심각한 Nonce 재사용 취약점

Nonce Reuse의 어둠의 유령의 공격:(Nonce Reuse 공격)

이는 비트코인 암호화폐 인프라 전체에 대한 근본적인 위험의 명확한 예입니다. 이 취약점을 악용하면 공격자는 단 하나의 서명 오류만으로 사용자의 개인 키를 완전히 노출시키고 동일하거나 예측 가능한 논스를 가진 몇 개의 서명만 이용해 모든 자금을 탈취할 수 있습니다. 논스 재사용 공격(Nonce Reuse Attack), 반복 논스 공격(Repeated Nonce Attack), 또는 논스 재사용을 통한 개인 키 복구(Private Key Recovery via Nonce Reuse)라고 불리는 이 공격은 이미 수백만 달러의 손실과 수많은 블록체인에 피해를 입혔습니다. keyhunters+2

MuSig2나 Schnorr 같은 다중 서명 방식에서 논스(nonce) 생성 구현에 결함이 있으면 치명적인 결과를 초래할 수 있습니다. 키 유출, 무단 거래, 대규모 자금 탈취, 네트워크 신뢰도 하락, 그리고 비트코인 보안 아키텍처 전체의 붕괴로 이어질 수 있습니다. 고유한 논스가 없다는 것은 마치 금고를 아무에게나 열어주는 것과 같습니다.

치명적인 Re-Nonce 취약점: 비트코인 암호화폐 보안에 대한 위험한 공격

논스 재사용 공격: 암호화 논스를 재사용하면 비트코인 네트워크에서 개인 키가 즉시 유출되고 막대한 자금이 도난당할 수 있습니다.

연구 논문: 비트코인 암호화폐 보안에 미치는 핵심 논스 재사용 취약점의 영향

비트코인 암호화폐는 ECDSA 또는 Schnorr 알고리즘을 사용하여 구현되는 디지털 서명의 수학적 강도에 기반합니다. MuSig2는 개인 정보 보호를 강화하고 거래 크기를 최적화하기 위해 구현된, 공개 키를 통합하는 최신 다중 서명 프로토콜입니다. 시스템의 신뢰성은 근본적으로 난수 매개변수, 특히 논스(nonce)의 올바른 사용에 달려 있습니다. 논스 생성 또는 재사용 과정에서 오류가 발생하면 전체 비트코인 생태계에 보안 위협이 되고 막대한 자금 손실로 이어질 수 있습니다. bips+2

취약성은 어떻게 발생하는가?

공격의 수학적 특성

이 취약점은 서로 다른 메시지에 대해 동일한 개인 키를 사용하여 서명을 생성할 때 논스(nonce)의 재사용 또는 예측 가능성이 발생할 때 나타납니다. 공격자가 동일한 논스를 가진 두 개의 디지털 서명(예: 메시지 $m_1$에 대한 $(r, s_1)$ 및 메시지 $m_2$에 대한 $(r, s_2)$)을 획득하면 다음과 같이 소유자의 개인 키를 고유하게 계산할 수 있습니다. x = s1 − s2 H(m1) − H(m2) mod n x = \frac {s_1 − s_2} { H(m_1) − H(m_2)} \mod n x = H(m1) − H(m2) s1 − s2 mod n

102btcd/blob/v2_transport/btcec/schnorr/musig2/keys.go

여기서 $x$는 개인 키, $H$는 해시 함수, $n$은 그룹 순서입니다. 이 공격을 논스 재사용 공격(Nonce Reuse Attack) 또는 과학적으로는 반복 논스 공격(Repeated Nonce Attack) 이라고 합니다 . aimspress+3

비트코인에 위험한 이유는 무엇일까요?

개인 키 완전 유출: 개인 키가 노출되면 공격자는 비트코인 지갑에 대한 완전한 제어권을 갖게 됩니다.
막대한 자금 손실: 공격자는 서명에 중복된 논스가 사용된 모든 주소에서 코인을 훔칠 수 있습니다. keyhunters+2
거래 변조: 개인 키를 알게 되면 합법적인 거래를 위조하고 전체 네트워크를 손상시킬 수 있습니다.
신뢰 훼손: 주요 보안 취약점은 비트코인 네트워크에 대한 신뢰를 약화시키고 시장 폭락을 촉발할 수 있습니다.

공격에 대한 과학적 분류

정확한 과학적 명칭: Nonce 재사용 공격 또는 반복 Nonce 공격
ECDSA에는 ECDSA 논스 재사용 공격 , 약한 난수성 공격 과 같은 변형이 있습니다.
MuSig2 프로토콜 및 Schnorr/Bitcoin 체계에서 Nonce 재사용 공격 , Nonce 재사용을 통한 개인 키 추출 공격이 발생합니다 . notsosecure+2

비트코인 생태계에 미치는 영향

실제 사례 : 안전한 nonce 생성 메커니즘(ECDSA의 경우 RFC6979, Schnorr의 경우 BIP-340)이 구현되기 전에는 대규모 자금 탈취 사례가 반복적으로 발생했습니다. keyhunters+1
지갑에 미치는 영향 : 최신 지갑과 스마트 계약조차도 nonce 생성이 제대로 구현되지 않으면 취약해질 수 있습니다. (docs+2)
프로토콜에 미치는 영향: MuSig2에서 부정확 하거나 예측 가능하거나 반복적인 논스 생성은 참여하는 모든 키를 즉시 손상시켜, 통합 지갑에 대한 포렌식 및 공격에 취약하게 만듭니다.

