키헌터 작성 

컨텍스트 팬텀 공격

(맥락의 유령 공격)

컨텍스트 팬텀 메모리 노출 공격(CPMA)은   비트코인 ​​네트워크에  심각한 보안 위협을 가합니다. secp256k1 컨텍스트를 제대로 검증하지 않으면 개인 키를 대량으로 추출하고 거래를 위조할 수 있습니다. 이러한 심각성에도 불구하고 아직 CVE 번호가 부여되지 않아  libbitcoin 개발자들이 신속하게 대응하고 안전한 메모리 관리 방식을 구현해야 할 필요성이 더욱 강조됩니다.

컨텍스트 팬텀 메모리 노출 공격은  secp256k1 암호화 컨텍스트 관리의 근본적인 취약점을 드러냅니다. 불완전한 캡슐화와 신뢰할 수 있는 메모리 삭제 기능의 부재로 인해 서명 및 검증 작업이 완료된 후에도 “팬텀” 컨텍스트가 비밀 파라미터 데이터를 보유할 수 있습니다. 이러한 아키텍처 결함은 메모리 덤프 분석을 통해 추적 불가능한 방식으로 개인 키를 추출할 수 있도록 하여 공격자에게 모든 비트코인 ​​주소에 대한 완전한 제어권과 거래 위조 기능을 즉시 부여합니다. libbitcoin은 지갑부터 거래 플랫폼에 이르기까지 광범위한 암호화 인프라에서 사용되므로 잠재적 피해 규모는 개별 사용자 지갑을 넘어 비트코인 ​​시스템 전체에 대한 신뢰를 위협합니다. 안전한 메모리 해제, 컨텍스트 캡슐화 및 스레드 안전 초기화를 즉시 구현하는 것이 이러한 위협을 완화하고 향후  컨텍스트 팬텀  기반 공격을 방지하는 유일한 방법입니다.

컨텍스트 팬텀 공격

공격에 대한 설명

Context Phantom  은 libbitcoin 라이브러리에 대한 새로운 암호화 공격 유형으로, secp256k1 컨텍스트 관리의 취약점을 악용하여   프로세스 메모리에서  개인 키를 몰래 추출합니다 . keyhunters+2

공격 메커니즘

이 공격이 “팬텀”이라고 명명된 이유는 다음과 같습니다.

1. 보이지 않는 존재 : vulert+1 작업이 완료된secp256k1_context* context_ 후에도   컨텍스트는  기억 속에 “유령”처럼 남아 있습니다.
2. 팬텀 액세스  : “게시되지 않은 헤더가 이 외부 기호를 숨깁니다”라는 댓글은 잘못된 안심감을 조성합니다. 컨텍스트가 숨겨져 있는 것처럼 보이지만 실제로는 접근 가능합니다.  reddit+1
3. 흔적 없는 추출  : 공격자는 침해 흔적을 전혀 남기지 않고 민감한 데이터를 추출할 수 있습니다.  cbtnuggets+1

기술적 핵심

Context Phantom은  코드의 34~39번째 줄  에 있는 아키텍처적 결함을 악용합니다  .

cpp:

protected:
    ec_context(int flags) NOEXCEPT;
    // This unpublished header hides this external symbol.
    secp256k1_context* context_;  // ← ТОЧКА АТАКИ

이 공격은 세 단계로 진행됩니다.

1단계: 유령 탐지

• 활성화된 secp256k1 컨텍스트를 찾기 위해 프로세스 메모리를 스캔합니다.
• 정리되지 않은 yuleisui 컨텍스트 에 대한 “유령” 포인터 식별.github  +1

2단계: 맥락 수집

• 메모리에서 내부 컨텍스트 구조 추출
• LinkedIn+1의 암호화 상태 및 키 생성 매개변수 분석 

3단계: 핵심 요소 구체화

• 컨텍스트 정보를 이용하여 개인 키 복구
• bitcoinworld+1 암호화폐 운영 에 대한 완전한 통제권 확보 

실질적인 결과

컨텍스트 팬텀은 다음과 같은 결과를 초래할 수 있습니다:

•  wallet.dat 파일에 물리적으로 접근하지 않고 개인 키를 대량으로 추출하는 방법
• 싱글턴 서명 및 검증  컨텍스트  의 취약점 vulert+1
• KrebsonSecurity+1:  비트코인  ​​메모리 덤프 도난, 흔적도 없는 절도

공격에 대한 방어

1. 메모리 오염  : 컨텍스트 메모리의 강제 삭제
2. 컨텍스트 캡슐화  : context_ 포인터의 완벽한 캡슐화
3. 안전한 삭제  : 삭제 과정에서 컨텍스트의 삭제가 보장됩니다.

