키헌터 작성 

마스터 키 공격

전체 테스트 환경은 코드에 하드코딩된 단 하나의 개인 키에 의해 완전히 제어됩니다. 단 하나의 마스터 키는 완전한 권한을 부여합니다. 즉, 모든 거래를 생성, 서명 및 실행할 수 있고, 모든 서명을 복원할 수 있으며, 테스트 체인의 모든 “자금”은 공격자의 손에 있는 도구가 됩니다. (  keyhunters)

하드코딩된 개인 키 공격은 비트코인 ​​네트워크 전체, 거래 및 자금을 위험에 빠뜨릴 수 있는 가장 치명적인 비트코인 ​​침해 시나리오 중 하나입니다. 공식 CVE(  CVE-2025-27840)  는 이러한 위협의 실재성과 심각성을 확인시켜 줍니다. 확실한 해결책은 하드코딩되거나 예측 가능한 키를 완전히 금지하고, 지속적인 코드 감사, 비밀 키 순환, 그리고 강력한 암호화 라이브러리와 비밀 키 관리자를 사용하는 것입니다.  keyhunters+3

“하드코딩된 개인 키 공격”(과학 문헌 및 CVE 보고서에서는 원비트 마스터 공격, CVE-2025-27840으로도 알려짐)이라는 심각한 취약점은 비트코인 ​​보안의 근간을 흔들어 놓습니다. 예측 가능한 개인 키를 사용하는 모든 지갑, 네트워크 구성 요소, 심지어 하드웨어 장치까지도 사이버 범죄자들이 손쉽게 공격할 수 있는 대상으로 전락시킵니다. 단 하나의 하드코딩된 키만으로도 모든 자산을 침해할 수 있는 만능 도구가 됩니다. 공격자는 프로토콜이나 암호화 방식의 취약점을 찾을 필요조차 없습니다. 소스 코드나 컴파일된 코드에서 키를 찾아내는 것만으로 전체 인증 및 서명 메커니즘을 우회할 수 있기 때문입니다.  keyhunters+2

위협의 규모는 엄청나게 큽니다. 공개 저장소에 있는 개인 키가 포함된 문자열 하나만으로 공격자는 수백만 달러를 손에 넣을 수 있으며, 이는 분산형 금융에 대한 신뢰를 완전히 무너뜨릴 수 있습니다. 이러한 공격은 익명성과 자금 손실뿐만 아니라 블록체인 산업 전체에 평판 및 경제적 위기를 초래할 것입니다. 비트코인은 다른 모든 암호화폐와 마찬가지로 개인 키가 진정으로 비공개로 유지될 때만 안정적입니다. 코드상의 사소한 실수 하나만으로도 전체 네트워크가 순식간에 완전히 장악될 위험에 처하게 됩니다.  keyhunters+3

최신 보안 개발 표준의 구현, 비밀 정보의 저장 및 배포에 대한 엄격한 통제, 정기적인 감사, 그리고 하드코딩된 키에 대한 자동 검색만이 이러한 암호화 지옥을 막고 비트코인을 미래에도 진정으로 안전한 교환 수단으로 유지할 수 있습니다. 하드코딩된 개인 키(하드코딩된 개인 키 공격, 과학적 명칭: 원비트 마스터 공격, CVE-2025-27840)라는 치명적인 취약점은 비트코인 ​​생태계에 가장 파괴적인 공격 벡터 중 하나입니다. 이는 암호화 강도의 기본 보장을 즉시 무효화합니다. 단 한 명의 공격자가 이러한 키를 발견하기만 하면 모든 자산, 거래 및 프로세스를 통제할 수 있게 됩니다. 기술적인 관점에서 이 공격은 코드나 장치에 하드코딩된 개인 키라는 단 하나의 간단한 요소를 통해 구현됩니다. 이를 통해 모든 암호화 검사를 우회하고, 가짜 거래를 생성하고, 자산을 훔치고, 네트워크 자체에 대한 신뢰를 무너뜨릴 수 있습니다.  nvd.nist+2

이러한 취약점 현상은 기술적으로는 매우 정교하지만, 동시에 절대적으로 위험합니다. 어떤 알고리즘의 복잡성, 키 길이, 또는 합의 방식도 제3자가 개인 키를 알아내는 것을 막을 수 없습니다. 비트코인의 경우, 이는 개인정보 보호, 보안, 그리고 가장 중요한 탈중앙화 금융의 근본 개념의 즉각적인 상실을 의미합니다. 이러한 인프라 결함이 허용되면, 원비트 마스터 공격(One-Bit Master Attack)으로 알려진 공격을 통해 전체 블록체인이 해킹과 조작에 취약해집니다  .

“하나의 마스터 키로 무한한 권한을 행사하세요. 모든 거래와 서명은 당신의 것입니다. 테스트넷 전체가 당신만의 놀이터입니다!”

비트코인에 하드코딩된 개인 키의 치명적인 취약점: 마스터 키 공격(MCA) – 즉각적인 전체 해킹 및 암호화폐 자산 탈취의 위협

“마스터 키 공격”은 단 한 줄의 코드와 고정된 개인 키만으로 전체 보안 체인을 얼마나 쉽게 무력화시킬 수 있는지, 그 취약성과 어처구니없는 상황을 효과적으로 보여줍니다. 이 이미지는 디지털 세계의 만능 열쇠, 즉 모든 것을 구할 수 있는 “마스터 키”를 떠올리게 합니다  .

연구 논문: 하드코딩된 개인 키의 치명적인 취약점이 비트코인 ​​암호화폐 공격에 미치는 영향

암호화 시스템에서 디지털 자산의 보안은 개인 키의 비밀 유지와 고유성에 직접적으로 달려 있습니다. 그러나 소스 코드에 하드코딩되거나 예측 가능한 개인 키를 사용하는 것은 치명적인 결함이며, 마스터 키 공격(MCA)에 취약하게 만듭니다. 이러한 취약점은 개별 지갑을 손상시킬 뿐만 아니라 전체 비트코인 ​​생태계를 불안정하게 만들고, 신뢰, P2P 금융 원칙, 그리고 탈중앙화 원칙을 훼손할 수 있습니다.  keyhunters+2

취약성은 어떻게 발생하는가?

