Sicherheit im x402-Protokoll: der Two-Phase Gap erklärt

Am 23. Juli hat Coinbase angekündigt, dass jedes Unternehmen mit drei Zeilen Code Zahlungen von AI Agents annehmen kann. Das CDP x402 SDK ist live. Die technische Hürde ist damit praktisch weg.

Zwei Tage zuvor hatte eine Arbeit, die für USENIX Security 2026 angenommen wurde, 15 große Facilitator des x402-Protokolls getestet. Verstöße in jedem einzelnen.

Zwischen Mai und Juli 2026 haben drei unabhängige Forschungsgruppen Sicherheitsanalysen zum x402-Protokoll veröffentlicht. Ihre Ergebnisse laufen auf ein strukturelles Problem hinaus: den Two-Phase Gap. Wer Infrastruktur für agentische Zahlungen baut, sollte diesen Text lesen.

Was ist der Two-Phase Gap?

Inkonsistenzen im Settlement-Pfad. Eine Reorganisation der Blockchain, nachdem der Server eine Ressource ausgeliefert hat, kann die Zahlung zurückdrehen. Die Ressource bleibt ausgeliefert. Unter realistischen Bedingungen haben die Forscher für solche Revert-Grants Wahrscheinlichkeiten von bis zu 5,18 % gemessen. Eine zweite Untervariante ist direkter: Ein Angreifer sieht den `X-PAYMENT`-Header unterwegs, reicht die Autorisierung zuerst ein, verbraucht die Nonce und blockiert das Settlement der legitimen Zahlung.

Replay über die Grenze zwischen HTTP und Chain. Die Blockchain verhindert Double Spending über Nonces. Die HTTP-Ebene bekommt diese Information nicht immer rechtzeitig. Gewährt der Server Zugriff, bevor er atomar festhält, welche Zahlungsidentitäten schon verwendet wurden, kann derselbe Nachweis mehrere Ressourcen freigeben. Im Testnet: 248 Freigaben aus einer einzigen Zahlung. [1]

Cache-Leakage. x402 legt Zahlungsmaterial in gewöhnliche HTTP-Header. Gewöhnliche HTTP-Infrastruktur behandelt diese Antworten mit gewöhnlichen Caching-Voreinstellungen. Mit den Standardeinstellungen von nginx haben die Forscher 100 % Cache-Leakage gemessen: bezahlte Antworten vollständig sichtbar für Clients, die nichts bezahlt haben. [1]

Manipulation der Server-Auswahl. Bevor x402 überhaupt läuft, muss ein AI Agent auswählen, welchen Dienst er bezahlt. Discovery-Ebenen, die einen Servicekatalog per LLM-Relevanzranking verdichten, sind angreifbar. Ein einzelner präparierter bösartiger Server kam in Tests auf eine Auswahlrate von 71,8 %. Fünf Sybil-Server erreichten zusammen 60,2 %. [1]

Die Ursache ist bei allen vier dieselbe: HTTP setzt synchrone Atomarität voraus. Die Blockchain setzt probabilistische Finalität voraus. x402 überbrückt beides, ohne die Lücke zwischen diesen Annahmen zu schließen.

Das Ausmaß: 15 Facilitator getestet, alle 15 durchgefallen

Eine Arbeit, die am 21. Juli 2026 bei arXiv eingereicht und für USENIX Security 2026 angenommen wurde, hat den Blick auf produktive Deployments ausgeweitet. [2] Die Forscher haben 15 große x402-Facilitator getestet, die 60.000 Verkäufer und 360.000 Käufer bedienen.

Verstöße bei allen 15.

Die Angriffskategorien decken die gesamte wirtschaftliche Oberfläche ab: unbefugter Zugriff auf Dienste ohne Zahlung (Free Shopping), Diebstahl von Assets, die Facilitator verwahren (Asset Theft), Störung der Zahlungsfunktion (Service Denial) und unbegrenzter Missbrauch von gesponsertem Gas (Gas Abuse).

Coinbase und andere Betroffene haben nach der verantwortungsvollen Offenlegung Gegenmaßnahmen umgesetzt. Vorgestellt wird die Arbeit im August 2026 auf der USENIX Security.

