一周 1450 万笔 agent 支付，总共只花了 3.3 万美元
1450 万笔 agent 支付只结算了 3.3 万美元，平均每笔 0.23 美分；同周 50 个 EIP-7702 授权 4 分钟扫走 25 亿美元。数量在涨、成本在降，真正没解决的是签名权限。
这一周 agent 支付最重要的三个数字，方向完全相反。
14,547,668 笔：截至 2026-10-19，XRPL AI Hub 记账的 x402 agent 交易笔数。约 33,506 美元：这些交易累计结算的全部价值——7,010.24 XRP 加 16,509.25 RLUSD。平均下来，一笔 agent 付款 0.23 美分。
同一周的另一头：Celestia 发布为机器支付设计的 Voyager，宣称单节点跑到 21M TPS；而 10 月 29 日，Binance 的「Binance 14」热钱包被一笔交易里的 50 个 EIP-7702 授权指向清扫合约，4 分钟内约 25 亿美元被转走，Binance 事后称多链合计损失 63 亿美元。
数量、吞吐、权限——这是三件不同的事，但这一周它们讲的是同一课：让 agent 花钱，缺的从来不是通道，是边界。
本文是 DefiPlot 的一周观察，把 2026-10-27 至 11-01 之间公开的 9 份材料（协议方博文、审计方研究、一手实测帖、链上数据报道）拼成一条线。所有数字都标了出处与时间；我们没有自己跑链上验证，凡属推算都会写明。
一、这一周的时间线
| 日期 | 事件 | 为什么记它 |
|---|---|---|
| 10-27 | Polygon OMS 上线 agent spend caps（团队可给 agent 在既有钱包上一份限定权限） | 第一次有 L2 把「agent 不问就能花多少」做成产品能力 |
| 10-28 | Nethermind 介绍 AuditAgent 如何跨扫描保留项目上下文 | 供给侧的质检开始商品化 |
| 10-28 | dev.to《When Software Gets a Wallet》：先问「谁对允许哪些经济动作拥有权威」 | 架构派的起点 |
| 10-29 | Celestia Voyager 发布：21M TPS、单核执行、5 小时约 4000 亿笔 | 供给侧把「机器级支付」当容量问题解 |
| 10-29 | Binance 14 被 EIP-7702 授权扫空 | 权限面出事，而不是私钥泄漏 |
| 10-30 | CAI Lab 的 x402 卖方指南（402 challenge → prepare/execute → 付款重试） | 卖家视角的最小实现 |
| 10-30 | 两个 agent 用「逐步付款 + SHA-256 指纹交付证明」完成一次私下交易 | 验收被写进协议，而不是靠信任 |
| 10-31 | Zealynx 发布 Agent 支付 20 项检查（含 Binance 14 复盘） | 这周最可操作的清单 |
| 10-31 | Crypto Briefing 用 XRPL 数据戳破「agent 经济已来」 | 需求侧唯一硬数据 |
| 11-01 | Purser：给 agent 一把 session key，钱放合约里管 | 钱包级护栏的开源实现 |
二、需求侧：笔数在起飞，金额趴在原地
先看数据本身（XRPL AI Hub，抓取时点 2026-10-19）：
| 指标 | 数值 |
|---|---|
| x402 agent 交易笔数 | 14,547,668 |
| 累计结算 | 7,010.24 XRP + 16,509.25 RLUSD |
| 折合美元（Motley Fool 口径） | 约 33,506 |
| 参与商家 | 173 个 |
| 日均（部分时段） | 约 50 万笔，峰值日超 60 万笔 |
| 增长曲线 | 7 月约 100 万 → 10 月初破 1000 万 → 三周后 1450 万 |
| 集中度 | Heurist Inference Router 一家在 10 月中处理近 1000 万笔 |
把两个数放在一起算：33,506 ÷ 14,547,668 ≈ 0.0023 美元/笔。而卡组织对一笔交易收约 0.30 美元——相差约 130 倍。这才是 agent 支付必须走链上的真实理由：不是「信任」，是费率的数量级。
但同一个算术也给出警告：1400 万笔只值 3.3 万美元，说明现在测的是管道，不是商业。 一笔 0.23 美分的付款能验证的东西很少：它验证了 402 挑战能被解析、签名能被结算、商家能返回内容；它没验证「卖的东西值这个价」「买家会再来」。