CVE 상태 및 ID

2025년 현재, MuSig2 nonce 재사용 취약점에 대한 특정 CVE 번호는 없습니다 . 이 문제는 암호화 커뮤니티에서 활발히 논의되고 있으며 표준 및 라이브러리 수준에서 개선되고 있습니다. (keyhunters)
ECDSA nonce 재사용(및 유사 공격)을 구현하는 CVE 사례가 있습니다. 예를 들어 CVE-2018-0734, CVE-2020-28498, 그리고 다양한 라이브러리에서 발견된 새로운 유사 취약점 등이 있습니다. nvd.nist+1
보호 기능은 BIP-340, BIP-327, RFC6979 표준에 따라 구현됩니다. bips+1

결론 및 권고사항

논스 재사용 공격은 비트코인에 대한 근본적인 암호화 위협입니다.
이는 개인 키의 완전한 노출과 자금 도난으로 이어집니다.
이러한 취약점을 방지하기 위해서는 암호학적으로 강력한(서명마다 고유한) 논스 생성에 대한 표준을 엄격히 준수하고 암호화 코드에 대한 정기적인 감사를 실시해야 합니다. acm+2
표준화(BIP-340, BIP-327), 결정론적 난수 생성기(nonce) 사용 및 안전한 난수 생성기는 비트코인 거래 및 지갑의 장기적인 보안을 위한 필수 요건입니다.

동일한 논스(nonce)를 재사용할 때 개인 키를 도출하는 수학적 공식은 슈노르(Schnorr) 또는 ECDSA 디지털 서명의 속성을 기반으로 합니다. 동일한 논스 kkk를 사용하여 서로 다른 두 메시지에 서명하는 경우, 개인 키 xxx는 간단한 선형 방정식 시스템을 사용하여 계산할 수 있습니다.

Schnorr/ECDSA 공식

동일한 논스 kkk를 갖는 서명을 두 메시지 m1m_1m1, m2m_2m2에 대해 생성한다고 가정합니다. s1=k+H(m1,R)⋅xmod ns_1 = k + H(m_1, R) \cdot x \mod ns1=k+H(m1,R)⋅xmod ns2=k+H(m2,R)⋅xmod ns_2 = k + H(m_2, R) \cdot x \mod ns2=k+H(m2,R)⋅xmodn

어디:

s1,s2s_1, s_2s1,s2 — 메시지 m1,m2m_1, m_2m1,m2에 대한 서명 값
H(m,R)H(m, R)H(m,R)은 메시지의 해시값이고 공개 논스(nonnce)입니다.
xxx는 개인 키입니다.
kkk — 재사용된 개인 nonce
nnn — 그룹 주문

두 방정식을 뺍니다: s1−s2=[H(m1,R)−H(m2,R)]⋅xmod ns_1 — s_2 = [H(m_1, R) — H(m_2, R)] \cdot x \mod ns1−s2=[H(m1,R)−H(m2,R)]⋅xmodn

개인 키를 다음과 같이 표현해 보겠습니다. x=s1−s2H(m1,R)−H(m2,R)mod nx = \frac{s_1 – s_2}{H(m_1, R) – H(m_2, R)} \mod nx=H(m1,R)−H(m2,R)s1−s2modn

따라서, 동일한 논스를 가진 두 개의 서명을 알면 개인 키가 완전히 드러납니다. keyhunters+3

암호화 취약점

MuSig2 코드 분석 및 관련 취약점 조사 결과, 해당 코드에는 비밀 키 또는 개인 키의 직접적인 유출로 이어질 수 있는 명백한 암호화 취약점은 없는 것으로 나타났습니다. 그러나 몇 가지 잠재적인 문제 영역과 중요도가 높아지는 영역을 확인할 수 있습니다.

MuSig2 코드의 잠재적 취약점 분석

직접적인 취약점이 없는 중요 영역

105-115행 – 함수 sortKeys

가다:

func sortKeys(keys []*btcec.PublicKey) []*btcec.PublicKey {
	keySet := sortableKeys(keys)
	if sort.IsSorted(keySet) {
		return keys
	}
	sort.Sort(keySet)
	return keySet
}

이 기능은 보안에 매우 중요합니다. 키가 제대로 정렬되지 않으면 해시 값과 집계 계수가 달라질 수 있기 때문입니다. 하지만 이 구현에는 명백한 취약점이 없습니다. keyhunters+1

130~145행 – 함수 keyHashFingerprint

가다:

func keyHashFingerprint(keys []*btcec.PublicKey, sort bool) []byte {
	if sort {
		keys = sortKeys(keys)
	}
	keyAggBuf := make([]byte, 33*len(keys))
	keyBytes := bytes.NewBuffer(keyAggBuf[0:0])
	for _, key := range keys {
		keyBytes.Write(key.SerializeCompressed())
	}
	h := chainhash.TaggedHash(KeyAggTagList, keyBytes.Bytes())
	return h[:]
}

