로 판단하고 결제까지 마치는 흐름을 실제로 보니 꽤 신기해서 공유드립니다 ㅋㅋㅋ

https://x.com/0xdeployer/status/2081172427321856403?s=46 🤯