키헌터 작성 

팬텀 커브 공격: (논스 재사용을 통한 ECDSA 개인 키 복구 공격)

ECDSA 서명 알고리즘의 취약하거나 재사용 가능한 논스(nonce)와 관련된 심각한 취약점은 비트코인 ​​암호화폐 보안에 가장 치명적인 위협 중 하나입니다. “ECDSA 논스 재사용 공격” 또는 “논스 재사용을 통한 개인 키 복구”라고 불리는 이 공격은 공격자가 동일한 r 값을 가진 두 개의 서명만 있으면 악용할 수 있기 때문에 개인 키를 완전히 탈취할 수 있습니다. 프로토콜의 이러한 결함을 악용하면 공격 대상 주소의 자금을 즉시 완전히 장악할 수 있으며, 이는 주요 블록체인에서 발생한 실제 탈취 사례와 공개를 통해 확인되었습니다  .

팬텀 커브 공격: 비트코인에 대한 치명적인 논스 리플레이 취약점 및 암호화 공격

연구 논문: 비트코인의 심각한 암호화 취약점 및 가능한 공격

암호화폐 거래의 보안은 암호화 프로토콜의 강도, 특히 디지털 서명 알고리즘(ECDSA)의 정확한 구현과 개인 키 보호에 달려 있습니다. 실제 시나리오에서 서명 생성 오류는 비트코인 ​​네트워크 사용자 자금의 완전한 손실을 포함한 치명적인 결과를 초래할 수 있습니다. 이 글에서는 이러한 심각한 취약점, 과학적 정의, 잠재적인 공격 시나리오, 그리고 CVE에 등록된 알려진 취약점에 대해 살펴봅니다.

취약성의 본질

ECDSA/Schnorr 서명을 생성할 때 고유 값(nonce, 매개변수 k)을 생성하는 방식이 잘못되었거나 안전하지 않은 경우 심각한 취약점이 발생합니다. nonce가 반복되거나 취약한 난수 생성기(RNG)로 인해 예측 가능해지면 공격자는 r 또는 k 값이 동일한 두 개 이상의 서명을 통해 개인 키를 복구할 수 있습니다.  keyhunters+2

수학적 설명

이 공격은 동일한 논스를 사용하는 ECDSA 방정식이 공개 서명 매개변수를 통해 개인 키 d를 표현할 수 있도록 허용한다는 사실 때문에 가능합니다. 즉, d=s1k−H(m1)r(modn)d = \frac{s_1 k – H(m_1)}{r} \pmod{n}d=rs1k−H(m1)(modn)d=s2k−H(m2)r(modn)d = \frac{s_2 k – H(m_2)}{r} \pmod{n}d=rs2k−H(m2)(modn)입니다.

k(r) 값이 같은 두 개의 메시지와 두 개의 서명을 알고 있다면 k를 계산한 다음 d(개인 키)를 계산하는 것은 매우 간단해집니다.

이 취약점은 비트코인 ​​공격에 어떤 영향을 미칩니까?

1. 완전한 개인 키 복구  : 공격자는 공개 데이터(동일한 r 값을 가진 두 개의 서명)를 사용하여 비트코인 ​​주소 소유자의 개인 키를 계산하고 자금을 완전히 장악할 수 있습니다.  cispa+1
2. 자금 탈취  : 공격자는 개인 키를 획득한 후 즉시 모든 비트코인을 자신의 주소로 이체합니다. 이러한 공격은 실제로 발생했으며, 취약한 구현이나 nonce 재사용으로 인해 수백 BTC가 도난당했습니다.  cispa
3. 거래 변조  : 공격자는 거래를 위조하고 비트코인 ​​네트워크의 보안 메커니즘을 우회하여 생태계에 대한 신뢰를 약화시킬 수 있습니다.
4. 공격 규모 확대  : 이 취약점은 블록체인에서 중복을 찾는 자동화된 봇에 의해 광범위하게 악용되고 있습니다. 네트워크에 미칠 수 있는 잠재적 피해는 막대하며, 사용자 신뢰 상실을 포함한 심각한 결과를 초래할 수 있습니다.

실제 통계

연구 결과에 따르면 ECDSA 논스 재사용으로 이미 수억 달러의 손실이 발생했습니다. 예를 들어, 한 사례에서는 사기꾼들이 공개 블록체인 데이터의 중복 값을 분석하여 412.8 BTC를 탈취했습니다  .

공격의 과학적 명칭

과학적 암호학에서 이러한 공격을 다음과 같이 부릅니다.