이 함수는 집계 계수 계산에 사용되는 키의 지문을 생성합니다. 구현은 정확하며 암호학적으로 강력한 해시 함수를 사용합니다. btctranscripts+1

더욱 주목받는 분야

320~335행 – 함수 tweakKey

가다:

func tweakKey(keyJ btcec.JacobianPoint, parityAcc btcec.ModNScalar, tweak [32]byte,
	tweakAcc btcec.ModNScalar,
	xOnly bool) (btcec.JacobianPoint, btcec.ModNScalar, btcec.ModNScalar, error) {

이 함수는 키를 수정하며 Y 좌표의 정확한 일치를 보장하는 데 매우 중요합니다. 360번째 줄의 무한점 검사는 유효하지 않은 키 생성을 방지하는 데 중요합니다 .

168-188행 – 함수 aggregationCoefficient

가다:

func aggregationCoefficient(keySet []*btcec.PublicKey,
	targetKey *btcec.PublicKey, keysHash []byte,
	secondKeyIdx int) *btcec.ModNScalar {
	var mu btcec.ModNScalar
	if secondKeyIdx != -1 && keyBytesEqual(keySet[secondKeyIdx], targetKey) {
		return mu.SetInt(1)
	}

두 번째 고유 키(계수 1)에 대한 최적화는 정확하며 MuSig2.blockstream +1 사양을 준수합니다.

MuSig2의 주요 취약점은 이 코드 외부에 있습니다.

MuSig2의 주요 암호화 취약점은 논스 재사용 이지만 , 이 문제는 제시된 키 집계 코드에는 영향을 미치지 않습니다. 이 취약점은 서명 생성 단계에서 다음과 같은 경우에 나타납니다: ishaana+1

서로 다른 메시지에 서명할 때 동일한 논스가 사용됩니다.
이를 통해 공격자는 선형 방정식 시스템을 통해 개인 키를 계산할 수 있습니다 .

이 코드는 키 집계만 처리하며 서명에 필요한 논스 생성 기능은 포함하지 않습니다.

잠재적인 공격 벡터(코드에는 없음)

악성 키 공격 – 블록스트림+1 집계 요소를 해싱하여 보호
Wagner의 공격 – MuSig2 iacr+1 의 두 개의 nonce에 의해 방지됨
동시 세션 공격 – MuSig2 btctranscripts+1 프로토콜 아키텍처 로 해결

결론

제시된 MuSig2 키 집계 코드는 비밀 키 유출로 이어질 수 있는 직접적인 암호화 취약점을 포함하는 부분이 없습니다 . 이 코드는 BIP-327 사양에 따라 키 집계 알고리즘을 정확하게 구현합니다. MuSig2의 주요 보안 위협은 서명 단계와 논스 관리와 관련이 있는데, 이 BIP 코드 조각 에는 해당 부분이 나타나지 않습니다 .

모든 핵심 기능(키 정렬, 집계 계수 계산, 키 수정)은 적절한 보안 검사를 거쳐 정확하게 구현되었습니다.

Nonce 재사용의 어두운 유령 공격: 비트코인에 치명적인 취약점과 분실된 지갑의 개인 키 복구 문제. 이 위협은 대규모 비트코인 자금 유출로 이어질 수 있습니다.

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 59.68397731 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은 59,683,97731 BTC (복구 당시 약 7,503,768.04달러) 가 들어 있는 비트코인 지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다 . 목표 지갑 주소는 125sSbPEZR92LDVsFAmNakXZPjHxz52eBP 로 , 비트코인 블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은 취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.seedkey.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보들을 체계적으로 테스트한 결과, 팀은 지갑 가져오기 형식(WIF)에서 유효한 개인 키인 5JnFgeA32yYid3mwxjvehAYSkfE6hdbyb5VsjAHGVFYXDD9JiyH를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction [지갑 복구: $7503768.04]

기술적 프로세스 및 블록체인 확인

기술적 복구는 취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다 . 그런 다음 팀은 결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여 후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더: www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은 지갑 제어권을 확인하기 위해 검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는 비트코인 지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라 암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은 취약점을 식별하고 악용하도록 특별히 설계된 암호화 분석 도구를 개발했습니다. 이 도구는 블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로 귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여 개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는 암호 분석 요소와 최적화된 검색 방법론을 결합한 체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러 상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
블록체인 통합 레이어 : 이 도구는 비트코인 네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는 응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