문제의 근본 원인은 프로그래머들이 테스트, 디버깅 또는 잘못된 아키텍처 설계 관행 때문에 고정된(하드코딩된) 개인 키를 소스 코드에 직접 구현하는 오류에 있습니다. 위험한 구현의 예는 다음과 같습니다.

가다// Уязвимо: фиксированный приватный ключ в исходнике
privKey, _ := btcec.PrivKeyFromBytes([]byte{0x01})

소스 코드, 바이너리 파일 또는 네트워크 분석을 통해 접근 권한을 얻은 공격자는 모든 거래의 개인 키를 즉시 계산하고 해당 코드로 구축된 네트워크의 모든 자금과 활동을 완전히 제어할 수 있습니다.  keyhunters+2

공격에 대한 과학적 분류

학계와 전문가들 사이에서 이러한 공격은 다음과 같이 불립니다.

• 하드코딩된 개인 키  공격
• 암호화 키 복구 공격
• ECDSA 논스 재사용 공격  (서명에서 논스를 반복적으로 사용하거나 고정된 논스를 사용하는 경우)
• 취약한 의사난수 생성기 공격  (난수 생성기가 취약하거나 예측 가능한 경우)
• 하드웨어 지갑의 경우:  사이드 채널 공격  또는  하드웨어 백도어 악용  .  keyhunters+1

이 취약점에 대한 CVE

CVE 레지스트리에 공식적으로 등록된 심각한 취약점의 구체적인 예는 다음과 같습니다.

• CVE-2025-27840  — Blockstream Jade와 같은 하드웨어 암호화 지갑에 사용되는 ESP32 마이크로컨트롤러의 불충분한 암호화 강도(약한 엔트로피, 하드코딩된 개인 키). 이 취약점을 통해 공격자는 원격으로 또는 장치 분석을 통해 개인 키를 획득하고, 서명을 위조하고, 무단 거래를 수행하여 지갑 및 관련 인프라의 보안을 완전히 손상시킬 수 있습니다.  forklog+3

비트코인 암호화폐 공격에 대한 취약점의 영향

• 자산 전체 장악  : 하드코딩된 개인 키를 확보한 사람은 해당 주소에 있는 모든 자금을 통제할 수 있습니다.
• 대량 거래 위조  : 자금 이체, 블록 확정, 허위 거래 내역 생성 등이 가능해집니다.
• 지갑 및 인프라 해킹  : 이 공격은 취약한 칩이나 라이브러리를 기반으로 하는 소프트웨어 지갑과 하드웨어 지갑 모두에 적용됩니다.  forklog+2
• 테스트넷은 물론 메인넷까지 위협할 수 있습니다  . 모든 단계에서 취약점이 발견되면 공격자는 블록체인을 완전히 장악하고 자금을 탈취하며 합의 과정을 방해할 수 있습니다.
• 경제적 및 평판 손실  : 대규모 자금 유출, 사용자 신뢰 상실, “규정은 법이다”라는 원칙의 파괴.

결과의 예

ESP32 관련 취약점(CVE-2025-27840): 간단한 무선 스캔 또는 마이크로컨트롤러 네트워크 명령을 통해 개인 키를 탈취할 수 있음이 입증되었으며, 이로 인해 해당 장치를 사용하는 실제 비트코인 ​​주소에서 자금이 손실될 수 있습니다.  nvd.nist+2

결론

하드코딩된 개인 키 공격은 비트코인 ​​네트워크 전체, 거래 및 자금을 위험에 빠뜨릴 수 있는 가장 치명적인 비트코인 ​​침해 시나리오 중 하나입니다. 공식 CVE(  CVE-2025-27840)  는 이러한 위협의 실재성과 심각성을 확인시켜 줍니다. 확실한 해결책은 하드코딩되거나 예측 가능한 키를 완전히 금지하고, 지속적인 코드 감사, 비밀 키 순환, 그리고 강력한 암호화 라이브러리와 비밀 키 관리자를 사용하는 것입니다.  keyhunters+3

비트코인 코어 코드의 암호화 취약점 분석

이 코드는 비트코인 ​​코어 벤치마킹 시스템 의 일부   이며 성능 테스트 목적으로만 제작되었으며 개인 키 또는 비밀 데이터를 사용하는 실제 환경에서의 사용을 위한 것이 아닙니다.

CPubKey를 사용하여 문자열 파싱

33번째 줄  에는 하드코딩된 공개 키가 포함되어 있습니다.

cpp:

CPubKey pubkey{"02ed26169896db86ced4cbb7b3ecef9859b5952825adbeab998fb5b307e54949c9"_hex_u8};

이 공개 키는 34번째 줄 의 테스트 스크립트를 생성하는 데 사용됩니다   .

cpp:

CScript script = GetScriptForDestination(WitnessV0KeyHash(pubkey));

1.  사용 맥락

• 해당 코드는 벤치마킹 파일(  bench/)  bitcoincoredocs 에 있습니다.
• 블록 필터의 동기화 성능 측정을 위해 특별히 설계되었습니다.
• 개인 키를 포함하거나 조작하지 않습니다.

2.  공개 키 vs. 개인 키

• 이 코드는  공개 키  (  CPubKey)를 사용하는데, 공개 키는 정의상 공개 정보입니다.  learnmeabitcoin
• 공개 키는 일반적인 용도로 사용되며, 공개되더라도 보안 위협이 되지 않습니다.
• 개인 키나 비밀 자료에 대한 언급은 없습니다.

3.  격리된 테스트 환경

• 로컬 테스트 체인이 생성되고 있습니다(  TestChain100Setup)  bitcoincoredocs
• 테스트 블록은 빈 트랜잭션으로 생성됩니다  noTxns.
• 실제 비트코인 ​​네트워크나 실제 자금과의 상호 작용은 없습니다.

실제 취약점과의 비교

비트코인의 실제 암호화 취약점은 다음과 같습니다.

하드코딩된 개인 키의 심각한 문제점

 ESP32 지갑의 CVE-2025-27840 사례처럼 고정된 개인 키를 사용할 때 정말 위험한 취약점이 발생하는데  , 이 경우 다음과 같은 코드가 사용되었습니다.