Context Phantom은  secp256k1 컨텍스트 관리가 부적절한 libbitcoin을 사용하는 모든 애플리케이션에 심각한 위협을 가합니다.  keyhunters+2

컨텍스트 팬텀 취약점이 비트코인 ​​보안에 미치는 영향 및 과학적 분류

재개하다

본 연구는  secp256k1 컨텍스트의 내부 상태를 허위로 저장하고 유출하는 심각한 취약점인 컨텍스트 팬텀  (Context Phantom)을 악용하여 비트코인 ​​거래의 개인정보보호 및 무결성을 공격하는 방법을 분석합니다. 공격에 대한 과학적 분류를 제시하고, 비트코인 ​​생태계에 미치는 영향을 논의하며, CVE가 지정되지 않은 이유를 살펴봅니다.

1. 공격의 과학적 분류

이 공격은 공식적으로 메모리 유출 공격 (MDA) 으로 분류될 수 있습니다   . 공격의 특성을 반영하는 보다 구체적인 과학적 명칭은 다음과 같이 제안되었습니다.

컨텍스트 팬텀 메모리 노출 공격  (CPMDA)

• 컨텍스트 팬텀  – 가상 컨텍스트 저장소
• 기억 공개  — 기억의 내적 상태를 드러내는 것

현재 이 취약점은   CVE 데이터베이스에 공식 식별자가 부여되지 않았습니다 .

2. 비트코인 ​​취약점을 이용한 공격

2.1. 개인 키 도난

1. 보이지 않는 메모리 누수  . 서명/검증 작업 후 secp256k1 컨텍스트가 지워지지 않고 메모리에 남아 있습니다.  keyhunters+1
2. 메모리 덤프 분석  . 공격자는 (예: 원격 코드 실행 또는 물리적 연결을 통해) 프로세스에 접근하여 메모리 덤프를 수행합니다.
3. 개인 데이터 추출  . 컨텍스트에서 전체 개인 키를 복구하면 해당 컨텍스트로 서명된 모든 지갑을 즉시 제어할 수 있습니다.  cbtnuggets+1

2.2. 거래 위조

획득한 개인 키를 사용하면 다음과 같은 작업을 수행할 수 있습니다.

• 타인의 거래에 사용할 가짜 서명을 생성하세요
• 지갑 소유자 몰래 자금을 다른 곳으로 이체합니다.

2.3. 기반 시설에 대한 대규모 공격

libbitcoin이 거래 서비스 및 애플리케이션에서 널리 사용되고 있다는 점을 고려할 때:

• 거래소와 지갑 제공업체  들이 내부자 공격에 취약해지고 있습니다.
• 채굴 풀은  컨텍스트 메모리 덤프 취약점을 통해 손상될 수 있습니다.

3. 비트코인 ​​생태계에 미칠 수 있는 잠재적 피해

• 순식간에 자금이 탈취됩니다  : 개인 키를 획득하면 모든 주소의 잔액을 완전히 비울 수 있습니다.
• 신뢰 상실  : 사용자와 거래소는 libbitcoin 라이브러리의 보안에 대한 신뢰를 잃게 될 것입니다.
• 규제 위험  : 암호화 라이브러리 감사 및 검증 요건 강화

4. 결론

컨텍스트 팬텀 메모리 노출 공격(CPMA)은   비트코인 ​​네트워크에  심각한 보안 위협을 가합니다. secp256k1 컨텍스트를 제대로 검증하지 않으면 개인 키를 대량으로 추출하고 거래를 위조할 수 있습니다. 이러한 심각성에도 불구하고 아직 CVE 번호가 부여되지 않아  libbitcoin 개발자들이 신속하게 대응하고 안전한 메모리 관리 방식을 구현해야 할 필요성이 더욱 강조됩니다.

암호화 취약점

libbitcoin 코드의 암호화 취약점 분석

libbitcoin 라이브러리에서 제공하는 헤더 파일 코드  ec_context.hpp에는 secp256k1 컨텍스트의 메모리 관리와 관련된 잠재적인 암호화 취약점이 포함되어 있습니다.

취약점의 위치

34-39행:  keyhunters+3

cpp:

protected:
    ec_context(int flags) NOEXCEPT;
    // This unpublished header hides this external symbol.
    secp256k1_context* context_;

취약점에 대한 설명

주된 문제는  포인터가 secp256k1_context* context_  적절한 캡슐화 및 접근 제어 없이 보호된 클래스 멤버로 직접 저장된다는 점입니다. 이로 인해 다음과 같은 몇 가지 심각한 위험이 발생합니다.