#	출처 및 제목	주요 취약점	영향을 받는 지갑/기기	크립토딥테크 역할	주요 증거/세부 사항
1	크립토뉴스닷컴(CryptoNews.net) 보도 : 비트코인 지갑에 사용되는 중국산 칩이 거래자들을 위험에 빠뜨리고 있다.	중국산 ESP32 칩에서 발견된 CVE-2025-27840 취약점에 대해 설명합니다. 이 취약점은 무단 거래 서명 및 원격 개인 키 탈취를 허용합니다.	ESP32 기반 비트코인 하드웨어 지갑 및 ESP32를 사용하는 기타 IoT 장치.	크립토딥테크는 화이트햇 해커들이 칩을 분석하고 취약점을 발견한 사이버 보안 연구 회사라고 소개합니다 .	크립토딥테크(CryptoDeepTech)가 거래 서명을 위조하고 10 BTC가 들어 있는 실제 지갑의 개인 키를 복호화하여 해당 공격이 실현 가능하다는 것을 입증했다는 점에 주목하십시오.
2	Bitget 뉴스: ESP32 칩 취약점으로 인해 비트코인 지갑에 잠재적 위험이 발생할 수 있음	이 문서에서는 CVE-2025-27840 취약점이 공격자가 ESP32의 보안 프로토콜을 우회하고 Crypto-MCP 결함 등을 통해 지갑 개인 키를 추출할 수 있도록 허용한다고 설명합니다.	ESP32 기반 하드웨어 지갑(Blockstream Jade Plus(ESP32-S3) 포함) 및 Electrum 기반 지갑.	CryptoDeepTech의 심층 분석을 인용하며 공격자가 개인 키에 접근할 수 있다는 경고를 반복적으로 언급합니다.	크립토딥테크(CryptoDeepTech) 연구원들이 10 BTC가 들어 있는 테스트용 비트코인 지갑을 대상으로 해당 버그를 악용했다는 보고가 나왔으며 , 이는 대규모 공격 및 국가 지원 작전으로 이어질 수 있는 위험성을 강조합니다.
3	바이낸스 스퀘어에서 비트코인 지갑용 칩에 심각한 취약점이 발견되었습니다.	ESP32의 CVE-2025-27840에 대한 요약: 모듈 업데이트를 통한 영구 감염 및 승인되지 않은 비트코인 거래 서명 과 개인 키 탈취 기능 .	ESP32 칩은 수십억 개의 IoT 기기와 Blockstream Jade와 같은 하드웨어 비트코인 지갑에 사용됩니다.	크립토딥테크 전문가들이 공격 벡터를 발견하고 실험적으로 검증한 공로를 인정한다 .	CryptoDeepTech의 조사 결과는 다음과 같습니다: 취약한 의사난수 생성기(PRNG) 엔트로피, 유효하지 않은 개인 키 생성 , 잘못된 해싱을 통한 위조 서명, ECC 하위 그룹 공격, 곡선 상의 Y 좌표 모호성 악용 등이며 , 10 BTC 지갑을 대상으로 테스트했습니다.
4	Poloniex Flash Flash 1290905 – ESP32 칩 취약점	비트코인 지갑에 사용되는 ESP32 칩에 심각한 취약점(CVE-2025-27840)이 있어 개인 키 도난으로 이어질 수 있다는 짧은 경고입니다.	ESP32 기반 모듈 및 관련 네트워크 장치를 사용하는 비트코인 지갑.	해당 취약점에 대한 해외 언론 보도를 전달하고, 독자들에게 독립적인 전문가들의 외부 연구 자료를 참조하도록 암묵적으로 안내합니다.	완전한 분석이라기보다는 시장 뉴스 지표 역할을 하지만, 거래자들 사이에서 ESP32/CVE-2025-27840 문제에 대한 인식을 높이는 데 도움이 됩니다.
5	X(트위터) – BitcoinNewsCom이 ESP32의 CVE-2025-27840에 대해 트윗했습니다.	여러 유명 비트코인 하드웨어 지갑에 사용되는 ESP32 칩에서 심각한 취약점(CVE-2025-27840)을 발견했다고 발표합니다 .	ESP32 기반의 “여러 유명 비트코인 하드웨어 지갑”과 더 넓은 암호화폐 하드웨어 생태계.	(링크된 기사에 보도된) 보안 연구원들의 연구 성과를 강조하지만 , 연구팀에 대한 자세한 정보는 제공하지 않습니다. 기본 정보는 CryptoDeepTech에서 가져왔습니다.	X에 대한 신속한 뉴스 배포 수단으로, CryptoDeepTech의 익스플로잇 시연 및 10 BTC 테스트 지갑에 대한 자세한 내용을 담은 장문의 기사 로 트래픽을 유도합니다.
6	ForkLog (EN) 비트코인 지갑 칩에서 심각한 취약점 발견	ESP32의 CVE-2025-27840 취약점을 통해 공격자가 업데이트를 이용해 마이크로컨트롤러를 감염시키고 , 승인되지 않은 거래에 서명하고, 개인 키를 탈취하는 방법에 대한 자세한 내용입니다.	ESP32 칩은 수십억 개의 IoT 기기와 Blockstream Jade와 같은 하드웨어 지갑에 사용됩니다.	해당 문서에서는 크립토딥테크(CryptoDeepTech) 전문가들이 결함을 발견하고, 다양한 공격 방식을 테스트하며, 실제 익스플로잇을 수행했다고 명시적으로 밝히고 있습니다.	이 글에서는 CryptoDeepTech의 스크립트를 사용하여 유효하지 않은 키를 생성하고, 비트코인 서명을 위조하고, 소규모 그룹 공격을 통해 키를 추출하고, 가짜 공개 키를 제작하는 방법을 설명하며, 실제 10 BTC 지갑에서 검증한 결과를 제시합니다.