供给侧的配套也说明了这一点：XRPL 的 agent 流量背后站着 t54.ai（自称该网络最大的 x402 facilitator，拿了 Ripple 与 Franklin Templeton 参投的 500 万美元种子），以及 2026-06-09 上线的 XRPL AI Starter Kit。流量是项目方推动的，不是自然长的。
还有一个容易被忽略的对照：在 CAI 的卖方指南里，示例定价是一次图片转换 5.00 USDC。也就是说，同一个协议上，公开示例价与链上实际均价差了 两千多倍。协议是中性的，价格是市场定的——而市场现在还在试。
笔数是采用率指标，金额才是需求指标。
三、供给侧：为什么有人非要造 21M TPS
Celestia 10-29 发布的 Voyager，是目前最激进的答案。它的论证链条值得完整看一遍，因为它是「agent 经济」这个叙事唯一能自证的算术：
- 卡组织每笔约 0.30 美元 → 微支付不可行；
- 卡支付确认 1–3 秒 → 拿不到「网页请求级」的响应；
- Visa 约 65,000 TPS → 对人够，对 agent 经济远远不够；
- 引 Cloudflare CEO 的说法：面向 agent 的微支付「第一天就要 1000 万 TPS，最终 1 亿」。
于是 Voyager 的工程选择全部围绕一件事——不让任何线程挡住记账：
| 环节 | 做法 |
|---|---|
| 入口 | ingress 层先验签、批量打包，加机器就加验签容量 |
| 队列 | 环形缓冲，借鉴 LMAX 交易所的 Disruptor 设计 |
| 并行 | 每条批次按序处理但各线程并行：journal 记最新、executor 处理下一个、Fibre publisher 与 Stargaze 写更早的 |
| 背压 | 队列满就掐住新交易，而不是压垮节点 |
| executor | 预取每笔付款需要的数据，单核即可跑到 2100 万笔/秒 |
| 状态 | 支付逻辑内建、不走通用 VM；状态放平表而不是 Merkle 树，省掉每块重算 state root |
| 可验证 | 每笔交易发布到 Celestia Fibre，任何人可重放核对 |
基准口径也要照抄清楚，否则数字会被误读：1 亿账户之间的随机转账、跑 5 小时、均值 21.2M TPS、峰值 21.6M、约 4000 亿笔、内存稳定在约 48GB、execution 单核 96–100% 占用、journal 与 Fibre publisher 各约 4.8GB/s。
它自己也划了边界：这是单节点结果，尚未计算 state root、未做多机复制、未在这个量级提供实时交易状态查询（不过每笔都出 receipt）；复制、state root 与查询是下一步。
21M TPS 是「单核单节点的执行」成绩，不是「端到端可用支付网络」的成绩。
四、权限侧：这周最贵的一课，不是被盗，是「签名面」
10-29 的事件是这一年最该被 agent 支付团队读的案例，因为它没有偷私钥。
按 Zealynx 的复盘（引 CoinDesk 2026-10-30）：
- 20:20:59 UTC：攻击者发出一笔以太坊交易，里面装着 50 个 EIP-7702 授权，每个都由 Etherscan 标记为「Binance 14」的钱包签名，nonce 依次连续，全部指向一个清扫合约。以太坊只接受了 nonce 与钱包下一个 nonce 匹配的那一个，其余 49 个被忽略——但它们没有失效。
- 20:24:23：第一次清扫，一笔交易转走约 167,464 ETH 与约 16 亿 USDT，合计约 25 亿美元。
- 钱包保持被委托状态直到 00:10:35 UTC，期间 Binance 系统继续往这个地址充值的资金，在 21:04 与 21:44 又被扫了两次。
- Binance 称多链合计损失 63 亿美元，并表示没有发现私钥泄漏的证据。截至 10-31，那 50 个签名是怎么产生的仍在调查；CoinDesk 提出的一个可能是：签名基础设施被诱导生产了这些签名。
这件事跟 agent 支付的关系，不是「又一个 DeFi 被盗」，而是三层同构：
- x402 结算、session key、钱包 guard 用的都是同一套签名面。你的 guard 如果只认识它见过的签名类型，它就不是 guard。
- 被滥用的是一个「不带收款方、不带金额」的授权。EIP-7702 授权签的是