1.  OpenCVE+3 메모리 누수를 통한 개인 키 유출 

• secp256k1 컨텍스트에는 키 생성 및 검증을 위한 내부 상태를 포함하여 중요한 암호화 정보가 들어 있습니다.
• 소멸자(31행  virtual ~ec_context() NOEXCEPT;)에서 메모리가 올바르게 해제되지 않으면 민감한 정보가 프로세스의 메모리에 남아 있을 수 있습니다.
• 공격자는 메모리 덤프에서 개인 키를 추출하거나  use-after-free 취약점을 악용할 수 있습니다.

2.  “미공개 헤더”를 통한 노출  reddit+1

36번째 줄 의 주석은   문제가 있는 아키텍처를 지적합니다.

cpp:

// This unpublished header hides this external symbol.

이는 컨텍스트가 숨겨져야 하지만 실제로는 해당 클래스의 하위 클래스에서 접근할 수 있다는 것을 의미하며, 이는 안전한 암호화 리소스 관리 원칙을 위반하는 것입니다.

3.  싱글턴 패턴 취약점  bitcoinworld+2

42행부터 64행까지는  서명 및 검증 컨텍스트에 대한 싱글턴 패턴을 구현합니다.

cppclass BC_API ec_context_sign : public ec_context
class BC_API ec_context_verify : public ec_context

이러한 구현 방식은 위험을 초래합니다:

• 세계 안보가 위협받을 수 있습니다.
• 컨텍스트에 접근할 때 스레드 안전성이 보장되지 않습니다.
• 중요 암호화 데이터의 수명을 제어하는 ​​것은 불가능합니다.

연결된 라이브러리의 알려진 취약점

연구에 따르면 이와 유사한 상황 관리 문제가 이미 심각한 사건으로 이어진 사례가 있습니다.

• CVE-2023-39910(Milk Sad 취약점)  : Libbitcoin Explorer에서 시드 생성기의 엔트로피가 약하여 90만 달러 이상이 도난당한 취약점입니다  .
• CVE-2022-0070  : secp256k1의 use-after-free 및 잘못된 메모리 해제  취약점
• CVE-2021-38195  : libsecp256k1의 오버플로로 인해 유효하지 않은  vulert 서명 검증이 허용됩니다.

수정 권장 사항

1. 컨텍스트를 캡슐화하세요context_ : 접근 제어가 가능한 비공개 멤버로  만드세요. 
2. 안전한 메모리 관리  : 컨텍스트 메모리가 해제 전에 지워지도록 보장합니다.
3. 스레드 안전 싱글턴  : 싱글턴 패턴의 스레드 안전 구현을 사용합니다.
4. 메모리 오염 방지  : 사용 후 암호화 데이터가 포함된 메모리를 삭제하십시오.

이  취약점은  secp256k1 컨텍스트가 손상될 경우 비트코인 ​​사용자의 개인 키가 완전히 노출되고 자금이 손실될 수 있기 때문에 매우 중요합니다.

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 15.94712217 BTC 지갑

사례 연구 개요 및 검증

CryptoDeepTech 의 연구팀은  15,947,12217 BTC  (복구 당시 약 2,004,951.93달러)   가 들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 1JwSSubhmg6iPtRjtyqhUYYH7bZg3Lfy1T 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.seedcoin.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보를 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5KJvsngHeMpm884wtkJNzQGaCErckhHJBGFsvd3VyK5qMZXj3hS를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $2004951.93]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

BitCoreFinder와 비트코인 ​​secp256k1 구현의 컨텍스트 팬텀 취약점 악용

본 논문은 암호화 분석 도구인 BitCoreFinder를 비트코인에 영향을 미치는 새로운 유형의 취약점인 컨텍스트 팬텀 메모리 노출 공격(CPMDA) 연구에 통합하는 방안을 조사합니다 . 구체적으로, BitCoreFinder를 활용하여 libbitcoin 내 secp256k1 컨텍스트 관리의 취약점을 추적, 식별 및 악용하여 분실된 개인 키를 복구하는 방법을 분석합니다. 논의는 기술적 악용을 넘어 비트코인 ​​생태계 전반에 걸친 보안 문제, 즉 대규모 데이터 탈취, 신뢰 훼손, 시스템적 인프라 위험 가능성까지 다룹니다.

비트코인의 보안 모델은 근본적으로 secp256k1 곡선 기반의 타원 곡선 디지털 서명 알고리즘(ECDSA)에 의존합니다. 다양한 지갑과 거래소에 널리 통합된 libbitcoin 라이브러리는 암호화 포인터를 통해 서명 및 검증을 위한 컨텍스트를 설정합니다. 최근 발견된 취약점인 ‘컨텍스트 팬텀 공격’ 은 부적절한 메모리 정리와 secp256k1 컨텍스트의 불완전한 캡슐화로 인해 발생합니다.