7	AInvest 비트코인 지갑, ESP32 칩 결함으로 취약	ESP32의 CVE-2025-27840 취약점으로 인해 지갑 보호 기능을 우회하고 개인 키를 추출할 수 있으므로 비트코인 사용자에게 경고가 필요하다는 점을 다시 한번 강조합니다.	ESP32 기반 비트코인 지갑(Blockstream Jade Plus 포함) 및 ESP32를 활용한 Electrum 기반 설정.	이 글은 CryptoDeepTech의 분석 내용을 강조하고, 해당 취약점에 대한 기술적 통찰력을 제공하는 주요 출처 로서 CryptoDeepTech 팀을 소개합니다 .	크립토딥테크(CryptoDeepTech)가 10 BTC 지갑을 실제로 악용한 사례를 언급하며 , 손상된 ESP32 칩을 이용해 국가 차원의 스파이 활동 및 조직적인 절도 행위가 발생할 가능성에 대해 경고합니다 .
8	비트코인 지갑에 사용되는 중국산 Protos 칩이 거래자들을 위험에 빠뜨리고 있습니다.	ESP32의 CVE-2025-27840 취약점을 조사하여 모듈 업데이트를 악용하여 승인되지 않은 BTC 거래에 서명하고 키를 탈취하는 방법을 보여줍니다.	Blockstream Jade와 같은 하드웨어 지갑 및 기타 여러 ESP32 탑재 기기에는 ESP32 칩이 내장되어 있습니다.	CryptoDeepTech는 화이트햇 해커들이 실제로 취약점을 입증한 사이버 보안 연구 회사라고 설명합니다 .	크립토딥테크(CryptoDeepTech)가 디버그 채널을 통해 거래 서명을 위조 하고 10 BTC가 들어 있는 지갑의 개인 키를 성공적으로 해독했다는 보고가 나왔는데 , 이는 그들의 뛰어난 암호 분석 능력을 보여주는 것이다.
9	CoinGeek 의 Blockstream Jade 지갑과 ESP32 칩 내부에 숨겨진 위협	이 보고서는 CVE-2025-27840을 하드웨어 지갑 결함의 더 넓은 맥락에서 다루며, ESP32의 취약한 난수성으로 인해 개인 키를 추측하기 쉽고 자체 보관 보안을 약화시킨다는 점을 강조합니다.	ESP32 기반 지갑(Blockstream Jade 포함) 및 ESP32로 제작된 모든 DIY/맞춤형 서명 도구.	CryptoDeepTech의 연구가 이론을 넘어 실제 행동으로 이어졌음을 강조합니다. 그들은 ESP32의 취약점을 이용해 10 BTC가 들어 있는 지갑을 해킹했습니다.	크립토딥테크(CryptoDeepTech)의 10 BTC 지갑 해킹 성공 사례를 중심으로, 칩 수준의 취약점이 하드웨어 지갑을 대규모로 조용히 손상시킬 수 있음을 주장합니다.
10	ESP32 칩 결함 으로 암호화폐 지갑이 해킹 위험에 노출됨…	CVE-2025-27840은 취약한 의사난수 생성기(PRNG), 유효하지 않은 개인 키 허용, 그리고 위조된 ECDSA 서명 및 키 도용을 허용하는 Electrum 관련 해싱 버그 의 조합으로 분석됩니다 .	ESP32 기반 암호화폐 지갑(예: Blockstream Jade) 및 ESP32가 내장된 다양한 IoT 장치.	해당 취약점을 발견하고 , CVE를 등록하고, 통제된 시뮬레이션에서 키 추출을 시연한 CryptoDeepTech의 사이버 보안 전문가들에게 공로를 돌립니다.	이 글은 크립토딥테크(CryptoDeepTech)가 10 BTC가 들어 있는 지갑에서 개인 키를 어떻게 은밀하게 추출했는지 설명하고 , 일렉트럼(Electrum) 기반 지갑과 전 세계 IoT 인프라에 미치는 영향에 대해 논의합니다.
11	ForkLog (RU) В чипах для биткоин‑кошельков обнаружили критическуу уязвимость	ESP32의 CVE-2025-27840 취약점에 대한 러시아어 보도 자료입니다. 이 자료에서는 공격자가 업데이트를 통해 칩을 감염시키고, 승인되지 않은 거래에 서명하고, 개인 키를 탈취할 수 있다고 설명합니다.	ESP32 기반 비트코인 하드웨어 지갑(Blockstream Jade 포함) 및 기타 ESP32 기반 장치.	크립토딥테크 전문가들이 해당 칩의 결함에 대한 연구, 실험 및 기술적 결론 의 출처라고 설명합니다 .	영어 버전과 동일한 실험 목록을 제공합니다. 유효하지 않은 키 생성, 서명 위조, ECC 하위 그룹 공격 및 가짜 공개 키 등 모든 실험은 실제 10 BTC 지갑에서 테스트되었으며, 이는 CryptoDeepTech가 실무 암호 분석가로서의 역할을 강화합니다.
12	SecurityOnline.info CVE-2025-27840: 초소형 ESP32 칩으로 전 세계 비트코인 지갑을 해킹할 수 있는 방법	후원자 전용 심층 분석 영상입니다. ESP32 설계의 작은 결함이 어떻게 전 세계 비트코인 지갑을 위협할 수 있는지 집중적으로 다룹니다 . (CVE-2025-27840 관련 내용)	전 세계의 비트코인 지갑 및 기타 장치들은 ESP32 마이크로컨트롤러에 의존합니다.	CryptoDeepTech에서 제공한 이미지를 사용하고 있으며, 해당 보고서를 그들의 연구를 기반으로 한 전문적인 취약점 분석으로 제시합니다.	전체 내용은 유료 구독자만 볼 수 있지만, 예고편을 통해 해당 기사가 CryptoDeepTech의 조사 결과와 마찬가지로 ESP32 결함과 이로 인한 지갑 개인 키 노출 문제를 다루고 있음을 알 수 있습니다.

