Протокол x402 на живих даних: 15 063 ендпойнти та платіж у 0,6 цента

34 хв. читання

Коротко (TL;DR)

  • x402 оживляє забутий HTTP-статус 402 Payment Required: сервер відповідає «потрібно заплатити» і кладе умови в заголовок, клієнт підписує переказ стейблкоїна й повторює той самий запит із доказом оплати.
  • Ми зняли живу відповідь з еталонного демо протоколу 15 серпня 2026 року: заголовок називається payment-required, тіло відповіді порожнє, усередині — ціна $0,01, мережа Base Sepolia і адреса отримувача.
  • Половина оглядів у видачі досі описує заголовок X-PAYMENT. Це версія V1. Від 24 червня 2026 року заголовки інші, та й ідентифікатори мереж теж.
  • Собівартість одного розрахунку на Base за нашим виміром — $0,00082 комісії мережі плюс $0,001 фасилітатору Coinbase понад тисячу безкоштовних транзакцій на місяць. Нижче приблизно двох центів за запит схема з’їдає сама себе.
  • У реєстрі продавців Coinbase 15 063 записи, і там поруч лежать CoinGecko з Nansen та ендпойнти, що торгують «непотрібним фактом» за частки цента.
  • Свого токена протокол не має. Токени, які торгуються під його іменем, стосунку до нього не мають: флагманський PING на 15 серпня 2026 року стоїть на 98,5% нижче за свій максимум.

Дані у статті актуальні на 15 серпня 2026 року. Першими застаріють цифри реєстру та комісії мережі — вони залежать від газу й курсу ETH.

Як влаштований обмін по x402: запит, відповідь 402, платіж, повтор

x402 — це домовленість про те, як сервер називає ціну просто в HTTP-відповіді, а клієнт платить і повторює запит. Репозиторій протоколу описує себе одним рядком: «A payments protocol for the internet. Built on HTTP». Жодного окремого транспорту, жодного редиректу на сторінку оплати: увесь торг уміщується у два кола звичайного HTTP.

Щоб не переказувати схему, ми сходили на еталонне демо протоколу й подивилися, що воно віддає. Запит без оплати, 15 серпня 2026 року, 20:17:20 GMT:

$ curl -i https://x402.org/protected

HTTP/2 402
content-type: application/json
cache-control: no-store
payment-required: eyJ4NDAyVmVyc2lvbiI6MiwiZXJyb3IiOiJQYXltZW50IHJlcXVpcmVkIiwicmVzb3VyY2Ui...

{}

Зверніть увагу на дві речі одразу. Тіло відповіді — порожній JSON-об’єкт: у версії V2 усі платіжні дані переїхали в заголовки, а тіло лишилося застосунку. Сам заголовок називається payment-required і містить base64. Розкодуємо:

{
  "x402Version": 2,
  "error": "Payment required",
  "resource": {
    "url": "https://x402.vercel.app/protected",
    "description": "Access to protected content",
    "mimeType": ""
  },
  "accepts": [
    {
      "scheme": "exact",
      "network": "eip155:84532",
      "amount": "10000",
      "asset": "0x036CbD53842c5426634e7929541eC2318f3dCF7e",
      "payTo": "0x209693Bc6afc0C5328bA36FaF03C514EF312287C",
      "maxTimeoutSeconds": 300,
      "extra": { "name": "USDC", "version": "2" }
    },
    {
      "scheme": "exact",
      "network": "solana:EtWTRABZaYq6iMfeYKouRu166VU2xqa1",
      "amount": "10000",
      "asset": "4zMMC9srt5Ri5X14GAgXhaHii3GnPAEERYPJgZJDncDU",
      "payTo": "CKPKJWNdJEqa81x7CkZ14BVPiY6y16Sxs7owznqtWYp5",
      "maxTimeoutSeconds": 300,
      "extra": { "feePayer": "CKPKJWNdJEqa81x7CkZ14BVPiY6y16Sxs7owznqtWYp5" }
    }
  ]
}

Читається це так. Поле scheme — спосіб розрахунку, тут «рівно стільки». Поле network — мережа у форматі CAIP-2, eip155:84532 це Base Sepolia, тестова мережа Base. Поле amount — сума в мінімальних одиницях токена: у USDC шість знаків після коми, отже "10000" це рівно один цент. Далі asset — контракт токена, payTo — куди слати, maxTimeoutSeconds: 300 — авторизація живе п’ять хвилин. Масив accepts означає, що сервер дає вибір: платіть на Base або на Solana, вирішуйте самі.