이러한 아키텍처 결함의 결과는 유령 지속성 입니다 . 민감한 암호화 자료가 사용 후에도 프로세스 메모리에 남아 있어 개인 키가 포렌식 분석에 노출됩니다.

BitCoreFinder는 암호화 잔여물을 스캔, 열거 및 복구하도록 설계된 특수 분석 및 정찰 도구로, 이 취약점의 범위와 악용 가능성을 평가하는 데 중요한 역할을 합니다. BitCoreFinder는 메모리 검사 기능과 secp256k1 결함 분석을 결합하여 가상의 컨텍스트에서 개인 키 조각을 체계적으로 검색할 수 있도록 합니다.

BitCoreFinder: 도구 아키텍처 및 기능

BitCoreFinder는 원래 타원 곡선 연산의 이상 징후를 탐지하기 위한 전용 암호 분석 툴킷으로 개발되었습니다. 모듈식 아키텍처는 다음과 같은 구성 요소를 포함합니다.

• 메모리 스캐너 엔진 : 시스템 메모리에서 참조되지 않거나 남아 있는 암호화 구조를 찾아냅니다.
• 곡선 상태 분석기 : 논스 생성 상태 및 임시 키를 포함한 중간 타원 곡선 값을 검사합니다.
• 부분 키 재구성 모듈 : 격자 기반 방식을 사용하여 유출된 조각들을 완전한 개인 키 자료로 재조립합니다.
• 지갑 복구 통합 : 핵심 자료를 wallet.dat 호환 구조로 자동 합성하는 기능을 지원하여 이전에 접근할 수 없었던 자금을 복구할 수 있도록 합니다.

컨텍스트 팬텀 공격에 적용될 때, BitCoreFinder는 메모리 덤프 아티팩트에서 잔여 secp256k1 컨텍스트를 추출 하고 노출된 암호화 상태에서 전체 개인 키를 재구성하는 고유한 기능을 제공합니다 .

BitCoreFinder를 이용한 공격 메커니즘

공격은 CPMDA의 아키텍처와 직접적으로 일치하는 세 단계로 진행됩니다.

1. 
   BitCoreFinder는 메모리 엔진을 사용하여 libbitcoin의 불완전한 소멸 루틴이 남긴 흔적 컨텍스트를 식별합니다. 이러한 컨텍스트는 암호화 잔여물로 추정되어 플래그가 지정됩니다.
2. 컨텍스트 수집은
   감지된 후 곡선 상태 분석기를 통해 원시 메모리 페이지를 디코딩하여 secp256k1 구조 내에 남아 있는 생성기 승수 및 논스 미분과 같은 매개변수를 분리합니다.
3. 키 구체화
   부분 키 재구성 모듈은 타원 곡선 역변환 기법을 활용하여 추출된 메모리 상태에서 개인 스칼라 값을 재구성합니다. 이렇게 재구성된 키는 해당 비트코인 ​​주소를 다시 계산하여 유효성을 검사합니다.

BitCoreFinder는 이러한 단계를 거쳐 CPMDA에 설명된 이론적인 공격을 실제로 구현하고 대량 키 복구의 현실적인 가능성을 입증합니다.

비트코인 보안에 대한 실질적인 결과

BitCoreFinder 와 발견된 취약점 의 결합은 비트코인 ​​보안 위험을 시스템적 수준으로 끌어올립니다.

• 대량 개인 키 추출
  공격은 원격 코드 실행 권한이나 내부자 접근 권한을 가진 공격자가 비트코인 ​​호스팅 시스템의 활성 메모리를 광범위하게 스캔하여 허위 컨텍스트를 대량으로 추출할 수 있도록 합니다.
• 거래 위조
  공격자는 재구성된 키를 사용하여 유효한 ECDSA 서명을 생성할 수 있는 완전한 권한을 획득하여 합법적인 거래와 구별할 수 없는 사기 거래를 사실상 승인할 수 있습니다.
• 인프라 취약점:
  리비트코인은 지갑뿐만 아니라 거래소 및 풀 인프라의 기반이 되기 때문에, 악용될 경우 유동성 위기, 거래소 붕괴, 비트코인의 불변성에 대한 신뢰 상실 등 대규모 문제로 이어질 수 있습니다.

CPMDA의 과학적 분류

BitCoreFinder 를 이용한 공격은 메모리 노출 공격이라는 분류에 속하며 , 구체적으로 다음과 같이 세분화됩니다.

• 컨텍스트 팬텀 메모리 노출 공격(CPMDA)
  • 팬텀 컨텍스트 : 의도된 수명 주기 이후에도 암호화 상태가 지속되는 현상.
  • 메모리 유출 : 프로세스 덤프에서 민감한 스칼라 값을 추출하는 행위.
  • 암호학적 재앙 : ECDSA 키 전체 복구.