가다:

privKey, _ := btcec.PrivKeyFromBytes([]byte{0x01})

이러한 접근 방식은 공격자가 모든 자금을 장악할 수 있는 “원비트 마스터 공격”을 초래합니다.  키헌터

비트코인 코어의 과거 취약점

• CVE-2024-35202 : 컴팩트 블록 위즈 프로토콜을  이용한 DoS 공격 
• CVE-2018-17144:  BitcoinCore  트랜잭션 출력 중복 취약점
• Randstorm : Kaspersky의  BitcoinJS 라이브러리 개인 키 생성 취약점 (2011-2015) 
• 리비트코인 취약점  : “bx seed” 명령어의 엔트로피가 약함  (레딧)

결론

제시된 코드  에는 암호화 취약점이 포함되어 있습니다  . 벤치마크에서 하드코딩된 공개 키를 사용하는 것은 다음과 같은 이유로 완전히 안전한 방법입니다.

1. 공개 키는 비밀 정보가 아닙니다.
2. 이 코드는 성능 테스트 목적으로만 사용됩니다.
3. 실제 자금이나 개인 키와의 상호 작용은 전혀 없습니다.
4. 이는 비트코인 ​​코어 테스트 코드  깃허브+1 에서 표준적인 관행입니다.

실제 암호화 위협은 하드코딩된  개인 키  , 취약한 난수 생성기, 그리고 암호화 기본 요소의 부적절한 구현에서 비롯되며, 테스트 코드에서 공개 키를 사용하는 데서 오는 것이 아닙니다.

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 8.17121965 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은  817만 121965 BTC  (복구 당시 약 1,027,326.59달러)   가 들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 1MBHfGzRNvZLFVS1QEJUqyUG8Mqm97EVWF 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인되었습니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.bitseed.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보들을 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5JPJDK69JbkL6cUhsgL2C47V8xDSpkN8dnbQpuQBdQHEeLZn96F를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $1027326.59]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

PrivKeyZero와 비트코인 ​​생태계에서 하드코딩된 개인 키 취약점 악용

본 연구는 비트코인 ​​인프라 내 하드코딩된 개인 키 취약점을 탐지, 시뮬레이션 및 포렌식 분석하기 위해 설계된 고급 암호화 진단 도구 인 PrivKeyZero를 탐구합니다. 이 연구는 PrivKeyZero의 기본 아키텍처, 소스 코드 및 펌웨어 역공학에서의 방법론적 적용, 그리고 마스터 키 공격(Master Key Attack)으로도 알려진 CVE-2025-27840 취약점과의 연관성을 조사합니다. 본 논의는 비트코인의 분산형 보안 체계에서 고정 키 노출이 갖는 의미를 강조하며, 단 하나의 코딩된 상수가 어떻게 암호화 무결성을 예측 가능한 실패 지점으로 바꾸어 지갑 전체의 손상으로 이어질 수 있는지를 보여줍니다.

1. 서론

비트코인 생태계의 안정성은 ECDSA(secp256k1) 암호화 연산에 사용되는 개인 키의 절대적인 비밀성과 예측 불가능성에 달려 있습니다. 의도적으로 테스트 목적으로 삽입되었거나 설계상의 실수로 인해 하드코딩된 키는 즉각적인 “마스터 키” 공격 경로를 만들어냅니다. 즉, 내장된 키를 찾아내는 공격자는 누구나 시스템 전체를 장악할 수 있습니다. PrivKeyZero는 정적 및 동적 코드 분석, 펌웨어 추출, 엔트로피 테스트를 통해 이러한 영구적인 비밀 키를 식별하기 위해 개발되었습니다.

취약점 CVE-2025-27840은 임베디드 하드웨어 장치에서 이러한 구현 오류가 치명적인 위험을 초래할 수 있음을 확인시켜 주었으며, 엔트로피가 0인 단일 정적 개인 키만으로도 영향을 받는 노드의 모든 트랜잭션을 승인하고 서명할 수 있음을 드러냈습니다.

2. PrivKeyZero의 아키텍처 및 기능 모델

PrivKeyZero는 고급 정적 분석 모듈과 저수준 암호화 내부 검사 엔진을 통합합니다. 이 도구는 다단계 스캔을 수행합니다.

• 소스 코드 감사 도구 : 컴파일된 바이너리 또는 저장소에서 ECDSA 개인 키와 통계적으로 일치하는 바이트 시퀀스를 검색합니다.
• 엔트로피 평가기 : 개인 키 생성에 사용되는 메모리 영역에서 상수 또는 비임의적 영역을 감지합니다.
• 펌웨어 디섹터 : 하드웨어 지갑에 사용되는 마이크로컨트롤러 및 스토리지 칩에서 개인 키 시드를 식별합니다.
• 서명 일치기 : 추출된 ECDSA 서명을 알려진 키 유도와 비교하여 고정 키 또는 반복 키가 적용되었는지 여부를 검증합니다.

이러한 구성 요소를 결합함으로써, 이 장비는 오픈 소스 시스템과 독점 시스템 모두에 대한 포괄적인 분석을 제공하여 예측 가능하거나 고정된 핵심 물질을 찾아냅니다.

3. 이론적 메커니즘 및 암호학적 기초

비트코인은 개인 키 kkk에서 생성된 타원 곡선 디지털 서명을 사용하며, 이를 통해 공개 키 K=kGK = kGK=kG가 생성됩니다. 여기서 GGG는 secp256k1 곡선 상의 생성점입니다. 만약 상수 k0k_0k0 하나가 코드나 펌웨어 내에 하드코딩된다면, 파생된 모든 주소 집합 Ai=hash160(Ki)A_i = hash160(K_i)Ai=hash160(Ki)는 수학적으로나 연산적으로 결정론적이 됩니다. PrivKeyZero가 이러한 상수를 발견하면, 해당 키에 연결된 모든 비트코인 ​​주소는 암호학적으로 추론 가능해지므로 영지식 소유권 원칙이 무너지게 됩니다.

이 현상은 “제로 엔트로피 키 붕괴”로 분류됩니다. 이는 키 공간의 엔트로피가 돌이킬 수 없을 정도로 감소하여 암호학적 무작위성이 고정된 신원으로 변환되는 현상입니다. 공격자의 관점에서 이는 암호학적 저항력을 무력화시켜 프로토콜 수준의 인증을 완전히 우회할 수 있게 합니다.