Далі клієнт збирає платіж. На EVM схема exact за замовчуванням використовує transferWithAuthorization зі стандарту EIP-3009 — це підписаний дозвіл на переказ, який відправляє у блокчейн хтось інший, а не власник коштів. Для токенів без EIP-3009 передбачено шлях через Uniswap Permit2. Підпис їде назад у заголовку PAYMENT-SIGNATURE, і це той самий запит на ту саму адресу.

Сервер підпис зазвичай не перевіряє сам — він передає його фасилітатору. Публічний еталонний фасилітатор відповідає на /verify буквально так:

{"endpoint":"/verify","description":"POST to verify x402 payments",
 "body":{"paymentPayload":"PaymentPayload","paymentRequirements":"PaymentRequirements"}}

Після /verify іде /settle — фасилітатор надсилає транзакцію в мережу й дочікується підтвердження. Тільки тоді сервер віддає 200 OK і додає заголовок PAYMENT-RESPONSE із результатом розрахунку. Повний цикл, якщо скласти: запит без оплати → 402 з умовами → підписаний платіж у повторному запиті → перевірка → розрахунок у мережі → відповідь із даними.

Фасилітатор не обов’язковий, але позбавляє продавця мороки з RPC, газом і підтвердженнями. З боку коду підключення забирає кілька рядків. Мінімальний приклад продавця з документації Coinbase:

const server = await createX402Server({
  environment: "development",
  routes: {
    "GET /report": { price: "$0.01", description: "Generate a concise research report" },
  },
});
app.use(paymentMiddlewareFromHTTPServer(server));

Переїзд на мейннет — це зміна environment на production або мережі eip155:84532 на eip155:8453. Ціна пишеться доларами, у USDC її переводить бібліотека.

Заголовки x402 v2: чому X-PAYMENT більше не той заголовок

Якщо ви читали про x402 пів року тому або відкрили першу-ліпшу статтю у видачі, ви напевно бачили заголовок X-PAYMENT. Він більше не чинний, і це найчастіша фактична помилка в поточних оглядах — включно зі свіжими.

24 червня 2026 року вийшла версія V2: вона перейменувала заголовки, змінила формат ідентифікаторів мереж і підняла номер версії в тілі. Офіційний посібник з міграції дає точну таблицю відповідностей.

ЩоV1V2
Умови оплати від серверау тілі відповіді 402заголовок PAYMENT-REQUIRED
Платіж від клієнтаX-PAYMENTPAYMENT-SIGNATURE
Результат розрахункуX-PAYMENT-RESPONSEPAYMENT-RESPONSE
Поле версіїx402Version: 1x402Version: 2
Base mainnetbaseeip155:8453
Base Sepoliabase-sepoliaeip155:84532
Solana mainnetsolanasolana:mainnet
Пакети npmx402, x402-express, x402-axiosпростір @x402

Формат мереж — це стандарт CAIP-2, той самий, що використовують гаманці для опису ланцюгів. Практичний сенс у тому, що нову мережу більше не треба вносити до списку імен: запис eip155:<chainId> описує будь-який EVM-ланцюг.

Окремо варто знати, що V1 не вимкнено. Ми запитали в публічного фасилітатора перелік підтримуваних пар «схема плюс мережа» й побачили там записи обох версій: поруч із "x402Version": 2 та eip155:84532 лежать "x402Version": 1 зі старими іменами base-sepolia і solana-devnet. Строк вимкнення V1 у документації не названо. Для інтегратора це означає, що клієнт V1 сьогодні працює, але писати на ньому новий код сенсу немає.

У тій самій відповіді фасилітатора виявилася деталь, якої в оглядах немає взагалі: усі мережі публічного еталонного фасилітатора — тестові. Base Sepolia, девнет Solana, тестнети Stellar, Hedera, Algorand та Aptos. Схеми upto і batch-settlement там доступні лише на Base Sepolia. Це рівно те, у що впирається розробник на першому кроці: демо з адресою https://x402.org/facilitator заводиться за хвилину, а для справжніх грошей потрібен продакшен-фасилітатор — Coinbase, PayAI, Mogami або власний.

Хто стоїть за x402: Coinbase, Linux Foundation і 40 учасників

Протокол вигадала команда Coinbase Developer Platform, вайтпейпер опубліковано 6 травня 2025 року. Але відповідати сьогодні «це протокол Coinbase» уже неточно.