BitcoinQuasar: 논스 재사용 취약점을 악용하여 개인 키를 추출하고 분실된 비트코인 지갑을 복구하는 방법

비트코인 생태계의 무결성과 보안은 개인 암호화 키의 불가침성에 크게 의존합니다. BitcoinQuasar는 ECDSA 및 Schnorr 기반 프로토콜의 nonce 재사용 취약점을 비롯한 고급 공격 벡터를 활용하도록 설계된 차세대 암호화 툴킷입니다. 이 글에서는 BitcoinQuasar에 대한 심층적인 기술적 및 과학적 개요를 제공하고, 그 효과를 뒷받침하는 암호화 원리를 분석하며, 서명 구현이 nonce 고유성을 위반할 경우 비트코인 지갑과 자금에 미치는 심각한 위험을 평가합니다. 이러한 시나리오는 실제 사례에서 막대한 재정적 손실을 초래했습니다.

ECDSA 및 그 후속 프로토콜인 Schnorr(MuSig2와 같은 고급 다중 서명 프로토콜 포함)와 같은 안전한 디지털 서명 체계는 비트코인의 신뢰 모델을 뒷받침합니다. 그러나 단 하나의 구현 결함, 특히 서명 논스(nonce)의 재사용 또는 예측 가능성은 개인 키를 돌이킬 수 없을 정도로 손상시킬 수 있습니다. BitcoinQuasar는 공개된 비트코인 거래 데이터 내의 이러한 취약점을 스캔, 탐지 및 악용하도록 설계된 강력한 분석 및 공격 플랫폼입니다. 논스 재사용이 감지되면 개인 키 복구 및 손실된 지갑 자금 복원을 가능하게 합니다 .

논스 고유성의 암호학적 원칙

각 비트코인 거래 서명은 엄격하게 고유하고 진정한 난수인 논스(k)를 사용해야 합니다. ECDSA 및 Schnorr 서명의 수학적 구조는 논스를 부분적으로 재사용하는 경우, 즉 서로 다른 메시지에 동일한 k를 사용하거나 예측 가능한 값을 사용하는 경우에도 간단한 선형화 방정식을 풀어 개인 키 x를 복구할 수 있음을 의미합니다. 동일한 r(논스 값)을 가진 두 서명의 경우: s1=k+H(m1,r)x(modn) s2=k+H(m2,r)x(modn)

빼면 다음과 같습니다:s1−s2=[H(m1,r)−H(m2,r)]x(modn)s_1 – s_2 = [H(m_1, r) – H(m_2, r)]x \pmod{n}s1−s2=[H(m1,r)−H(m2,r)]x(modn)

풀이: x=s1−s2H(m1,r)−H(m2,r)(modn)x = \frac{s_1 – s_2}{H(m_1, r) – H(m_2, r)} \pmod{n}x=H(m1,r)−H(m2,r)s1−s2(modn)

여기서 xxx는 개인 키입니다. 키헌터+2

BitcoinQuasar: 핵심 메커니즘 및 공격 모델

BitcoinQuasar는 전체 비트코인 블록체인에서 논스(nonce) 재사용을 자동화하는 도구로 설계되었습니다. 이 도구는 다음과 같은 핵심 기능을 수행합니다.

블록체인 스캐닝: 수백만 건의 과거 비트코인 거래를 효율적으로 분석하여 모든 고유 서명 쌍을 추출합니다.
논스 충돌 감지: 공격의 전제 조건인 동일한 공개 논스(r)를 공유하는 서명을 식별합니다.
개인 키 복구: 충돌이 발생할 때마다 수학적 복구 방법을 적용하여 소유자의 개인 키를 복구합니다.
분실된 지갑 복구: 개인 키가 복구되면 BitcoinQuasar는 해당 지갑의 자금을 회수하는 메커니즘을 제공하여 특정 법적 및 윤리적 시나리오 하에서 분실되거나 방치된 자산을 되찾을 수 있도록 합니다. 키헌터

보안상의 의미와 실제적인 영향

BitcoinQuasar를 통해 실행된 nonce 재사용 공격이 성공할 경우, 해당 사용자에게는 치명적인 결과가 초래됩니다.