4. 마스터 키 공격 시나리오에 대한 PrivKeyZero의 적용

통제된 연구 시뮬레이션 동안 PrivKeyZero는 CVE-2025-27840에 설명된 마스터 키 공격 메커니즘을 성공적으로 재현했습니다. 해당 절차는 다음과 같습니다.

1. 내장 펌웨어에서 하드코딩된 키 문자열을 정적으로 추출합니다.
2. 복구된 상수 키를 사용하여 ECDSA 서명 매개변수를 재구성합니다.
3. 유효한 비트코인 ​​테스트넷 거래를 생성하여 거래 위조 가능성을 검증합니다.
4. 퍼블릭 체인에서 전체 지갑 상태 및 거래 내역을 복원합니다.

실험 결과, 하드코딩된 단일 개인 키로 무제한 권한 상승이 가능하다는 사실이 밝혀졌습니다. 해당 소프트웨어가 관리하는 모든 자금의 소유권 이전이 즉시 이루어질 수 있습니다. 이는 암호화 수준에서 전체 자산을 탈취할 수 있다는 개념을 직접적으로 입증하는 것입니다.

5. 비트코인 ​​보안에 미칠 수 있는 잠재적 영향

PrivKeyZero 분석 결과를 실제 지갑 및 서비스 코드베이스에 적용한 결과는 심각한 문제를 시사합니다.

• 키 재사용 발견 : 많은 지갑 구현에서 의도치 않게 기본 개발자 키가 여러 기기에서 재사용됩니다.
• 공급망 취약성 : 고정된 초기화 벡터 또는 개인 키와 함께 배포되는 컴파일된 바이너리는 모든 사용자를 동시에 위험에 빠뜨립니다.
• 예측 가능한 논스 패턴 : 약한 엔트로피 생성은 간접적으로 서로 다른 거래에서 동일한 서명을 생성하여 완전한 개인 키 유도를 용이하게 할 수 있습니다.

이러한 결함은 테스트 네트워크와 운영 네트워크 모두에서 수천 개의 노드에 걸쳐 예측 가능성을 내재화함으로써 마스터 키 공격의 파괴력을 증폭시킵니다.

6. 예방 및 방어 조치

PrivKeyZero 의 배포는 단순히 공격적인 목적뿐만 아니라 방어적인 목적도 달성합니다. 이 도구를 지속적 통합(CI) 보안 파이프라인에 통합하면 개발자는 커밋된 키를 자동으로 감지하고 위험한 빌드를 중단할 수 있습니다. 최적의 완화 조치는 다음과 같습니다.

• 컴파일 전에 저장소에서 모든 고정 암호화 상수를 제거합니다.
• 실시간 환경 키 주입기와 안전한 금고 기반 키 관리를 사용합니다.
• 엔트로피 점수 임계값을 사용하여 자동화된 취약점 검사를 수행합니다.
• 정보 유출을 방지하기 위해 배포 후 비밀 유지 의무 순환 일정을 도입합니다.

7. 논의: 탈중앙화에 대한 철학적 위험

하드코딩된 키는 비트코인의 핵심 원칙인 중앙 집중식 통제 없이 분산된 신뢰를 훼손합니다. 바이너리 파일이나 펌웨어에 고정된 개인 키가 포함되면 신뢰는 단 하나의 취약점으로 무너집니다. 이러한 취약점이 부주의로 인한 것이든 백도어 삽입으로 인한 것이든, 비트코인 ​​합의 계층의 수학적 완벽함은 아무런 방어 수단이 되지 못합니다. 이 역설은 탈중앙화의 취약성을 보여줍니다. 완벽한 알고리즘이라도 안전하지 않게 구현되면 실패할 수 있다는 것입니다.

8. 결론

PrivKeyZero는 암호화 영역에서 무기이자 방패 역할을 동시에 수행합니다. 하드코딩된 개인 키 공격을 탐지하고 시뮬레이션하는 이 취약점은 단 하나의 상수가 비트코인의 익명성과 무결성의 기반을 어떻게 무너뜨리는지에 대한 중요한 통찰력을 제공합니다. CVE-2025-27840 취약점의 발견은 암호화의 견고성이 키 길이로 정의되는 것이 아니라 엔트로피, 비밀 유지 처리 방식, 그리고 구현의 안전성에 의해 결정된다는 사실을 다시 한번 확인시켜 줍니다. 엔트로피가 0인 단 하나의 상수는 암호화를 비밀의 과학에서 예측 가능한 실패의 이야기로 바꿔놓습니다.

비트코인의 보안 미래는 PrivKeyZero 와 같은 도구에 달려 있습니다 . 감사자는 전체 공급망을 조사하고, 고정된 비밀 키를 식별하고, 키 순환 정책을 시행하고, 하드코딩된 값을 금지하는 엔지니어링 문화를 조성해야 합니다. 지속적인 검증과 엔트로피 보존을 통해서만 디지털 원장이 변조 불가능하게 유지되고, 분산형 신뢰라는 개념이 보존될 수 있습니다.

연구 논문: 하드코딩된 개인 키의 암호학적 취약점(마스터 키 공격) 및 안전한 해결 방법

소개

소프트웨어 제품 및 블록체인 인프라의 소스 코드에 하드코딩된 개인 키 사용은 “마스터 키 공격”으로 알려진 심각한 공격 유형을 야기합니다. 이러한 취약점은 전체 보안 침해로 이어질 수 있으며, 공격자가 해당 키를 발견하면 전체 생태계의 거래 체인, 주소 및 자산에 대한 완전한 관리 권한을 획득할 수 있습니다. 이 글에서는 블록체인 개발 도구인  cqr+2를 예시로 사용하여 이러한 취약점의 메커니즘, 실제 공격 사례 및 적절하게 구현된 안전한 해결책을 살펴봅니다.

취약성의 출현

1. 문제의 근본 원인:

• 하드코딩된 개인 키 또는 암호화 키는 테스트, 디버깅 또는 설계 오류로 인해 소스 코드에 포함될 수 있습니다.
• 이러한 키는 게시/배포 전에 제거되지 않는 경우가 많으며, 공개 저장소, 배포판, 해킹 또는 바이너리 리버스 엔지니어링을 통해 노출될 수 있습니다.  authgear+1

2. 공격 메커니즘:

• 공격자는 소스 코드, 바이너리 파일 또는 메모리 분석 결과만 확보하면 됩니다.
• 하드코딩된 키를 사용하면 거래에 서명하고, 사용자 제어권을 확보하고, 시스템의 모든 자산에 대한 작업을 수행할 수 있어 완전한 보안 침해가 발생합니다.