Хронологія, звірена за першоджерелами:

  • 6 травня 2025 — вайтпейпер, авторство Coinbase Developer Platform.
  • 23 вересня 2025 — Cloudflare і Coinbase оголошують про створення x402 Foundation; Cloudflare водночас викочує підтримку в Agents SDK і MCP-серверах та пропонує схему відкладеного платежу.
  • 2 квітня 2026 — Linux Foundation анонсує запуск фонду на конференції MCP Dev Summit North America у Нью-Йорку.
  • 24 червня 2026 — виходить V2.
  • 14 липня 2026 — операційний запуск: Coinbase формально передає протокол Linux Foundation під відкрите вендор-нейтральне управління.

У фонді 40 організацій. У прем’єр-складі — Adyen, Amazon Web Services, American Express, Circle, Cloudflare, Coinbase, Fiserv, Google, Mastercard, Monad Foundation, MoonPay, Ripple, Shopify, Solana Foundation, Stellar Development Foundation, Stripe і Visa. За стандартом стоять водночас карткові мережі, еквайєри, хмари та емітент USDC.

Чого в пресрелізі Linux Foundation немає взагалі — то це цифр упровадження. Жодної. Це важлива деталь: інституційна підтримка й реальне використання — різні речі, і далі ми подивимося на друге.

Про стан інформації навколо теми варто сказати одразу. Навіть стаття про x402 в англомовній Вікіпедії несе службове попередження про те, що матеріал спирається на джерела, надто близькі до предмета, і не містить жодної вимірної цифри впровадження. Тому далі ми спираємося на те, що можна запитати самостійно.

Мережі та гроші x402: Base, Solana і USDC у 15 063 ендпойнтів

Формально протокол підтримує багато мереж: будь-які EVM-ланцюги, Solana, TON, Algorand, Stellar, Aptos, Hedera, NEAR, Concordium, XRPL. Основні гроші — стейблкоїни, у переважній більшості випадків USDC.

Перелік підтримуваних мереж мало що каже про реальність, тому ми пішли до реєстру продавців. У фасилітатора Coinbase є дискавері-ендпойнт, і він відкритий без авторизації:

GET https://api.cdp.coinbase.com/platform/v2/x402/discovery/resources?limit=100&offset=0

На 15 серпня 2026 року він повідомляє "total": 15063. Ми завантажили й розібрали перші 2 000 записів. Ось що там насправді.

Показник (вибірка 2 000 із 15 063, 15.08.2026)Значення
Унікальних хостів507
Унікальних адрес-отримувачів477
Пропозицій у мережі Base (eip155:8453)2 117
Пропозицій у Solana818
Пропозицій у Polygon та Arbitrum379 і 311
Схема exact4 082 пропозиції
Схема upto110 пропозицій
Схема batch-settlement30 пропозицій
Медіанна ціна (USDC на Base, n = 2 095)$0,01
Частка пропозицій дешевших за $0,1088,5%
Записів оновлено в серпні 20261 586 із 2 000

Три висновки з цієї таблиці.

Перший: реєстр живий і росте просто зараз — чотири п’ятих записів вибірки оновлено цього місяця, а найстаріша датована 16 травня 2026 року.

Другий: схему batch-settlement використовує менше одного відсотка пропозицій, хоча саме вона розв’язує головну проблему мікроплатежів. Ідея схеми проста: покупець один раз кладе депозит в ончейн-ескроу, далі на кожен запит підписує офчейн-ваучер із накопичувальною сумою, а продавець періодично забирає останні ваучери одразу по багатьох каналах однією транзакцією. Комісія мережі платиться один раз на пачку, а не на кожен запит. Майже ніхто цим не користується.

Третій: хто ці продавці. В одній і тій самій вибірці лежать pro-api.coingecko.com (30 пропозицій), api.nansen.ai (15), ендпойнт DeFiLlama через шлюз x402atlas (30), а також api.exa.ai з описом «Exa /search endpoint» і x402.tavily.com з «Tavily Search – advanced mode» — ті самі пошукові API для агентів, про які в нас є окремий розбір. Це справжні сервіси зі справжньою аудиторією.