완전한 통제력 상실: 공격자는 지갑의 모든 자금에 즉각적이고 돌이킬 수 없는 접근 권한을 얻습니다.
포렌식 활용: BitcoinQuasar는 사이버 보안 전문가와 공격자 모두가 사용할 수 있으며, 제대로 구현되지 않은 지갑으로 인해 발생하는 의도치 않은 nonce 재사용 이벤트를 블록체인에서 찾아낼 수 있습니다.
막대한 재정적 손실: 실제 사례를 통해 이러한 유형의 취약점으로 인해 수백만 달러가 도난당한 것으로 확인되었습니다. CVE-2018-0734, CVE-2020-28498 등과 같은 주요 CVE는 암호화 라이브러리 전반에 걸친 시스템적 위험을 자세히 보여줍니다. kaspersky+1
신뢰 상실: 광범위한 개인 키 유출은 비트코인 시스템의 근본적인 보안 보장에 대한 신뢰를 약화시킬 수 있습니다. 키헌터들

방어 및 예방 권고 사항

nonce 재사용 취약점의 심각성을 고려할 때, 연구 및 감사 목적으로 BitcoinQuasar를 배포하는 것은 강력한 대응책을 채택하는 것과 균형을 이루어야 합니다.

RFC6979(결정론적 ECDSA 논스) 및 Schnorr 서명에 대한 BIP-340/BIP-327과 같은 표준을 엄격히 준수합니다. 키헌터
지갑 소프트웨어 및 암호화 라이브러리에 대한 정기적이고 독립적인 보안 감사.
높은 엔트로피와 암호학적으로 안전한 난수 생성기를 논스 생성에 활용.
이러한 암호화 모범 사례에 대한 개발자와 사용자 간의 인식 제고.

결론

BitcoinQuasar는 현대적인 암호화 분석 및 공격 도구 모음의 과학적으로 엄밀한 예시입니다. 이 도구의 기능은 디지털 서명에서 nonce 재사용이 야기하는 실존적 위협을 부각시켜 줍니다. 이는 비트코인의 신뢰 구조를 단번에 무너뜨릴 수 있는 몇 안 되는 소프트웨어 결함 중 하나입니다. 이러한 위험을 완화하고 모니터링하기 위해서는 지속적인 커뮤니티의 감시, 암호화 보안 강화, 그리고 끊임없는 연구가 필요합니다. reddit+2

연구 논문: MuSig2의 심각한 nonce 재사용 취약점, 그 원인 및 안전한 해결책

소개

MuSig2는 Schnorr 기반의 최신 다중 서명 디지털 서명 방식으로, 비트코인 네트워크에서 개인 정보 보호를 강화하고 서명 크기를 줄이기 위해 사용됩니다. 이 방식의 보안은 각 서명 세션에서 사용되는 nonce의 고유성과 암호학적 강도에 직접적으로 달려 있습니다. nonce 생성 과정이 안전하지 않으면 개인 키가 완전히 노출되어 자금이 손실되는 등 치명적인 결과를 초래할 수 있습니다. keyhunters+2

취약성 발생 메커니즘

전형적인 공격 시나리오

고전적인 암호화 공격인 논스 재사용 공격은 동일한 논스(일회용 난수)를 사용하여 두 개의 서로 다른 메시지에 서명할 때 발생합니다. 이는 의도적일 수도 있고, 난수 생성기의 버그나 결함 있는 구현(예: 고정된 숫자, aux_rand동일한 입력 매개변수)으로 인해 발생할 수도 있습니다. bitcoinops+2

동일한 $r$(공개 논스)을 갖지만 메시지 $m_1, m_2$가 서로 다른 두 서명 $(s_1, r)$과 $(s_2, r)$이 주어졌을 때, 공격자는 다음 공식을 사용하여 개인 키 $x$를 수학적으로 계산할 수 있습니다. $x = s1 − s2 H(m1) − H(m2) mod n$

여기서 $H$는 해시 함수이고, $n$은 그룹 순서입니다. aimspress+1

과학적 형식화

이 취약점은 논스 재사용 공격 또는 반복 논스 공격으로 분류되며, MuSig2 다중 서명 방식에서는 논스 상태가 집계되어 더욱 복잡해집니다. 경우에 따라 장시간 또는 병렬 서명 세션에서 비밀 논스를 부적절하게 저장하거나 생성하는 경우(예: 메모리 복사, 매개변수 재사용) 공격이 발생할 수 있습니다. delvingbitcoin+2

안전한 해결책: 신뢰할 수 있고 반복 가능한 솔루션

교정의 원칙

주요 요구 사항:

비결정성 : 각 nonce는 세션 및 메시지마다 고유해야 합니다.
상태 파괴 : 서명 완료 후 비밀 난수를 파괴합니다.
암호학적으로 안전한 난수 생성기(CSPRNG)를 사용합니다 .
증명 가능한 결정론적이고 고유한 논스 생성 — 예를 들어, 개인 키, 난수 매개변수 및 메시지를 사용하는 MuSig-DN/EdDSA 알고리즘을 사용하는 경우.

안전한 nonce 생성 방식

BIP-340 및 MuSig-DN 표준에서는 다음과 같은 원칙에 따라 논스가 생성되는 안전한 방법을 제시합니다.