Eine dritte unabhängige Arbeit (arXiv 2605.30998, Mai 2026) dokumentiert weitere Schwachstellenklassen und zeigt mathematisch, dass Pay-per-Token-Preismodelle eine strukturelle Manipulationslücke haben: Angreifer können Wert aus ehrlicher Preisbildung ziehen, bevor Gegenmaßnahmen greifen. [3] Die vorgeschlagenen Abwehrmaßnahmen senken den Hebel des Angreifers von 8,7x auf 0,9x, doch die Lücke wächst mit der Zahl der Tokens. Damit sind AI-Workloads mit viel Reasoning ohne sorgfältige Implementierung besonders exponiert.

Die x402 Foundation ist am 14. Juli offiziell mit 40 Mitgliedsorganisationen gestartet, darunter Visa, Mastercard, Google, AWS und Stripe. [4] Beides stimmt gleichzeitig: Das Protokoll hat gerade institutionelle Legitimität gewonnen, und jedes getestete produktive Deployment hat ausnutzbare Schwachstellen.

Was Cardanos eUTXO-Modell ändert

Unsere Implementierung auf Cardano geht die Probleme, die diese Arbeiten benennen, anders an. Die folgende Analyse gibt die Engineering-Erkenntnisse von Masumi wieder.

Von den 75 Millionen x402-Transaktionen in einem kürzlich gemessenen 30-Tage-Zeitraum wurden die meisten in USDC auf Base abgewickelt. [5] Cardanos Anteil ist noch klein. Die Cardano Foundation ist im Juli 2026 als Associate Member bei x402 eingestiegen und hat dabei ausdrücklich Masumi Network und ODATANO als Beispiele für Adoption im Ökosystem genannt. [7] (Masumis x402-Implementierung auf Cardano läuft seit Oktober 2025 (https://www.masumi.network/blogs/x402-machine-payments-on-cardano).)

Der technische Unterschied zwischen EVM und Cardano ist für mehrere der oben beschriebenen Angriffe entscheidend.

Auf EVM-Chains halten Contracts gemeinsamen, veränderbaren State. Mehrere gleichzeitige Transaktionen können denselben Storage-Slot ändern wollen, über das Ergebnis entscheidet die Reihenfolge der Transaktionen. In dieser Umgebung lassen sich parallele Zahlungs-Races auf der Settlement-Ebene am leichtesten ausnutzen.

Cardano nutzt das erweiterte UTXO-Modell (eUTXO). Jede Transaktion deklariert ausdrücklich, welche UTXOs sie verbraucht. Ein UTXO lässt sich nur einmal ausgeben. Versuchen zwei gleichzeitige Anfragen, dasselbe Zahlungs-UTXO zu verbrauchen, gelingt genau eine, die andere schlägt fehl. Deterministisch. Bevor irgendeine Ressource freigegeben wird.

Das schließt den Vektor der Shared-State-Mutation hinter Angriff II. Auf Cardano lassen sich aus einem Zahlungs-UTXO keine 248 Freigaben erzeugen, weil das UTXO nach der ersten Ausgabe nicht mehr existiert. Auch Angriff I wird enger, weil die Race Condition durch Parallelität aus der Settlement-Ebene verschwindet.

Der Two-Phase Gap selbst ist damit nicht verschwunden. HTTP bleibt synchron. Ein Server entscheidet weiterhin über die Freigabe, bevor die Bestätigung on-chain abgeschlossen ist. Aber eUTXO nimmt genau die Bedingung heraus, die EVM-basiertes x402 besonders anfällig für parallelen Missbrauch macht.

Was Masumi über das Protokoll hinaus mitbringt

Masumis x402-Implementierung auf Cardano erweitert das Basisprotokoll um eine Trust-Ebene on-chain. Diese Ergänzungen greifen dort, wo kryptografische Primitive allein nicht ausreichen.

Agent-Registry on-chain. Ein AI Agent kann vor dem Absenden der Zahlung prüfen, ob er einen legitimen, registrierten Endpunkt bezahlt. Das kontert Angriff IV direkt. Die Manipulation der Server-Auswahl, die auf 71,8 % bösartige Auswahl kam, setzt darauf, dass Agents LLM-Relevanzrankings ohne eigene Prüfung vertrauen. Identität über eine Registry bricht diese Vertrauensannahme.