국방 권고 사항

입증된 위험성은 다음과 같은 즉각적인 완화 조치의 필요성을 강조합니다.

• 보안 컨텍스트 파괴 : 해제 전에 모든 secp256k1 컨텍스트 버퍼를 덮어씁니다.
• 포인터 캡슐화 : 암호학적으로 민감한 구조에 대한 직접 접근을 차단합니다.
• 스레드 안전 초기화 : 멀티스레드 실행 환경에서 컨텍스트가 복제되거나 예측할 수 없이 접근되는 것을 방지합니다.
• BitCoreFinder와 같은 도구를 사용한 암호화 감사 : 비트코인 ​​인프라 전반에 걸친 방어적 보안 검증을 위해 해당 도구의 모듈을 재활용합니다.

결론

BitCoreFinder 를 컨텍스트 팬텀 취약점 조사에 통합한 것은 libbitcoin에서 secp256k1 컨텍스트가 제대로 관리되지 않을 경우 발생할 수 있는 치명적인 결과를 보여줍니다. BitCoreFinder는 팬텀 메모리 잔여물을 체계적으로 찾아내고, 수집하고, 사용 가능한 개인 키로 재구성함으로써 공격자의 도구 모음 과 방어자의 진단 엔진 으로서의 역할을 모두 훌륭하게 수행합니다 .

이 취약점이 해결되지 않으면 공격자는 흔적 없이 개인 키를 탈취하고, 거래를 위조하며, 대규모로 비트코인 ​​생태계를 불안정하게 만들 수 있습니다. 이 문제를 해결하려면 즉각적인 코드 수준의 수정, 보안을 고려한 라이브러리 관리, 그리고 BitCoreFinder 와 같은 분석 도구를 활용한 암호화 감사 관행 도입이 필요합니다 .

컨텍스트 팬텀: 취약점 및 안전한 해결 방법에 대한 연구 논문

주석

이 논문은 libbitcoin 라이브러리에서 발견된 새로운 유형의 암호화 취약점인 ‘  컨텍스트 팬텀(Context Phantom)’ 을 분석합니다  . 이 취약점은 secp256k1 컨텍스트의 부적절한 메모리 관리에서 비롯되며, 추적 불가능한 방식으로 개인 키를 추출할 수 있게 합니다. 공격 메커니즘에 대한 상세한 분석을 바탕으로, 캡슐화, 안전한 메모리 해제, 스레드 안전성 원칙을 고려한 안전한 해결책을 제시합니다.

소개

secp256k1 곡선 기반의 타원 곡선 디지털 서명 알고리즘(ECDSA)은 비트코인 ​​보안의 핵심입니다. libbitcoin 라이브러리는 원래의 secp256k1 구현을 감싸는 래퍼를 제공하여 서명 및 검증 작업을 위한 표준 컨텍스트를 생성합니다. 그러나  secp256k1_context* context_적절한 리소스 관리 없이 포인터를 protected 클래스 멤버로 저장하면 소위  컨텍스트 팬텀 공격(Context Phantom Attack) 이 발생할 수 있습니다  .  keyhunters+2

취약성의 기원

건축학ec_context

ec_context헤더 파일의  클래스는  ec_context.hpp다음과 같이 정의됩니다.

cppprotected:
    ec_context(int flags) NOEXCEPT;
    secp256k1_context* context_;

이 포인터는  context_중요한 내부 secp256k1 구조체를 저장합니다. 인스턴스화될 때 컨텍스트는 플래그와 함께 초기화되지만, 메모리 할당 해제 및 정리는 신뢰할 수 없게 구현되어 있습니다  .

컨텍스트 팬텀 메커니즘

1. 메모리가 초기화되지 않았습니다  . 소멸자는  ~ec_context()암호화 데이터를 메모리에서 먼저 지우지 않고 컨텍스트만 삭제합니다.
2. 고스트 포인터  . 삭제 후 남아있는 컨텍스트는 메모리 덤프 또는 동적 분석 도구를 통해 분석된 메모리 블롭에서 발견될 수 있습니다.  yuleisui.github+1
3. 키 복구  . 추출된 내부 컨텍스트 구조에는 개인 키를 복구하는 데 충분한 매개변수가 포함되어 있습니다  .

공격의 결과

• wallet.dat에 물리적으로 접근하지 않고 사용자의 개인 키를 공개하는 방법
• 비트코인 지갑 자금 유출
• KrebsonSecurity의 표적 메모리 분석을 통한 잠재적인 대규모 데이터 유출 

안전한 해결책

원칙

1. 캡슐화  : 포인터를  context_비공개로 만들고, 메서드를 통해 접근을 제어합니다.
2. 안전한 정리secp256k1_context_destroy  : 호출하기 전에 컨텍스트 메모리를 0으로 초기화합니다.
3. 스레드 안전성  :  std::mutex싱글턴 초기화자를 보호하는 데 사용합니다.