파이썬def secure_nonce(private_key, aux_rand, message):
    """
    private_key: bytes (32)
    aux_rand: bytes (32), криптографически случайное число
    message: bytes
    """
    # BIP-340: nonce = Hash(private_key || aux_rand || message)
    seed = private_key + aux_rand + message
    nonce = sha256(seed)
    return nonce

aux_rand 는 암호학적으로 강력한 생성기에 의해 생성됩니다. aimspress+2
논스와 전체 시드 값은 사용 직후 메모리에서 즉시 삭제됩니다. bitcoinops

MuSig2의 안전한 구현 예시 (Go와 유사한 의사 코드)

가다func SecureNonceGen(privKey []byte, message []byte) []byte {
    // Get auxiliary randomness from /dev/urandom or cryptographically secure PRNG
    auxRand := GetSecureRandomBytes(32) 
    // Combine inputs and hash
    seed := append(privKey, auxRand...)
    seed = append(seed, message...)
    nonce := sha256(seed)
    SecureDelete(seed)
    return nonce
}

auxRand 서명할 때 마다 새로운 파일을 생성하십시오 .
auxRand어떤 구현에서도 모든 값을 0으로 설정하는 등의 고정된 값을 사용해서는 안 됩니다 .
서명을 생성한 직후 시드와 프라이빗 논스를 즉시 삭제하십시오.
메시지 하나당 동일한 개인 논스를 두 번 이상 사용하지 마십시오.
비공개적인 불필요한 정보는 장기 기억에 저장하지 마세요.

과학적 타당성 및 권장 사항

MuSig-DN(결정론적 논스 증명) 방식의 사용은 논스 재사용 공격에 대한 강력한 수학적 보호를 제공하고 PRNG 블록스트림+2 의 보안 요구 사항을 줄입니다.

이 접근 방식은 플랫폼(Bitcoin Core, HSM, 지갑)에 관계없이 MuSig2를 포함한 모든 최신 다중 서명 체계 구현에 권장됩니다. bips+2

결론

MuSig2의 심각한 논스 재사용 취약점은 비트코인 지갑과 거래 보안에 근본적인 위협입니다. 논스 생성 구현은 안전한 암호화 원칙, 즉 각 서명의 고유성과 비결정성, 그리고 적절한 상태 소멸을 기반으로 해야 합니다. MuSig-DN/BIP-340과 같은 과학적 권장 사항, 표준 및 모범 사례는 논스 재사용 공격을 방지하는 훌륭하고 신뢰할 수 있는 방법입니다.

MuSig2를 구현하는 보안 애플리케이션의 경우, 위에 제시된 원칙과 코드에 따라 안전한 nonce 생성을 구현하는 것이 필수적입니다.

최종 과학적 결론

논스 재사용 취약점(논스 재사용 공격)은 비트코인 암호화폐 인프라 전체에 대한 근본적인 위험의 대표적인 예입니다. 이 취약점을 악용하면 공격자는 단 하나의 서명 오류만으로 사용자의 개인 키를 완전히 노출시키고, 동일하거나 예측 가능한 논스를 가진 몇 개의 서명만 이용해 사용자의 모든 자금을 탈취할 수 있습니다. 논스 재사용 공격, 반복 논스 공격 또는 논스 재사용을 통한 개인 키 복구라고 불리는 이 공격은 이미 수백만 달러의 손실과 수많은 블록체인에 피해를 입혔습니다. keyhunters+2

MuSig2나 Schnorr 같은 다중 서명 방식에서 논스 생성 구현에 결함이 있으면 치명적인 결과를 초래할 수 있습니다. 키 유출, 무단 거래, 대규모 자금 탈취, 네트워크 신뢰도 하락, 그리고 비트코인 보안 아키텍처 전체의 붕괴로 이어질 수 있습니다. 고유한 논스가 없다는 것은 마치 금고를 아무에게나 열어주는 것과 같습니다. notsosecure+3

최신 비트코인 구현 및 암호화 라이브러리에서는 엄격한 코드 감사, 암호학적으로 강력한 난수 생성기 사용, 그리고 BIP-340/BIP-327/RFC6979 표준의 철저한 준수가 안정성을 보장하는 데 필수적입니다. 각 서명은 고유하고 예측 불가능한 논스(nonce)를 사용해야 합니다. 이것이 비트코인의 보안과 신뢰를 유지하는 유일한 방법입니다.

리논스(re-nonce) 취약점을 이해하고 해결하는 것은 모든 개발자와 연구자에게 매우 중요한 과제입니다. 이는 수십억 개의 비트코인 코인이 안전하게 보호될지, 아니면 단순하고 파괴적인 공격에 취약해질지를 결정짓는 문제입니다.

논스의 고유성을 보장하는 것은 향후 수년간 비트코인 기술 전체의 생존과 신뢰를 위한 핵심 요소입니다. strm+3

문학:

암호해독

By

치명적인 Re-Nonce 취약점: 비트코인 ​​암호화폐 보안에 대한 위험한 공격

연구 논문: 비트코인 ​​암호화폐 보안에 미치는 핵심 논스 재사용 취약점의 영향