А поруч, у тому самому реєстрі, — дослівно з описів:

  • coinflip402.vercel.app — «Flip a coin for a small USDC payment on Base mainnet. Returns heads or tails».
  • dicex402.vercel.app — «Roll a dice with any number of faces».
  • riddlex402.vercel.app — «Pay a micro-fee in USDC on Base mainnet to receive a riddle and its answer».
  • x402uselessfacts.vercel.app — «Pay a tiny amount of USDC and receive one delightfully useless fact».

Число 15 063 у звітах виглядає значущо. Але за ним стоїть і CoinGecko, і платний генератор непотрібних фактів, і одне від одного реєстр не відрізняє.

Про вітрини екосистеми варто сказати окремо. Сайти на кшталт x402bazaar.org і x402scan.com називають свої цифри — «112+ сервісів», «800+ живих ендпойнтів», «1,38 млн транзакцій». Перевірити їх прямим запитом не вийде: це JavaScript-застосунки, їхні API-шляхи віддають HTML-оболонку. Ми наводимо такі числа як заяви вітрин, а не як факт.

Мережа Base у цій картині домінує, і це очікувано: її робить той самий Coinbase, там нативний USDC і комісії в частки цента.

Навіщо агенту платити самому: API без ключа і без підписки

Тепер про сенс. Людина, якій потрібен платний API, заводить акаунт, прив’язує картку, отримує ключ, обирає тариф. Кожен із цих кроків передбачає людину: підтвердження пошти, галочку в оферті, введення CVC.

Агент, який працює автономно, жодного з цих кроків зробити не може — і, що важливіше, не повинен: якщо агент сам реєструється й підписує оферти, ви отримуєте юридичну особу-примару замість інструмента. x402 пропонує інший контракт: у агента є гаманець, у ресурсу є ціна, і обмін відбувається всередині того самого HTTP-запиту. Ні акаунта, ні підписки, ні рахунку наприкінці місяця.

Де це реально працює сьогодні:

  • AWS CloudFront і WAF. Від 17 червня 2026 року видавець за цими сервісами може брати з ШІ-агентів плату за кожен запит у USDC; розрахунок іде через фасилітатор Coinbase, приймання — на Base або Solana у власний гаманець. Це перетворює трафік ботів зі статті витрат на виторг.
  • Amazon Bedrock AgentCore Payments. Від 7 травня 2026 року агенти на AWS роблять керовані мікроплатежі в USDC з лімітами витрат і комплаєнс-перевірками.
  • Stripe. Компанія має офіційну документацію щодо x402: сервер віддає 402 з депозитною адресою Stripe, а після розрахунку платіж записується як звичайний PaymentIntent. Застереження в тих самих доках суттєве — функція доступна бізнесам в усіх штатах США, крім Нью-Йорка, і більш ніж у 30 країнах за окремим запитом.
  • Cloudflare. Підтримка у Workers через middleware, в Agents SDK через обгортку клієнта і в MCP через оплату окремого інструмента. 5 серпня 2026 року компанія представила Wallets — програмовані гаманці для агентів із бюджетом.
  • Постачальники даних. CoinGecko, Nansen, Exa, Tavily — ті, що ми знайшли в реєстрі вище.

А де поки що демо: переважна більшість записів у тому самому реєстрі, публічний фасилітатор протоколу з його тестнетами і весь клас ендпойнтів, які продають загадки та випадкові факти.

Є й чесне обмеження, про яке писали ще в грудні 2025 року і яке частково живе. На боці клієнта платіжна обв’язка довго існувала тільки всередині десктопних ШІ-клієнтів: не було ні серверного SDK, ні контролю витрат. Частину цього закрито — SDK тепер є для TypeScript, Python і Go, а Cloudflare та AWS дали гаманці з бюджетом. Але третій пункт лишився чинним, і про нього — у розділі ризиків.

Скільки коштує один платіж x402: комісія мережі та фасилітатора

Фраза «платежі в частки цента» кочує зі статті в статтю без жодної цифри. Порахуємо.

Ми взяли публічну ноду Base і подивилися, у що реально обходиться виклик transferWithAuthorization у контракті USDC — тієї самої функції, яку використовує схема exact. Вимір 15 серпня 2026 року, курс ETH $1 882,66 за CoinGecko на ту саму дату:

  • медіанна витрата газу — 86 286 одиниць;
  • ефективна ціна газу — близько 0,005–0,006 gwei;
  • комісія за дані L1 — близько 0,0000000011 ETH;
  • разом 0,0000004344 ETH, тобто $0,00082 за одну розрахункову транзакцію.