Streitbeilegung und Rückerstattung. Die USENIX-Arbeit fand wirtschaftliche Angriffe auf Facilitator in allen 15 getesteten Deployments. Was diese Angriffe lohnend macht, sind finanzielle Verluste ohne Rückgriff. Masumis dokumentierte Streitbeilegung und die Audit-Logs on-chain verändern das Kalkül des Angreifers.

Entscheidungsprotokolle. Für die forensische Analyse nach einem Zahlungsvorfall braucht es eine Aufzeichnung. Masumi legt sie on-chain an, unveränderlich.

Die Implementierung ist Open Source unter masumi-network/x402-cardano (https://github.com/masumi-network/x402-cardano). Die vollständige Architektur der Trust-Ebene beschreibt die Dokumentation des Masumi Agent SDK (https://www.masumi.network).

Was Entwickler jetzt tun sollten

Drei Änderungen bringen im Verhältnis zum Aufwand am meisten:

Idempotenz vor der Freigabe. Halten Sie vor der Auslieferung jeder Ressource atomar fest, ob diese Zahlungsidentität schon verwendet wurde. Prüfen UND festhalten in einer einzigen atomaren Operation. Das schließt Angriff II. Die 248 Freigaben aus einer Zahlung sind eine reine Implementierungslücke, keine Unmöglichkeit im Protokoll.

Cache-Control-Header. Setzen Sie `Cache-Control: no-store` auf allen Antworten hinter einem x402-Gate. Die Voreinstellungen von nginx cachen sie sonst. Ein Einzeiler, der Angriff III schließt.

Bestätigungstiefe. Die x402-Spezifikation erlaubt festzulegen, wie viele Blockbestätigungen nötig sind, bevor eine Zahlung als final gilt. Die meisten SDKs stehen standardmäßig auf k=1. Bei Ressourcen mit echtem wirtschaftlichem Wert sollten Sie diesen Wert erhöhen.

Wenn Sie Settlement-Infrastruktur auswählen: EVM-basiertes x402 bringt Ihnen Liquidität, Tiefe im Ökosystem und 150 Millionen Transaktionen echter Nutzungshistorie. [5] Cardanos eUTXO bringt Ihnen deterministische Garantien bei Nebenläufigkeit, die die Angriffsfläche für parallele Zahlungsausnutzung strukturell verkleinern. Vollständig ist keines von beiden ohne die oben genannten Gegenmaßnahmen auf Anwendungsebene.

Die Sicherheitsforschung spricht nicht gegen x402. Sie spricht dafür, es mit der nötigen Sorgfalt zu implementieren.

FAQ

Was ist das x402-Protokoll?

x402 belebt den brachliegenden HTTP-Statuscode 402 „Payment Required“ wieder, damit AI Agents und APIs Ressourcen pro Anfrage bezahlen können, in Stablecoins, ohne Konten und ohne Checkout. Die x402 Foundation, am 14. Juli 2026 unter dem Dach der Linux Foundation gestartet, hat inzwischen 40 Mitgliedsorganisationen, darunter Visa, Mastercard, Google, Stripe und AWS. [4]

Wie funktioniert das x402-Protokoll?

Ein AI Agent fragt einen kostenpflichtigen Endpunkt an. Der Endpunkt antwortet mit 402 und den Zahlungsanforderungen. Das Wallet des Agents signiert die Zahlung, reicht sie on-chain ein, hängt den Nachweis an den `X-PAYMENT`-Header und schickt die Anfrage erneut. Der Server prüft den Nachweis, liefert die Ressource, und das Settlement wird on-chain abgeschlossen.

Was ist der Unterschied zwischen x402 und Stripe MPP?

Das Merchant Payments Protocol (MPP) von Stripe läuft über bestehende Kartenschienen, mit Stripe als Vermittler. x402 ist ein Standard auf Protokollebene für Stablecoin-Zahlungen direkt über HTTP, ganz ohne Payment-Provider. Für die Abrechnung von AI Agents pro Anfrage im Sub-Cent-Bereich ist x402 besser. Für höherwertige Transaktionen, bei denen Betrugsschutz und Compliance-Infrastruktur der Karten echten Wert haben, ist MPP besser.

Können AI Agents mit x402 autonom bezahlen?