keccak256(0x05 || rlp([chain_id, address, nonce]))——没有金额、没有收款人，chain_id = 0时在每条链上都有效。热钱包、金库、绝大多数 agent key 都没有理由签它。 - 只要「看起来安全」的规则写错一格，就全漏。只拦「从热钱包发出的 type 4 交易」的规则，在 Binance 这一单上根本不会触发——因为交易是攻击者发的，只有签名来自热钱包。
Zealynx 的 20 项检查按「钱去哪 → 付款绑定什么 → 钥匙能签什么 → 签完之后盯什么 → 模型和人看到什么 → 运维与日志」六组切开，几处值得直接抄进 CI：
| 组 | 具体检查（节选） |
|---|---|
| 钱去哪（4） | 找出所有能写收款地址的路径，判断谁先写；合约地址按链钉在自己配置里（从你正在校验的那个 API 取地址不算校验）；先在你的服务器上解码 calldata 再签；智能钱包地址跨链不代表同一个主人（2022 年 Optimism 上 2000 万 OP 打给 Wintermute 未部署地址的先例） |
| 付款绑定（4） | 每笔付款绑定 金额 / 收款方 / 资源 / 代币合约 / 网络五元组；在 CI 里跑替换测试（便宜路由的有效付款、打到最贵路由必须失败）；响应发出之前原子标记已用（他们的 demo 里一个签名发 20 次买到 20 份）；客户端额度必须钉住代币与网络，不能只钉数字 |
| 钥匙能签什么（4） | 列出这把 key 能产出的全部签名类型：交易、EIP-712、Permit/Permit2、裸消息、EIP-7702 授权；永不委托的 key 必须拒签 0x05 前缀与 chain_id 0；签名服务要自己从解码后的请求构造哈希，不能接过一个 32 字节就签；guard 必须是通往这把 key 的唯一通路 |
| 签完之后盯（3） | 每次发送前读自己的 eth_getCode，被委托的账户返回 23 字节的 0xef0100 + 委托地址；代码一变，停止往该地址打款；撤销用授权到 address(0)，之后把 nonce 推过攻击者可能持有的最高 nonce（那 49 个备用授权不会自己失效） |
| 模型与人（2） | 模型不写任何离开系统的自由文本（转账备注/邮件正文）；人批准的是由代码渲染的原始签名值，不是 agent 的总结 |
| 运维与日志（3） | 能设收款地址的 operator key 按金库 key 对待；只读靠数据库角色而不是关键字检查；每笔付款决策连同输入一起记 |
这份清单的立场要说明：它来自审计公司 Zealynx 自家研究，5 个案例取自公开讨论的设计（x402 facilitator、agent 用的 swap API、x402 故障注入套件、agent 钱包 guard、银行 agent），多数团队在几天内发了修复——这个「都修了」反而更值得记：这类洞是工程习惯问题，不是研究难题。
五、护栏正在长成三层
这一周的几份材料，恰好对应三层不同的边界：
| 层 | 代表 | 管什么 | 关键取舍 |
|---|---|---|---|
| 合约策略层 | Purser（ERC-4337 智能账户 + session key） | 允许调用的合约与函数、单笔上限、按期预算、有效期 | ERC-7562 规定验证阶段不能读时钟，而「日预算」天生要看时钟 → 拆成：验证阶段查签名/有效期/白名单/单笔上限，执行阶段（executeUserOp）再滚预算。另两条细节：owner 批准只提高金额不放大范围；同一 bundle 里先撤销仍然能拦住后面那笔 |
| 钱包额度层 | Polygon OMS（10-27 spend caps） | 在既有钱包上给 agent 一份 scoped 权限，定义能花多少 | 多签管「谁必须批」，额度管「不问就做什么」——两者是不同控制面；多签没法让 agent 一天做几十笔微支付，额度可以 |
| 平台治理层 | 托管/出入金侧（KYB、MFA、托管、off-ramp 拦截） | 人是谁、钱怎么落地法币、异常怎么拦 | 兑换/出金那一刻是天然的检查点：链上行为偏离预期时，出金可以延迟、复核、阻断 |
Purser 的工程细节值得单独记：它没有只跑单测。41 个单测走真实 EntryPoint，fuzz 把随机付款与时间序列跟一个「预算的简单模型」对撞，invariant 用成千上万次随机调用验证三条性质（不超预算除非批准、撤销后的 key 挪不走钱、没有 owner 改不了策略），Slither 进 CI。作者自己标了未审计、只在本地链跑，并给了 docker 一键复现。这种「把边界写成可证伪的性质」的做法，比任何「我们的 agent 很安全」都硬。