Друга частина собівартості — фасилітатор. Тариф Coinbase опубліковано в документації: перша тисяча ончейн-транзакцій на місяць безкоштовна, кожна наступна коштує $0,001, а перевірка платежу безкоштовна завжди. У частини фасилітаторів — Mogami на Base, Dexter, рішення на Stellar — власна комісія нульова.

Складаємо й дивимося, яку частку платежу з’їдають комісії.

Ціна запитуКомісії з фасилітатором CoinbaseЧасткаКомісії з безкоштовним фасилітаторомЧасткаКартковий еквайринг (2,9% + $0,30)Частка
$0,001$0,00182182%$0,0008282%$0,3000330 003%
$0,006$0,0018230,3%$0,0008213,7%$0,300175 003%
$0,01$0,0018218,2%$0,000828,2%$0,300293 003%
$0,10$0,001821,8%$0,000820,8%$0,30290303%
$1,00$0,001820,18%$0,000820,08%$0,3290032,9%
$10,00$0,001820,02%$0,000820,01%$0,590005,9%

Якщо вважати прийнятним порогом «комісії не більші за десяту частину платежу», виходять три орієнтири:

  • x402 з фасилітатором Coinbase окупається від $0,018 за запит;
  • x402 з безкоштовним фасилітатором — від $0,008;
  • карткови́й еквайринг — від $4,23 (з рівняння 0,029p + 0,30 ≤ 0,1p).

Розрив між останніми двома пунктами приблизно п’ятсоткратний, і це єдина справжня відповідь на питання «навіщо тут узагалі крипта». Не ідеологія, а фіксована частина комісії: тридцять центів за операцію роблять платіж в один цент безглуздим за будь-якої ставки відсотка.

Тепер неприємна частина. Ми подивилися, скільки насправді коштують живі платежі цією рейкою. У вікні зі 150 поспіль розташованих блоків Base (298 секунд, 15 серпня 2026 року) пройшло 2 365 викликів transferWithAuthorization, і медіанна сума становила 0,006 USDC — шість десятих цента. Вісім із десяти платежів дешевші за цент.

Підставте цю медіану в таблицю: на безкоштовному фасилітаторі комісія з’їдає майже 14% платежу, на тарифі Coinbase — 30%. Рівно для цього випадку й існує batch-settlement — та схема, яку використовує менше відсотка пропозицій у реєстрі.

Застереження до виміру обов’язкове: transferWithAuthorization — загальний механізм газлес-переказів EIP-3009, він не ексклюзивний для x402. Ми міряємо рейку, якою працює схема exact, а не «транзакції x402» як окрему категорію.

x402 проти AP2, L402 і API-ключа: хто на якому шарі

Навколо агентних платежів крутиться кілька протоколів, і їх постійно ставлять у позу суперників. Насправді більшість із них живе на різних поверхах.

x402AP2 (Google)L402 (Lightning)API-ключ із післяплатою
Шарвиконання й розрахунок поверх HTTPавторизація: підписані мандатиоплата та автентифікація доступудоступ і білінг
Хто тримає грошігаманець агентаплатіжний інструмент людинигаманець Lightningрахунок клієнта в постачальника
Чим платятьстейблкоїни, здебільшого USDCкартки й перекази; крипта — через розширення x402біткоїн у мережі Lightningфіат за рахунком
Посередник у розрахункуфасилітатор (рекомендований, не обов’язковий)емітент та еквайєрне потрібенсам постачальник
Реєстраціяне потрібнапотрібна в платіжного методуне потрібнаобов’язкова
Розумний мінімум платежублизько $0,008–0,018 (наш розрахунок)обмежений картковою ставкою1 сатошіобмежений договором
Повернення коштівна рівні протоколу немаєпередбачене рейкоюнемаєза договором
УправлінняLinux Foundation, 40 організаційGoogle, стандартизація через FIDO AllianceLightning Labs, від 2020 року

AP2 і x402 не конкуренти. AP2 відповідає на питання «хто і що дозволив»: користувач підписує мандати, агент діє в їхніх межах. x402 відповідає на питання «як гроші дійшли». Крипторейку в AP2 реалізовано саме через розширення A2A x402, яке Google робила спільно з Coinbase, Ethereum Foundation і MetaMask. Різниця по суті одна, і вона про контроль: у x402 грошима розпоряджається сам агент, в AP2 — людина через свій платіжний інструмент.