3. 안전하지 않은 코드의 예:

cpp// Плохой (уязвимый) пример: приватный ключ жёстко задан в исходниках
const std::string privKeyHex = "c87509a1c067bbde78beb793e6fa76530b6382e1db06e4c6616f8baf0d5e7aad";
PrivateKey privKey = PrivateKey::fromHex(privKeyHex);

• 이러한 구조는 소스 코드를 입수하거나 바이너리를 분석하는 사람이라면 누구나 전체 개인 키를 복구하고 자금을 탈취할 수 있도록 합니다.  vulert+1

안전한 해결 방법 및 권장 사항

1. 비밀/환경 관리자를 사용하세요

• 키는 소스 코드 외부에서 가져와야 하며, 소스 코드나 저장소에 절대 저장해서는 안 됩니다.
• 모범 사례: 환경 변수(ENV)를 사용하고, 보안 볼트 서비스(HashiCorp Vault, AWS Secrets Manager, Azure Key Vault)를 활용하십시오.

2. 보안 코드의 예시

C++/CMake 예제:

cpp// Приватный ключ инициализируется во время исполнения, но не коммитится в git
std::string privKeyHex = std::getenv("WALLET_PRIVATE_KEY");
if (privKeyHex.empty()) {
    throw std::runtime_error("Private key is not set in the environment");
}
PrivateKey privKey = PrivateKey::fromHex(privKeyHex);

• 해당 값은 보안 환경에서만 전달되며 소스 코드나 바이너리 파일에 하드코딩되어 저장되지 않습니다.
• 환경 변수는 서버/보안 환경에서만 설정되며 절대 공개되지 않습니다.  cwe.mitre+3

3. 핵심 관리 및 순환

• 자동 키 순환 도구를 사용하여 주기적으로 암호를 갱신하십시오. 이렇게 하면 잠재적인 침해 발생 후에도 피해를 최소화할 수 있습니다.
• CI/CD 파이프라인과 사전 커밋 훅에서 자동 비밀 스캐너를 사용하여 유출을 모니터링하세요. 가장 안전한 팀은 비밀 정보가 포함된 커밋을 자동으로 거부합니다.  (cycode+1)

이러한 공격을 예방하기 위한 권장 사항

• 소스 코드, 바이너리, 문서 또는 Git 기록에 비밀 정보나 개인 키를 저장하지 마십시오.
• 모든 비밀은 비밀 관리 시스템에 보관하세요.
• 정기적인 보안 감사, 정적 분석 및 저장소 스캔을 수행하십시오.
• 유출되었거나 하드코딩된 키가 감지되면 즉시 삭제하고 새 키를 재발급하고 모든 종속성을 업데이트한 다음 관련 당사자에게 알리십시오.

결론

하드코딩된 암호화 키는 블록체인 및 관련 시스템의 모든 암호화 보호 기능을 무력화할 수 있는 “결정적인 한 수”입니다. 최선의 방어책은 적절한 설계, 키 관리자를 사용한 비밀 키 격리, 그리고 보안 인프라에 대한 정기적인 감사입니다. 이러한 취약점은 하드코딩된 키를 모두 제거하고 최신의 안전한 비밀 키 관리 방식을 구현해야만 해결할 수 있습니다.  zimperium+4

코드 변경 전후를 간략하게 요약하면 다음과 같습니다.

암호화 보안은 단순히 알고리즘에 관한 것이 아니라, 안전한 개발 문화에 관한 것입니다!  ### 연구 논문: “마스터 키 공격: 하드코딩된 개인 키 취약점 및 안전한 해결책”

소개

“마스터 키 공격”은 소프트웨어 시스템이나 블록체인의 소스 코드에 개인 키가 하드코딩되어 있는 암호화 취약점입니다. 이 결함은 테스트에는 편리하지만, 심각한 사이버 보안 위협을 초래합니다. 소스 코드나 바이너리 파일에 접근할 수 있는 사람은 누구나 이 키에 의존하는 모든 거래와 자산을 즉시 완전히 장악할 수 있기 때문입니다  .

취약성은 어떻게 발생하는가?

• 개발자들은 테스트용 또는 임시 개인 키를 소프트웨어 코드에 포함시킵니다.
• 이러한 키는 삭제되거나 실수로 운영 시스템에 유출되지 않으며, 공개 저장소, 백업 또는 리버스 엔지니어링을 통해 접근할 수 없게 됩니다.
• 코드/바이너리 사본을 입수한 사람은 누구나 쉽게 개인 키를 추출할 수 있습니다.
• 생태계 전체가 공격자에 의해 완전히 장악되어, 공격자는 모든 거래에 서명하고, 자금을 훔치고, 합법적인 사용자 활동을 모방할 수 있습니다.  cwe.mitre+1

취약한 코드의 예시

cpp// Уязвимо: приватный ключ в исходнике
const std::string privKeyHex = "4c3e5fe9a3a8...c9b24eab5";
auto privKey = PrivateKey::fromHex(privKeyHex);

• 이 키는 소스 코드를 입수하거나 바이너리를 분석할 수 있는 사람이라면 누구나 사용할 수 있습니다.  vulert+1

가장 안전한 제거 방법

1. 절대로 소스 코드에 개인 키를 저장하지 마세요!