六、还有两件事：验收与证明
验收：10-30 那篇「两个 agent 私下成交」给出了一个极简协议——卖方报「每步价格 / 步数（1–10）/ 交付什么」，买方按步付款，卖方交付结果加 SHA-256 指纹并签名，买方拿指纹比对得到 MATCH / NO MATCH，双方共享 deal_status 与全部交易 ID。演示里 Agent A 用 5 BTCZ 卖一句法语问候，全程约 3 分钟，每步都是屏蔽交易。
它能证明的最多到「你付的这一步，交付内容与卖方签过名的指纹一致」；不能证明主语对不对（内容本身对不对、有没有偷工减料）——这条边界它自己写了。对做 agent 服务的人来说，这比「我们用了托管」更实用：托管解决跑路，指纹解决掉包，两者不重叠。
证明成本：10-29 那篇 zkVM 成本分析给的三个工程判断，是这一周里最容易被误读的一段。它说单位应该是「每百万 cycle 的全包成本」，并给出：递归聚合是成本藏身处（叶子证明快 10 倍，端到端可能只有 3 倍）；GPU 的瓶颈是内存带宽而非算力，所以赢家是重构 witness 布局的实现；链上验证 gas 同样要算进去（20 万 gas 可以接受，400 万 gas 无论证明多快都是设计失败）。
至于「可复用身份证明的单次成本接近 10 美分、2027–2028 与中心化 KYC 打平」这类结论，是作者自建模型的结果，不是实测；他自己也把假设列了出来（一次签发复用 12 个验证方、不计发行方合规成本）。记账时请把「模型输出」与「实测」分开。
七、我们的整理：三句话与四个指标
三句话：
- 这笔生意现在的价格是 0.23 美分/笔，而成本侧已经有人为 100 万 TPS 做准备了。 供给远远跑在需求前面，这是基础设施周期的典型形态——不必然是坏事，但它意味着短期内的「增长」更可能来自项目方补贴。
- 事故不会发生在模型层，会发生在「没被检查的那一格」。 Binance 14 不是 prompt injection、不是幻觉，是一种没人列进清单的签名类型加上没人读的账户代码。
- 护栏的价值在「事后能说清」，不在「事前不犯错」。 三层护栏（合约策略 / 钱包额度 / 平台治理）里，最便宜的其实是第二层：先把每笔付款的五元组钉死，再谈智能。
下周可以盯的四个可验证指标：
| 指标 | 怎么读 |
|---|---|
| XRPL 的结算金额 / 笔数比 | 若金额开始比笔数涨得快，才是需求真的起来；继续停滞就是激励驱动 |
| 商家数是否突破 173，且集中度下降 | 一家 router 占 1000 万笔时，「生态」只是一个运营方 |
| 其他 L1/L2 是否跟进 spend caps | Polygon OMS 先发，Solana / Base / Arbitrum 跟进才算标准成型 |
| EIP-7702 委托账户的代码监控是否成为默认 | 「每块读一次 eth_getCode」如果变成钱包厂商的标配，那 49 个备用授权就不再是定时炸弹 |
如果你只想动手验证一件小事：给自己的 agent 付款路径跑一次替换测试——用一笔「为更便宜的路由付过」的有效付款，去打你最贵的主网端点，看它是不是被拒。这一条不需要任何新工具，就能暴露大多数设计里最贵的那一格。想在测试网上把一笔 x402 付款真的跑通（发币 → 402 → 结算 → 重试），也可以用 x402 TokenDIY 先造一个测试代币。
八、边界
- 本文是编译+整理，把上述 9 份公开材料拼成一条线；我们没有自己跑链上查询，也没有复现任何演示。XRPL 数据来自源文引用的 XRPL AI Hub（抓取时点 2026-10-19），折美元口径来自 Motley Fool；Binance 相关数字来自 Zealynx 复盘与 CoinDesk 报道（2026-10-30），签名如何产生截至 10-31 仍在调查。
- 「平均每笔 0.23 美分」「与卡组织相差约 130 倍」是本文按源文数字推算，不是任何一方的官方口径。
- Voyager 的 21M TPS 是单节点、随机转账、5 小时的基准，不含 state root、多机复制与实时查询；不要当成端到端可用容量。
- Zealynx 是审计公司，其清单与案例来自自家研究；Purser 与 I Am Wallet 均为未审计/早期项目，作者自述只在本地或测试环境跑过。
- zkVM 成本曲线的结论来自作者自建模型，属预测而非实测。