L402 — ідейний попередник. Lightning Labs зробили його ще у 2020 році під іменем LSAT і перейменували у 2024-му. Механіка схожа: той самий статус 402, але інвойс і макарун їдуть у заголовку WWW-Authenticate, клієнт платить через Lightning і повертає preimage як доказ. Розрахунок забирає мілісекунди, коштує від одного сатоші, не потребує фасилітатора й працює без KYC. Плата за це — прив’язка до біткоїна і до Lightning: волатильність замість долара і жодного узагальнення на інші мережі.

Звичайний API-ключ нікуди не подінеться там, де є договір і людина. Він програє рівно в одному сценарії: коли покупців десятки тисяч, кожен бере по одному виклику і жоден не готовий заводити акаунт.

Де x402 ламається: ризики повернень, подвійних списань і п’ять атак

Це найважливіший розділ, і в оглядах його зазвичай немає. Зберемо те, що кажуть першоджерела.

Повернення на рівні протоколу не існує. Офіційний FAQ формулює прямо: схема exact — це push payment, незворотний після виконання. Повернути гроші можна двома способами: продавець добровільно надішле переказ назад або сторони використають batch-settlement, де ескроу допускає кооперативне повернення й виведення за таймером. Якщо агент купив не те — це не спір, це просто витрачені гроші.

Подвійне списання за прямого розрахунку. Документація сама попереджає: якщо сервер на Solana проводить платежі без фасилітатора, клієнт може надіслати той самий payload кілька разів до підтвердження першого. Лікування в доках — тримати короткоживучий кеш оброблюваних платежів з очищенням через 120 секунд. У фасилітаторів захист вбудований, у саморобної інтеграції його немає.

П’ять практичних атак. У травні 2026 року вийшов розбір безпеки протоколу, де автори формально проаналізували x402 і відтворили атаки на локальних ланцюгах, Base Sepolia та живих ендпойнтах:

  • revert-grant — сервер віддає ресурс до фінальності платежу, реорганізація ланцюга прибирає транзакцію, послугу надано безкоштовно;
  • settlement preemption — сторонній спостерігач витратить авторизацію раніше за легітимного фасилітатора, нонс згорає, покупець платить і не отримує нічого;
  • replay через межу HTTP і блокчейна — один payload дає багато успішних HTTP-відповідей, тоді як у мережі проходить один розрахунок;
  • плутанина на рівні проксі — посередники правлять платіжні заголовки в дорозі або кешують оплачену відповідь без обмежень, і вона витікає;
  • атака на вибір сервера — підробка метаданих і сибіл-флуд уводять агента на шкідливий ендпойнт ще до оплати.

У тому самому дослідженні перевірено три відкриті SDK і чотири живі ендпойнти: знайдено 11 вразливостей, серед них видача ресурсу до розрахунку в сторонньому Python-SDK, відсутність прив’язки платежу до ідентифікатора ресурсу та відсутність заголовків Cache-Control. Еталонне демо, яке ми смикали на початку статті, cache-control: no-store якраз ставить.

Відсутність наскрізної атомарності. Окрема академічна праця березня 2026 року формулює претензію системно: x402 не гарантує, що виконання послуги, платіж і видача результату відбудуться разом. Звідси два симетричні наслідки — «заплатив і не отримав» та «отримав і не заплатив».

Комплаєнс нікуди не подівся. Фасилітатор Coinbase перевіряє кожну транзакцію за списками OFAC і за методикою KYT та відхиляє платежі із санкційних і високоризикових адрес. Це пряма відповідь на тезу «розрахунки без посередників»: посередник є, і він має право сказати «ні».

Стейблкоїн можна заморозити. Від моменту запуску USDC компанія Circle внесла до блоклиста близько 372 адрес і заморозила близько $110 млн (дані на березень 2026 року). 23 березня 2026 року заблоковано 16 гаманців, 30 травня 2026 року — контракт cUSDC проєкту Zama разом із $12,6 млн користувацьких коштів у ньому. Гаманець агента — така сама адреса, як будь-яка інша.

Ключ від грошей лежить у змінній оточення. Це, мабуть, головний практичний ризик. У типовій схемі платного MCP-сервера приватний ключ передається через змінну на кшталт EVM_PRIVATE_KEY у конфізі клієнта, і документація прямим текстом попереджає: не покладайтеся на промпт для обмеження витрат, тримайте перевірку політики в коді поруч із платіжним клієнтом. Тобто постановка завдання агенту лімітом витрат не є — ліміт має бути кодом.