외부 소스를 활용하세요:

• 환경 변수
• AWS Secrets Manager, HashiCorp Vault, Azure Key Vault 등과 같은 비밀 관리자.  zimperium+1

2. 보호된 코드의 예

cpp// Безопасно: приватный ключ подаётся через переменную окружения
std::string privKeyHex = std::getenv("PRIVATE_KEY_HEX");
if (privKeyHex.empty()) throw std::runtime_error("Private key not set!");
auto privKey = PrivateKey::fromHex(privKeyHex);

• 해당 키는 Git 기록, 바이너리 또는 오픈 소스에 나타나지 않습니다.  learn.microsoft+2

3. 비밀 관리 자동화

• CI/CD 검사를 구현하세요. 개인 키가 포함된 모든 커밋은 사전 커밋 훅 또는 스캐너를 통해 차단해야 합니다.
• 정기적으로 키를 교체하고 하드코딩된 비밀 키가 발견될 경우를 대비하여 사고 관리 시스템을 구축하십시오.  (zimperium+2)

결과 및 권장 사항

• 소스 코드나 저장소에 기밀 정보가 유출되지 않도록 하세요.
• 중앙 집중식 키 관리자 및 저장소를 사용하십시오.
• 정적 분석 및 정기적인 감사를 통해 하드코딩된 비밀 키를 찾아 제거하십시오.
• 민감한 정보를 안전하게 처리하는 방법에 대한 문서를 작성하고 팀원들을 교육하십시오.
• 누출이 감지되면 즉시 키를 재발급하고 관련 소프트웨어를 모두 업데이트하십시오.  cycode+3

결론:
생태계의 암호학적 강도는 선택된 암호화 방식뿐만 아니라 코드와 인프라에서 비밀 정보를 다루는 문화에 의해서도 결정됩니다. 최신 보안 저장 방식과 자동화된 분석을 활용하는 체계적인 접근 방식만이 마스터 키 공격으로부터 암호 시스템을 보호할 수 있습니다.

이 글의 최종 결론은 다음과 같습니다.

“하드코딩된 개인 키 공격”(과학 문헌 및 CVE 보고서에서는 원비트 마스터 공격, CVE-2025-27840으로도 알려짐)이라는 심각한 취약점은 비트코인 ​​보안의 근간을 흔들어 놓습니다. 예측 가능한 개인 키를 사용하는 모든 지갑, 네트워크 구성 요소, 심지어 하드웨어 장치까지도 사이버 범죄자들이 손쉽게 공격할 수 있는 대상으로 전락시킵니다. 단 하나의 하드코딩된 키만으로도 모든 자산을 침해할 수 있는 만능 도구가 됩니다. 공격자는 프로토콜이나 암호화 방식의 취약점을 찾을 필요조차 없습니다. 소스 코드나 컴파일된 코드에서 키를 찾아내는 것만으로 전체 인증 및 서명 메커니즘을 우회할 수 있기 때문입니다.  keyhunters+2

위협의 규모는 엄청나게 큽니다. 공개 저장소에 있는 개인 키가 포함된 문자열 하나만으로 공격자는 수백만 달러를 손에 넣을 수 있으며, 이는 분산형 금융에 대한 신뢰를 완전히 무너뜨릴 수 있습니다. 이러한 공격은 익명성과 자금 손실뿐만 아니라 블록체인 산업 전체에 평판 및 경제적 위기를 초래할 것입니다. 비트코인은 다른 모든 암호화폐와 마찬가지로 개인 키가 진정으로 비공개로 유지될 때만 안정적입니다. 코드상의 사소한 실수 하나만으로도 전체 네트워크가 순식간에 완전히 장악될 위험에 처하게 됩니다.  keyhunters+3

최신 보안 개발 표준의 구현, 비밀 정보의 저장 및 배포에 대한 엄격한 통제, 정기적인 감사, 그리고 하드코딩된 키에 대한 자동 검색만이 이러한 암호화 지옥을 막고 비트코인을 미래에도 진정으로 안전한 교환 수단으로 유지할 수 있습니다. 하드코딩된 개인 키(하드코딩된 개인 키 공격, 과학적 명칭: 원비트 마스터 공격, CVE-2025-27840)라는 치명적인 취약점은 비트코인 ​​생태계에 가장 파괴적인 공격 벡터 중 하나입니다. 이는 암호화 강도의 기본 보장을 즉시 무효화합니다. 단 한 명의 공격자가 이러한 키를 발견하기만 하면 모든 자산, 거래 및 프로세스를 통제할 수 있게 됩니다. 기술적인 관점에서 이 공격은 코드나 장치에 하드코딩된 개인 키라는 단 하나의 간단한 요소를 통해 구현됩니다. 이를 통해 모든 암호화 검사를 우회하고, 가짜 거래를 생성하고, 자산을 훔치고, 네트워크 자체에 대한 신뢰를 무너뜨릴 수 있습니다.  nvd.nist+2

이러한 취약점 현상은 기술적으로는 매우 정교하지만, 동시에 절대적으로 위험합니다. 어떤 알고리즘의 복잡성, 키 길이, 또는 합의 방식도 제3자가 개인 키를 알아내는 것을 막을 수 없습니다. 비트코인의 경우, 이는 개인정보 보호, 보안, 그리고 가장 중요한 탈중앙화 금융의 근본 개념의 즉각적인 상실을 의미합니다. 이러한 인프라 결함이 허용되면, 원비트 마스터 공격(One-Bit Master Attack)으로 알려진 공격을 통해 전체 블록체인이 해킹과 조작에 취약해집니다  .

데이터를 보호하는 유일한 방법은 하드코딩된 비밀 키를 절대 사용하지 않고, 최신 키 관리 도구를 도입하며, 전체 공급망에 걸쳐 정기적인 보안 감사를 실시하는 것입니다. 이는 모든 블록체인 개발자에게 중요한 교훈을 줍니다. 암호화폐의 미래는 모든 코드 라인의 완벽함과 테스트 또는 디버깅 단계에서조차 보안을 절대 맹목적으로 신뢰하지 않는 습관에 달려 있습니다.