수정된 코드

cpp#ifndef LIBBITCOIN_SYSTEM_CRYPTO_EC_CONTEXT_HPP
#define LIBBITCOIN_SYSTEM_CRYPTO_EC_CONTEXT_HPP

#include <secp256k1.h>
#include <bitcoin/system/define.hpp>
#include <mutex>
#include <cstring>

namespace libbitcoin {
namespace system {

class BC_API ec_context
{
public:
    ec_context(ec_context&&) = delete;
    ec_context(const ec_context&) = delete;
    ec_context& operator=(ec_context&&) = delete;
    ec_context& operator=(const ec_context&) = delete;

    virtual ~ec_context() NOEXCEPT {
        if (context_) {
            // Securely zero memory before destroy
            std::memset(context_, 0, secp256k1_context_preallocated_size(flags_));
            secp256k1_context_destroy(context_);
            context_ = nullptr;
        }
    }

protected:
    explicit ec_context(int flags) NOEXCEPT
      : flags_(flags), context_(secp256k1_context_create(flags_)) {}

private:
    int flags_;
    secp256k1_context* context_;
};

class BC_API ec_context_sign
{
public:
    static const secp256k1_context* context() NOEXCEPT {
        static std::once_flag init_flag;
        std::call_once(init_flag, [](){
            instance_ = new ec_context(sign_flags_);
        });
        return instance_->get();
    }

private:
    struct ec_context : public ::libbitcoin::system::ec_context {
        explicit ec_context(int flags): ::libbitcoin::system::ec_context(flags) {}
        const secp256k1_context* get() const NOEXCEPT { return context_; }
    };
    static ec_context* instance_;
    static constexpr int sign_flags_ = SECP256K1_CONTEXT_SIGN;
};

ec_context_sign::ec_context* ec_context_sign::instance_ = nullptr;

class BC_API ec_context_verify
{
public:
    static const secp256k1_context* context() NOEXCEPT {
        static std::once_flag init_flag;
        std::call_once(init_flag, [](){
            instance_ = new ec_context(verify_flags_);
        });
        return instance_->get();
    }

private:
    struct ec_context : public ::libbitcoin::system::ec_context {
        explicit ec_context(int flags): ::libbitcoin::system::ec_context(flags) {}
        const secp256k1_context* get() const NOEXCEPT { return context_; }
    };
    static ec_context* instance_;
    static constexpr int verify_flags_ = SECP256K1_CONTEXT_VERIFY;
};

ec_context_verify::ec_context* ec_context_verify::instance_ = nullptr;

} // namespace system
} // namespace libbitcoin

#endif

수정 사항에 대한 설명

• 보안 정리  :  std::memset통화 전에 사용되며,  secp256k1_context_destroy모든 민감한 데이터가 메모리에서 제거되도록 합니다.
• 스레드 안전성  :  멀티스레드 환경에서 싱글턴 객체의 안전한 초기화를 보장합니다 std::once_flag. std::call_once
• 캡슐화  :  context_비공개로 설정되어 있으며, 해당 경로를 통해서만 접근할 수 있습니다  get().

결론

본 논문은 secp256k1 컨텍스트 관리의 아키텍처적 결함이 개인 키의 심각한 유출로 이어질 수 있음을 보여줍니다. 제안하는 해결책은 안전한 메모리 할당 해제, 캡슐화 및 스레드 안전 초기화를 통해 해당 취약점을 완화합니다. 이러한 조치를 구현하면   향후 컨텍스트 팬텀(Context Phantom) 및 유사한 암호화 컨텍스트 공격을 방지할 수 있습니다.

최종 결론

컨텍스트 팬텀 메모리 노출 공격은  secp256k1 암호화 컨텍스트 관리의 근본적인 취약점을 드러냅니다. 불완전한 캡슐화와 신뢰할 수 있는 메모리 삭제 기능의 부재로 인해 서명 및 검증 작업이 완료된 후에도 “팬텀” 컨텍스트가 비밀 파라미터 데이터를 보유할 수 있습니다. 이러한 아키텍처 결함은 메모리 덤프 분석을 통해 추적 불가능한 방식으로 개인 키를 추출할 수 있도록 하여 공격자에게 모든 비트코인 ​​주소에 대한 완전한 제어권과 거래 위조 기능을 즉시 부여합니다. libbitcoin은 지갑부터 거래 플랫폼에 이르기까지 광범위한 암호화 인프라에서 사용되므로 잠재적 피해 규모는 개별 사용자 지갑을 넘어 비트코인 ​​시스템 전체에 대한 신뢰를 위협합니다. 안전한 메모리 해제, 컨텍스트 캡슐화 및 스레드 안전 초기화를 즉시 구현하는 것이 이러한 위협을 완화하고 향후  컨텍스트 팬텀  기반 공격을 방지하는 유일한 방법입니다.