- 本文不构成投资建议，也不构成任何安全审计结论。
Sources
- Crypto Briefing《XRP Ledger hits 14M AI agent transactions, but benefits unclear》，2026-10-31 https://cryptobriefing.com/xrp-ledger-ai-agent-transactions-x402/
- Zealynx / Carlos (Bloqarl)《Agent Payment Security: 20 Checks Before You Ship》，2026-10-31 https://www.zealynx.io/research/adversarial-security/agent-payment-security-checklist
- Celestia《Introducing Voyager: Hyperscale Payments for Agentic Commerce》，2026-10-29 https://blog.celestia.org/introducing-voyager-hyperscale-payments-for-agentic-commerce/
- CoinDesk《Crypto Long & Short: What happens when an AI agent pays for the wrong thing》，2026-10-28（经 Zealynx 复盘引用；我们未能直接抓取该页）
- CAI《Accepting agent payments on your API: the x402 seller's guide》，2026-10-30 https://dev.to/cailab/accepting-agent-payments-on-your-api-the-x402-sellers-guide-p8g
- Ahmad Shawar《Giving an AI agent a wallet without giving it your keys》（Purser），2026-11-01 https://dev.to/ahmad_shawar_de8d35d546cf/giving-an-ai-agent-a-wallet-without-giving-it-your-keys-407k
- Vaibhav Shakya《When Software Gets a Wallet: Architecting Payments for Autonomous AI Agents》，2026-10-28 https://dev.to/vaibhav_shakya_e6b352bfc4/when-software-gets-a-wallet-architecting-payments-for-autonomous-ai-agents-4i08
- ztext_zksnarks《How two AI agents traded privately on a blockchain, with proof of delivery》，2026-10-30 https://dev.to/ztext_zksnarks/how-two-ai-agents-traded-privately-on-a-blockchain-with-proof-of-delivery-3dob
- gxqwb《Proving Without Revealing: zkVM Throughput and the Real Cost of On-Chain Identity》，2026-10-29 https://dev.to/gxqwb_ai/proving-without-revealing-zkvm-throughput-and-the-real-cost-of-on-chain-identity-72l
- OneSafe《Web3 Payments: AI Agent Spend Caps Matter》(Polygon OMS spend caps，2026-10-27) https://www.onesafe.io/blog/web3-payments-ai-agent-spend-caps
DefiPlot 翻译整理，转载请标明出处。本文仅学习目的，不构成投资建议，DYOR。
本文属于「Agent 支付 / x402」专题。查看专题全部文章 →
免责声明：本站资源仅用于学习目的，也不应被视为投资建议，读者在采取任何行动之前应自行研究并对自己的决定承担全部责任。