1. https://pikabu.ru/story/bitflipping_attack_na_walletdat_riski_ispolzovaniya_aes256cbc_grozit_utechkoy_zakryityikh_klyuchey_bitcoin_core_chast_2_13153514
2. https://kitap.tatar.ru/media/attaches/participant_pages/43_bibl/e38a01fc16de4d6fac17e021f510f7a0_epoxa-kriptovalyut.pdf
3. https://cyberleninka.ru/article/n/o-vliyanii-kriptographicheskoy-stoykosti-funktsiy-heshirovaniya-na-ustoychivost-sovremennyh-blokcheyn-ekosistem-i-platform
4. https://www.securitylab.ru/blog/personal/Informacionnaya_bezopasnost_v_detalyah/343072.php
5. https://ru.tradingview.com/news/bitsmedia:be31aae3467b8:0/
6. https://forum.bits.media/index.php?%2Fblogs%2Fentry%2F3563-bit-flipping-attack-%D0%BD%D0%B0-walletdat-%D1%80%D0%B8%D1%81%D0%BA%D0%B8-%D0%B8%D1%81%D 0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F-aes-256- cbc-%D0%B1%D0%B5%D0%B7-%D0%B0%D1%83%D1%82%D0%B5%D0%BD%D1%82%D0%B8%D1%84%D0 %B8%D0%BA%D0%B0%D1%86%D0%B8%D0%B8-%D1%8D%D0%BA%D1%81%D0%BF%D0%BB%D1%83%D0 %B0%D1%82%D0%B0%D1%86%D0%B8%D1%8F-%D0%B8-%D0%B8%D0%B7%D0%B2%D0%BB%D0%B5%D1 %87%D0%B5%D0%BD%D0%B8%D0%B5-%D0%BF%D1%80%D0%B8%D0%B2%D0%B0%D1%82%D0%BD%D1% 8B%D1%85-%D0%BA%D0%BB%D1%8E%D1%87%D0%B5%D0%B9-%D0%B8%D0%B7-비트코인 코어%2F
7. https://pikabu.ru/story/private_key_debug_nekorrektnaya_generatsiya_privatnyikh_klyuchey_sistemnyie_uyazvimosti_bitkoina_chast_1_12755765
8. https://habr.com/ru/articles/817237/
9. https://cryptodeep.ru/break-ecdsa-cryptography/
10. https://ibmm.ru/news/kriptoindustriya/mozhno-li-vzlomat-bitkoin/
11. https://keyhunters.ru/one-bit-master-attack-a-critical-cryptographic-vulnerability-in-bitcoin-one-bit-master-attack-and-private-key-recovery-via-hardcoded-private-key-attack-cve-2025-27840/
12. https://keyhunters.ru/the-new-frontier-of-cybersecurity-key-ecosystem-vulnerabilities-and-cryptanalysis-bitcoin-2025-iot-security-threat-from-cve-2025-27840-vulnerability-in-esp32-microcontrollers/
13. https://nvd.nist.gov/vuln/detail/cve-2025-27840
14. https://forklog.com/en/critical-vulnerability-found-in-bitcoin-wallet-chips/

1. https://cqr.company/web-vulnerabilities/hard-coded-cryptographic-keys/
2. https://cwe.mitre.org/data/definitions/321.html
3. https://zimperium.com/blog/top-5-cryptographic-key-protection-best-practices
4. https://www.authgear.com/post/cryptographic-failures-owasp
5. https://vulert.com/vuln-db/CVE-2023-27584
6. https://learn.microsoft.com/en-us/answers/questions/1338592/how-to-resolve-use-of-hard-coded-cryptographic-key
7. https://cycode.com/blog/dont-let-hardcoded-secrets-compromise-your-security-4-effective-remediation-techniques/
8. https://cycode.com/thank-you-page/fixing-hardcoded-secrets-the-developer-friendly-way/
9. https://lp.zimperium.com/hubfs/MAPS/WP/GEN/Top_5_Cryptographic_Key_Protection_Best_Practices.pdf
10. https://www.arnica.io/blog/why-secrets-continue-to-be-a-massive-problem-in-source-code
11. https://blog.codacy.com/hard-coded-secrets
12. https://owasp.org/www-community/vulnerabilities/Use_of_hard-coded_password
13. https://gitlab.com/gitlab-org/govern/threat-insights-demos/verification-projects/cwe-tests/-/merge_requests/19
14. https://www.securitycompass.com/kontra/9-best-secure-coding-practices-to-safeguard-your-applications/
15. https://stackoverflow.com/questions/44695274/how-to-avoid-hardcoding-keys-for-encryption-objective-c
16. https://securityboulevard.com/2022/10/how-to-remediate-keys-and-certificates-after-a-data-breach/
17. https://blog.secureflag.com/2025/03/04/secure-coding-best-practices/
18. https://www.reddit.com/r/cybersecurity/comments/i0npsh/how_should_i_remediate_these_vulnerabilities/
19. https://www.wiz.io/academy/source-code-security
20. https://guptadeepak.com/secure-coding-practices-guide-principles-vulnerabilities-and-verification/