Як це виглядає на практиці, показав інцидент 28 жовтня 2025 року: проєкт 402bridge, побудований навколо x402, втратив близько $17 693 в USDC у понад 200 користувачів. Причина — витік приватного ключа із сервера і функція, що дозволила новому власнику контракту вивести кошти з усіх гаманців, які видали йому дозвіл. Це не діра протоколу, а діра в проєкті навколо нього, — але саме так мікроплатіжна обв’язка й ламається в реальності.

Токени з іменем x402: у протоколу свого токена немає

У x402 немає власного токена і ніколи не було. Розрахункова одиниця протоколу — USDC, а вся його економіка вміщується в комісію мережі й тариф фасилітатора. Усе, що торгується під іменем x402, до стандарту стосунку не має.

Це варто показати цифрами, бо «екосистема x402» продається як окремий клас активів. На CoinGecko є категорія x402 Ecosystem. На 15 серпня 2026 року її сумарна капіталізація — $7,886 млрд. Ось із чого вона складається.

АктивКапіталізаціяВід історичного максимумуКоли був максимум
Chainlink (LINK)$7,146 млрд−81,9%травень 2021
Unibase (UB)$310 млн−49,1%травень 2026
EigenCloud (EIGEN)$148 млн−97,0%грудень 2024
Concordium (CCD)$44 млн−97,7%лютий 2022
Acurast (ACU)$42 млн−62,0%січень 2026
SKALE (SKL)$21 млн−99,7%березень 2021
Autonolas (OLAS)$5,5 млн−99,8%січень 2024

Дев’яносто один відсоток капіталізації «екосистеми x402» — це Chainlink, проєкт 2017 року, що існував за роки до появи протоколу. Без нього на всю категорію лишається близько $740 млн. У тому самому кошику лежать активи з максимумами 2018, 2021 і 2022 років. Категорію зібрано за наративом, а не за зв’язком із продуктом.

Окрема історія — PING. Це мемкоїн на Base з механікою «запроси URL, отримай 402, заплати близько долара в USDC, отримай токен». Саме він дав той сплеск активності, який потім потрапив в усі заголовки: за даними Chainalysis, PING обробив понад 150 тисяч транзакцій за перший місяць, а кількість транзакцій протоколу зросла більш ніж на 10 000% за один тиждень. Там же лежить цифра, що пояснює, чим це скінчилося: тижневе утримання користувачів сягало 87% на піку і впало до 5% після.

Стан PING на 15 серпня 2026 року: капіталізація $1,21 млн, ціна $0,00121, оборот за добу $25 478, мінус 98,5% від максимуму 25 жовтня 2025 року.

З цього випливає практична річ, а не мораль. Коли ви читаєте «протокол обробив N мільйонів транзакцій», питайте, з чого ці транзакції складаються. Ми подивилися самі: у вікні зі 150 блоків Base 91,3% усіх викликів transferWithAuthorization пішли на одну-єдину адресу отримувача, а унікальних отримувачів за п’ять хвилин набралося 31 штука на 82 платники. Газ за ці 2 365 транзакцій платили 26 різних адрес приблизно порівну — так виглядає ротація гарячих гаманців одного оператора, а не ринок із тисяч агентів. У вужчому вікні того самого вечора — 40 блоків, 78 секунд, з 20:01:01 до 20:02:19 UTC — картина ще різкіша: 95,2% платежів це та сама пара «платник і отримувач», що повторилася 1 491 раз.

Якщо прибрати домінантного отримувача, за п’ять хвилин лишається 205 платежів на 30 адрес — близько 41 платежу за хвилину на всю мережу. Це і є чесний масштаб живої машинної економіки на Base на сьогодні. Незалежні оцінки, зроблені до нас, дають той самий порядок: близько $28 тисяч реального розрахунку на добу за заявлених сотень мільйонів транзакцій.

Для порівняння: вітрина самого протоколу показує за останні 30 днів 75,41 млн транзакцій, $24,24 млн обсягу, 94,06 тисячі покупців і 22 тисячі продавців. Середня сума платежу з цих чисел — $0,32. Медіана за нашим виміром — $0,006. Різниця між середнім і медіаною у п’ятдесят разів і є точний портрет ситуації: маса суб-центових машинних транзакцій плюс рідкісні великі платежі, які витягують середнє.