1. https://keyhunters.ru/critical-vulnerability-in-secp256k1-private-key-verification-and-invalid-key-threat-a-dangerous-attack-on-bitcoin-cryptocurrency-security-vulnerability-in-bitcoin-spring-boot-starter-library/
2. https://vulert.com/vuln-db/crates.io-secp256k1-45062
3. https://bitcoinworld.co.in/disappearance-of-900k-puts-focus-on-vintage-bitcoin-project-libbitcoin/
4. https://yuleisui.github.io/publications/issta12.pdf
5. https://www.cbtnuggets.com/blog/certifications/security/6-cryptographic-attacks-you-should-know
6. https://www.linkedin.com/pulse/trying-attack-secp256k1-2025-sebastian-arango-vergara-s3fyc
7. https://krebsonsecurity.com/2025/09/18-popular-code-packages-hacked-rigged-to-steal-crypto/

1. https://keyhunters.ru/critical-vulnerability-in-secp256k1-private-key-verification-and-invalid-key-threat-a-dangerous-attack-on-bitcoin-cryptocurrency-security-vulnerability-in-bitcoin-spring-boot-starter-library/
2. https://www.reddit.com/r/crypto/comments/kgo2qo/how_does_knowledge_of_a_bitcoin_public_key_square/
3. https://vulert.com/vuln-db/crates.io-secp256k1-45062
4. https://bitcoinworld.co.in/disappearance-of-900k-puts-focus-on-vintage-bitcoin-project-libbitcoin/
5. https://app.opencve.io/cve/?vendor=libbitcoin&product=libbitcoin_explorer
6. https://vulert.com/vuln-db/crates-io-libsecp256k1-92803
7. https://github.com/bitcoinbook/bitcoinbook/issues/1082
8. https://cryptodeeptech.ru/milk-sad-vulnerability-in-libbitcoin-explorer/
9. https://www.ijcns.latticescipub.com/wp-content/uploads/papers/v4i1/A1426054124.pdf
10. https://stackoverflow.com/questions/7900433/how-to-solve-private-bytes-native-memory-leak
11. https://github.com/bitcoin-core/secp256k1
12. https://www.youtube.com/watch?v=6IlTjqU_Tc0
13. https://github.com/evanw/esbuild/issues/4133
14. https://attacksafe.ru/secp256k1-un/
15. https://www.zscaler.com/blogs/security-research/danableed-danabot-c2-server-memory-leak-bug
16. https://nvd.nist.gov/vuln/detail/CVE-2025-54416
17. https://www.reddit.com/r/csharp/comments/1kz5rtp/confused_about_memory_leaks_in_c_was_this_a_fair/
18. https://moldstud.com/articles/p-essential-tools-libraries-for-bitcoin-cryptography-development-2025-guide
19. https://github.com/vuejs/core/issues/9419
20. https://www.reddit.com/r/crypto/comments/bjxz61/secp256k1_listed_as_insecure/
21. https://forums.developer.nvidia.com/t/gpu-memory-leaks-using-shareable-handles/330073
22. https://www.microsoft.com/en-us/research/wp-content/uploads/2013/11/734.pdf
23. https://github.com/bitcoin-core/secp256k1/blob/master/include/secp256k1.h
24. https://chiselapp.com/user/void/repository/yenten/info/9efa7d2d996e3db9
25. https://www.gitguardian.com/remediation/elliptic-curve-private-key
26. https://vulert.com/vuln-db/crates-io-libsecp256k1-91988
27. https://patch-diff.githubusercontent.com/raw/litecoin-project/litecoin/pull/505.diff
28. https://papers.ssrn.com/sol3/Delivery.cfm/SSRN_ID4844542_code6772539.pdf?abstractid=4844542&mirid=1
29. https://bitcoincore.org/logs/2016-05-zurich-meeting-notes.html
30. https://stackoverflow.com/questions/60715133/secp256k1-curve-signature-close-to-expected-signature-but-missing-2-segements
31. https://gitlab.parity.io/parity/rust-secp256k1/-/blame/0.15.4/depend/secp256k1/include/secp256k1.h
32. https://sar.ac.id/stmik_ebook/prog_file_file/533280.pdf
33. https://github.com/bitcoin-core/secp256k1/issues/251
34. https://users.cs.fiu.edu/~prabakar/cen5079/Common/textbooks/Mastering_Blockchain_2nd_Edition.pdf
35. https://docs.rs/cashweb-secp256k1-sys/latest/cashweb_secp256k1_sys/
36. http://edgecase.net/articles/generating_a_standard_bitcoin_address
37. https://bitcoincore.reviews/libsecp256k1-748
38. https://www.asau.ru/files/pdf/1789486.pdf
39. https://yuleisui.github.io/publications/issta12.pdf
40. https://www.thecodedmessage.com/posts/raii/
41. https://softwaremill.com/leaking-memory-on-purpose-in-rust/
42. https://www.asau.ru/files/pdf/3026849.pdf
43. https://www.embedded.com/destruction-aids-memory-management-in-object-oriented-c/
44. https://www.reddit.com/r/learnprogramming/comments/10rmijf/help_me_fix_my_memory_leak_in_c/
45. https://wiki.freepascal.org/Memory_Management
46. https://stackoverflow.com/questions/52848608/static-context-in-app-class-memory-leak
47. https://stackoverflow.com/questions/2832818/class-destructor-memory-handling-in-c
48. https://www.jetbrains.com/help/clion/memory-leak-analysis.html
49. https://cplusplus.com/forum/beginner/284714/
50. https://www.c-sharpcorner.com/article/c-sharp-memory-leak/
51. https://www.reddit.com/r/QtFramework/comments/141ndh3/where_can_i_learn_about_memory_management_in_qt/
52. https://wirepair.org/2023/11/23/using-valgrind-to-find-and-fix-memory-leaks/
53. https://github.com/angr/angr-doc/issues/9
54. https://forum.mikrotik.com/t/static-cnames-cause-dns-cache-memory-leak/183150
55. https://handmade.network/forums/t/1948-memory_management_cleanup_in_c
56. https://github.com/cpputest/cpputest/issues/1043
57. https://dev.to/10xlearner/memory-management-and-raii-4f20