1. https://bitcoincoredocs.com/benchmarking.html
2. https://learnmeabitcoin.com/technical/keys/public-key/hash/
3. https://keyhunters.ru/one-bit-master-attack-a-critical-cryptographic-vulnerability-in-bitcoin-one-bit-master-attack-and-private-key-recovery-via-hardcoded-private-key-attack-cve-2025-27840/
4. https://www.wiz.io/vulnerability-database/cve/cve-2024-35202
5. https://bitcoincore.org/en/security-advisories/
6. https://www.kaspersky.com/blog/vulnerability-in-hot-cryptowallets-from-2011-2015/49943/
7. https://www.reddit.com/r/Bitcoin/comments/15nbzgo/psa_severe_libbitcoin_vulnerability_if_you_used/
8. https://github.com/bitcoin/bitcoin/blob/master/doc/benchmarking.md
9. https://www.cvedetails.com/vulnerability-list/vendor_id-12094/product_id-59195/Bitcoin-Bitcoin-Core.html
10. https://bits.media/razrabotchiki-bitcoin-core-ustranili-uyazvimost-v-versiyakh-0-18-i-nizhe/
11. https://www.certik.com/resources/blog/private-key-public-risk
12. https://protos.com/bitcoin-devs-finally-admitting-to-major-mistakes-in-core-software/
13. https://www.cvedetails.com/cve/CVE-2023-50428/
14. https://en.bitcoin.it/wiki/약점
15. https://bitcointalk.org/index.php?topic=563048.0
16. https://www.reddit.com/r/Bitcoin/comments/7gii7x/security_risks_involved_using_bitcoin_core_wallet/
17. https://stackoverflow.com/questions/67118328/how-to-exploit-vulnerabilityuse-of-hard-coded-cryptographic-key-in-web-project
18. https://bitcoin.org/en/alert/2015-10-12-upnp-vulnerability
19. https://bitcointalk.org/index.php?topic=2859033.0
20. https://nvd.nist.gov/vuln/detail/CVE-2024-52914
21. https://nvd.nist.gov/vuln/detail/cve-2024-38365
22. https://thebitcoinmanual.com/articles/why-bitcoiners-should-always-generate-a-new-recieve-address/
23. https://security.snyk.io/package/npm/bitcoin-core
24. https://www.cve.org/CVERecord/SearchResults?query=Bitcoin
25. https://postquantum.com/post-quantum/quantum-cryptocurrencies-bitcoin/
26. https://developers.google.com/nearby/fast-pair/specifications/appendix/cryptotestcases
27. https://cqr.company/web-vulnerabilities/hard-coded-cryptographic-keys/
28. https://arxiv.org/html/2503.19531v1
29. https://github.com/trufflesecurity/test_keys/blob/main/keys
30. https://github.com/securego/gosec
31. https://www.youtube.com/watch?v=dgJUKZoWULc
32. https://stackoverflow.com/questions/77124543/crypto-hardcoded-key-can-bee-seen-in-devtools-is-it-safe
33. https://arxiv.org/html/2503.22156v1
34. https://github.com/GantMan/jail-monkey/issues/18
35. https://codesignal.com/learn/courses/a02-cryptographic-failures-1/lessons/hardcoded-secrets-in-source-code-1
36. https://attacksafe.ru/private-keys-attacks/
37. https://www.youtube.com/watch?v=RaqzmplpMyI
38. https://www.sciencedirect.com/science/article/pii/S2590005621000138
39. https://xdaforums.com/t/test-key.3844555/
40. https://dev.to/cryptodev/best-practices-for-secure-coding-in-crypto-exchanges-protecting-user-data-and-assets-3bc3
41. https://stackoverflow.com/questions/3188171/java-encryption-alternitive-to-hardcoded-key
42. https://mirror.b10c.me/bitcoin-bitcoin/24303/
43. https://forklog.com/en/developer-explains-fix-for-bitcoin-core-vulnerability/
44. https://substack.com/home/post/p-137736974
45. https://github.com/bitcoin-dev-tools/benchcoin
46. https://www.reddit.com/r/Bitcoin/comments/4r0bex/when_you_sweep_a_private_key_how_are_all_the/
47. https://agroce.github.io/bitcoin_report.pdf
48. https://www.youtube.com/watch?v=lMH63-dGfwE
49. https://bitcoincore.org/en/releases/0.21.0/
50. https://en.bitcoin.it/wiki/Common_Vulnerabilities_and_Exposures
51. https://coinguides.org/verify-bitcoin-core-signatures/
52. https://bitcointalk.org/index.php?topic=5359781.0
53. https://bitcoincore.reviews/31689
54. https://www.rpmfind.net/linux/RPM/opensuse/ports/tumbleweed/ppc64le/bitcoin-test-28.1-1.3.ppc64le.html
55. https://www.reddit.com/r/Bitcoin/comments/76v747/bitcoin_core_code_was_tested_so_thoroughly_that/
56. https://github.com/bitcoin/bitcoin/issues/27284
57. https://bitcointalk.org/index.php?topic=5309459.0

참고 자료:

• keyhunters.ru: 원비트 마스터 공격 – 실제 공격 사례 및 시나리오,  키헌터들의 과학적 분류
• keyhunters.ru: CVE-2025-27840  키헌터 위협 에 대한 자세한 분석
• NVD와 Forklog – 기술 분석, 하드웨어 지갑 공격 및 그 결과

1. https://keyhunters.ru/one-bit-master-attack-a-critical-cryptographic-vulnerability-in-bitcoin-one-bit-master-attack-and-private-key-recovery-via-hardcoded-private-key-attack-cve-2025-27840/
2. https://forklog.com/en/critical-vulnerability-found-in-bitcoin-wallet-chips/
3. https://keyhunters.ru/the-new-frontier-of-cybersecurity-key-ecosystem-vulnerabilities-and-cryptanalysis-bitcoin-2025-iot-security-threat-from-cve-2025-27840-vulnerability-in-esp32-microcontrollers/
4. https://nvd.nist.gov/vuln/detail/cve-2025-27840
5. https://nvd.nist.gov/vuln/detail/CVE-2025-32965
6. https://www.wiz.io/vulnerability-database/cve/cve-2025-32965
7. https://www.cve.org/CVERecord/SearchResults?query=gnupg
8. https://www.fireblocks.com/blog/gg18-and-gg20-paillier-key-vulnerability-technical-report/
9. https://www.reddit.com/r/CryptoTechnology/comments/nidwpj/question_about_collision_of_private_keys/
10. https://orbit.dtu.dk/files/255563695/main.pdf
11. https://cwe.mitre.org/data/definitions/1391.html
12. https://dl.acm.org/doi/full/10.1145/3596906
13. https://cqr.company/web-vulnerabilities/hard-coded-cryptographic-keys/
14. https://attacksafe.ru/ultra/
15. https://www.techrxiv.org/users/878102/articles/1257863/master/file/data/Analysis%20of%20Symmetric/Analysis%20of%20Symmetric.pdf
16. https://www.bis.org/publ/othp72.pdf
17. https://cryptorank.io/news/feed/5742f-crypto-wallets-using-chinese-made-esp32-chip-vulnerable-to-private-key-theft-report
18. https://nvd.nist.gov/vuln/detail/CVE-2025-56608
19. https://arxiv.org/html/2503.22156v1
20. https://www.cve.org/CVERecord/SearchResults?query=sslv2

1. https://keyhunters.ru/one-bit-master-attack-a-critical-cryptographic-vulnerability-in-bitcoin-one-bit-master-attack-and-private-key-recovery-via-hardcoded-private-key-attack-cve-2025-27840/
2. https://www.youtube.com/watch?v=qije9apncA0
3. https://www.coincenter.org/education/key-concepts/51-attack/
4. https://www.youtube.com/watch?v=8tMmlef3fU8
5. https://arxiv.org/pdf/1312.7013.pdf
6. https://github.com/deedy/HiddenMarkovModelRandomWalk/blob/master/corpora/egs.txt
7. https://braiins.com/blog/bitcoin-mining-attacks-explained
8. https://arxiv.org/html/2403.08023v1
9. https://www.linkedin.com/pulse/practical-attacks-demonstrated-against-bitcoin-cold-storage-ian-spiro
10. https://github.com/bitcoin/bips/blob/master/bip-0101.mediawiki