Якщо вам цікавий суміжний сюжет — токени проєктів, які будують інфраструктуру для ШІ-агентів і при цьому мають робочий продукт, — у нас є розбір Virtuals Protocol з тією самою оптикою «заявлено проти підтверджено».

FAQ

Чи має протокол x402 власний токен?

Ні. Розрахункова одиниця протоколу — стейблкоїни, у переважній більшості випадків USDC, а сам стандарт поширюється за ліцензією Apache-2.0 і управляється Linux Foundation. Будь-який токен, який видає себе за «монету x402» чи «офіційний токен протоколу», до стандарту стосунку не має. Флагманський приклад такого токена, PING, на 15 серпня 2026 року торгується на 98,5% нижче за свій максимум за обороту близько $25 тисяч на добу.

Скільки коштує один запит через x402 на практиці?

Собівартість розрахунку складається з двох частин. Комісія мережі Base за виклик transferWithAuthorization за нашим виміром 15 серпня 2026 року становила $0,00082. Фасилітатор Coinbase бере $0,001 за транзакцію понад тисячу безкоштовних на місяць, у низки інших фасилітаторів комісія нульова. Медіанна ціна запиту в реєстрі продавців Coinbase — один цент. За такої ціни комісії з’їдають від 8 до 18 відсотків платежу.

Чи можна повернути гроші, якщо агент заплатив дарма?

На рівні протоколу — ні. Офіційний FAQ називає схему exact push-платежем, незворотним після виконання. Лишаються два обхідні шляхи: продавець повертає гроші окремим переказом за своїми бізнес-правилами або сторони заздалегідь домовляються працювати через схему batch-settlement, де кошти лежать в ескроу й допускають кооперативне повернення та виведення за таймером. У реєстрі таку схему використовує менше одного відсотка пропозицій.

Чи обов’язковий фасилітатор, чи можна приймати платежі самому?

Фасилітатор рекомендований, але не обов’язковий: сервер має право перевіряти підпис і надсилати транзакцію самостійно. Натомість він бере на себе роботу з RPC, газом, підтвердженнями і захист від повторного розрахунку. Документація окремо попереджає: за самостійного розрахунку на Solana з’являється гонка, коли клієнт устигає надіслати той самий платіж кілька разів до підтвердження першого, і закривати її доведеться власним кешем оброблюваних платежів.

Що потрібно, щоб поставити x402 на свій API?

Мінімально — підключити middleware, описати маршрут із ціною та адресою отримувача і зареєструвати схему потрібної мережі. Для TypeScript, Python і Go є офіційні пакети, а у Cloudflare Workers, Express, FastAPI, Hono і Next є готові обгортки. Перехід із тестової мережі на бойову — це зміна ідентифікатора мережі й адреси фасилітатора. Для мейннету знадобиться акаунт у продакшен-фасилітатора: публічний еталонний обслуговує тільки тестові мережі.

Чи працює x402 десь у справжньому продакшені?

Так, хоча перелік поки що короткий. AWS CloudFront і WAF від 17 червня 2026 року дозволяють видавцеві брати з ШІ-агентів плату за запит у USDC. Amazon Bedrock AgentCore Payments дає агентам гаманці з лімітами витрат. Stripe має офіційну інтеграцію із записом платежів у PaymentIntent. Cloudflare підтримує протокол у Workers, Agents SDK і MCP. З постачальників даних у реєстрі видно CoinGecko, Nansen, Exa і Tavily.

Поділитися
Зв'язатися:
Крипто- та data-аналітик, інженер-програміст (факультет комп'ютерних наук ХНУРЕ). В IT з 2008 року: адміністрував корпоративний моніторинг у «Vodafone Україна», сім років розробляв і просував веб-проєкти, п'ять років керував маркетингом на метриках — конверсія, CTR, ROI, LTV.Криптовалютними ринками займаюся з 2021 року: ончейн-метрики, токеноміка, макроекономічні індикатори. Розробив власну data-driven модель аналізу ринку на 30+ метрик. Стек — Python (pandas, NumPy, SciPy, matplotlib), математична статистика та EDA; збір і звірку даних автоматизую AI-агентами.Принцип — «Don't trust, verify»: кожна цифра перевірена за першоджерелом, ключові — щонайменше за двома незалежними; прогнози — лише сценарії з умовами. Теза без даних не публікується.