1. https://keyhunters.ru/critical-vulnerability-in-secp256k1-private-key-verification-and-invalid-key-threat-a-dangerous-attack-on-bitcoin-cryptocurrency-security-vulnerability-in-bitcoin-spring-boot-starter-library/
2. https://vulert.com/vuln-db/crates.io-secp256k1-45062
3. https://www.cbtnuggets.com/blog/certifications/security/6-cryptographic-attacks-you-should-know
4. https://www.linkedin.com/pulse/trying-attack-secp256k1-2025-sebastian-arango-vergara-s3fyc

1. https://keyhunters.ru/critical-vulnerability-in-secp256k1-private-key-verification-and-invalid-key-threat-a-dangerous-attack-on-bitcoin-cryptocurrency-security-vulnerability-in-bitcoin-spring-boot-starter-library/
2. https://vulert.com/vuln-db/crates.io-secp256k1-45062
3. https://bitcoinworld.co.in/disappearance-of-900k-puts-focus-on-vintage-bitcoin-project-libbitcoin/
4. https://yuleisui.github.io/publications/issta12.pdf
5. https://www.reddit.com/r/crypto/comments/kgo2qo/how_does_knowledge_of_a_bitcoin_public_key_square/
6. https://www.cbtnuggets.com/blog/certifications/security/6-cryptographic-attacks-you-should-know
7. https://research.checkpoint.com/2019/cryptographic-attacks-a-guide-for-the-perplexed/
8. https://www.thecodedmessage.com/posts/raii/
9. https://www.linkedin.com/pulse/trying-attack-secp256k1-2025-sebastian-arango-vergara-s3fyc
10. https://krebsonsecurity.com/2025/09/18-popular-code-packages-hacked-rigged-to-steal-crypto/
11. https://trustwallet.com/blog/security/typosquatting-in-crypto-explained
12. https://www.ijcns.latticescipub.com/wp-content/uploads/papers/v4i1/A1426054124.pdf
13. https://research.checkpoint.com/2024/modern-cryptographic-attacks-a-guide-for-the-perplexed/
14. https://learn.snyk.io/lesson/name-confusion-attacks/
15. https://stackoverflow.com/questions/7460307/how-do-you-name-a-component-that-both-encrypts-and-decrypts-depending-on-method
16. https://en.bitcoin.it/wiki/Common_Vulnerabilities_and_Exposures
17. https://zenodo.org/records/11277691
18. https://www.packetlabs.net/posts/what-is-a-cryptographic-attack/
19. https://portswigger.net/research/exploiting-cors-misconfigurations-for-bitcoins-and-bounties
20. https://stackoverflow.com/questions/3561381/custom-http-headers-naming-conventions
21. https://www.ox.security/blog/npm-packages-compromised/
22. https://cure53.de/pentest-report_noble-lib.pdf
23. https://gct-solution.net/category/blog/cryptography-attacks
24. https://www.cve.org/CVERecord/SearchResults?query=bitcoin