Ja. Ein Agent mit gedecktem Wallet kann einen kostenpflichtigen Endpunkt finden, den Zahlungsnachweis bauen und die Transaktion abschließen, ohne dass ein Mensch jede einzelne Transaktion freigibt. Mit dem CDP x402 SDK von Coinbase, gestartet am 23. Juli 2026, sind es für Anbieter drei Zeilen Code. [6]

Wie bezahlen AI Agents einander mit x402?

Auf Protokollebene funktionieren x402-Zahlungen zwischen zwei Agents genauso wie zwischen Agent und Dienst. Ein Agent ist der Client, er baut den Zahlungsnachweis und sendet ihn, der andere ist der Facilitator, er prüft und liefert den Dienst. Masumis A2A-Protokoll-Integration (https://www.masumi.network/blogs/a2a-protocol-and-the-agent-economy) ergänzt eine Identitätsprüfung on-chain, damit jeder Agent weiß, mit wem er handelt, bevor die Zahlung abgeschickt wird.

Bereit, mit den deterministischen Zahlungsgarantien von Cardano auf x402 zu bauen? Die x402-Implementierung von Masumi (https://github.com/masumi-network/x402-cardano) ist Open Source und produktionsreif. Wenn Ihre Agents geprüfte Identität, Streitbeilegung und Audit-Logs on-chain von Haus aus brauchen, schauen Sie sich Sokosumi (https://www.sokosumi.com) oder das Masumi Agent SDK an.

Quellen

[1] „Five Attacks on x402 Agentic Payment Protocol“ | https://arxiv.org/abs/2605.11781 | „Die Risiken von x402 entstehen an der Grenze zwischen HTTP und Chain, nicht durch einzelne SDK-Bugs; 248 Freigaben aus einer Zahlung im Testnet demonstriert; 100 % Cache-Leakage mit den Voreinstellungen von nginx; 71,8 % Auswahlrate für bösartige Server“ (Mai 2026)

[2] „When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments“ | https://arxiv.org/abs/2607.19545 | „Verstöße in allen 15 untersuchten Facilitator gefunden, die 60.000 Verkäufer und 360.000 Käufer bedienen; angenommen für USENIX Security 2026“ (21. Juli 2026)

[3] „Free-Riding in the AI Economy: Demystifying Logic Flaws in x402-Enabled Payment Systems“ | https://arxiv.org/html/2605.30998 | „Mathematischer Beweis für eine Manipulationslücke bei Pay-per-Token-Preisen; Resource-Leakage-Raten von bis zu 100 % gegen offizielle SDKs“ (Mai 2026)

[4] Linux Foundation, „Operational Launch of x402 Foundation“ | https://www.prnewswire.com/news-releases/linux-foundation-announces-operational-launch-of-x402-foundation-to-standardize-internet-native-payments-for-ai-agents-and-applications-302824778.html | „40 Mitgliedsorganisationen, darunter Visa, Mastercard, Google, AWS, Stripe, Circle, Coinbase“ (14. Juli 2026)

[5] CoinDesk, „Visa, Mastercard, and Ripple Join the Standard Letting AI Agents Pay in Stablecoins“ | https://www.coindesk.com/tech/2026/07/15/visa-mastercard-and-ripple-join-the-standard-letting-ai-agents-pay-in-stablecoins | „75 Millionen Transaktionen, 24 Millionen $ Volumen in 30 Tagen; durchschnittliche Transaktion 0,32 $“ (15. Juli 2026)

[6] CoinDesk, „Coinbase Closes the Gaps in AI Agent Economy for Businesses, Users and Developers“ | https://www.coindesk.com/business/2026/07/23/coinbase-closes-the-gaps-in-ai-agent-economy-for-businesses-users-and-developers | „CDP x402 SDK: 3 Zeilen Code, um Zahlungen von AI Agents anzunehmen; alle Coinbase-Business-Kunden berechtigt“ (23. Juli 2026)

[7] Cardano Foundation auf X | https://x.com/Cardano_CF/status/2077035809266335942 | „Cardano Foundation ist x402 als Associate Member beigetreten; nennt Masumi Network und ODATANO als frühe Anwender im Cardano-Ökosystem“ (Juli 2026)

[8] DataForSEO, Keyword Research US/en | via seo-geo-researcher subagent | „x402 protocol: 720/Monat, KD 29, Wettbewerb 0,060 (LOW); agentic payments: 590/Monat, KD 10; keine ausführlichen Erklärinhalte ranken für x402 protocol“ (27. Juli 2026)