• ECDSA Nonce 재사용 공격
• Nonce 재사용을 통한 ECDSA 개인 키 복구 공격
• 다른 용어:  ECDSA에 대한 약한 무작위성 공격  ,  반복 가능한 논스에 대한 암호해독

CVE 데이터베이스 등록

이 취약점에는 다음과 같은 CVE 번호가 있습니다.

• CVE-2018-0734  – ECDSA 구현에서 발생하는 Nonce 재사용 취약점.
• CVE-2020-28498  – 개인 키 노출을 동반하는 ECDSA 서명 생성 오류.
• CVE-2025-27840  은 부적절한 nonce 생성(예: 하드웨어 지갑의 ESP32 마이크로컨트롤러)과 관련된 심각한 취약점입니다.  forklog+1
• CVE-2018-17096  – 비트코인 ​​코어의 난수 생성기(RNG)의 무작위성이 불충분하여, 취약한 매개변수로 인해 개인 키 복구가 가능합니다.

CVE는 이러한 공격을 “부적절한 키 관리” 및 “암호화 문제”로 분류하지만, 특히 “Nonce 재사용” 시나리오가 전문가 커뮤니티에 가장 중요합니다.  keyhunters+2

결론

비트코인 ECDSA 서명 과정에서 논스(nonce) 생성 또는 처리에 치명적인 오류가 발생하면 이른바 “ECDSA 논스 재사용 공격”으로 이어집니다. 이 공격은 암호화 강도의 완전한 손상, 막대한 자금 유출, 그리고 생태계에 대한 신뢰도 하락을 초래하며, 이는 수많은 실제 사례와 CVE 등록을 통해 확인되었습니다. 과학계와 산업계는 이러한 파괴적인 공격을 방지하기 위해 결정론적 논스 생성 알고리즘(RFC 6979)으로의 전환과 암호화 구현에 대한 정기적인 감사를 강력히 권장합니다.  par.nsf+4

암호화 취약점

제공해주신 btcsuite/txscript 소스 코드는 개인 키가 한 줄에서 즉시 유출되는 것과 같은 직접적인 암호화 취약점을 나타내지는 않습니다. 이러한 함수에는 개인 키를 안전하지 않은 위치로 출력, 전송 또는 직렬화하는 작업이 포함되어 있지 않습니다. 그러나 개인 키 유출 또는 손상에 대한 취약점이 발생할 수 있는 가장 중요한 부분은 *btcec.PrivateKey 유형의 개인 키를 처리하는 모든 줄, 즉 ecdsa.Sign() 또는 schnorr.Sign()을 통한 서명 생성 부분입니다(  pkg.go) .

개인 키 작업을 위한 핵심 코드 라인

• signature := ecdsa.Sign(key, hash)(예: RawTxInWitnessSignature, RawTxInSignature 함수)
• signature, err := schnorr.Sign(privKeyTweak, sigHash)(RawTxInTaprootSignature)
• 개인 키가 참조로 전달되거나, 직렬화되거나, 메모리, 구조체 또는 로그에 저장되는 모든 위치

잠재적 취약점

• 개인 키(  *btcec.PrivateKey)가 직렬화되거나, 출력되거나, 버퍼/로그에 평문으로 저장되는 경우(예: zcode가 개인 키를 로그, 메모리, 파일에 추가하거나 안전하지 않은 채널을 통해 전송하는 경우, 심지어 일시적으로라도), 이는 이미 취약점입니다.  keyhunters+1
• ecdsa.Sign/schnorr.Sign의 버그: 비결정적이거나 반복되는 논스(nonce)를 사용하여 서명을 생성하는 경우, 논스 유출 공격이 가능합니다(랜덤 논스 공격, HNP 공격, ECDSA에서 반복되는 “k” 사용 참조).  bitcointalk+2
• 적절한 격리 및 제어 없이 개인 키를 외부 함수나 라이브러리에 전달하는 행위.

특정 “위험한” 문자열 (가상의 취약점) 의 예 

제공된 코드 조각에서 이러한 모든 줄은 다음과 같습니다.

가다:

signature := ecdsa.Sign(key, hash)

또는

가다:

signature, err := schnorr.Sign(privKeyTweak, sigHash)

만약 개인 키가 이 함수 외부로 유출된다면 (예: 직렬화, 안전하지 않은 RPC를 통한 전달, 로그 기록 등), 이는 취약점이 될 수 있습니다. 가장 흔한 경우는 개인 키를 직접 출력/로깅/저장하는 것입니다. 하지만 당신의 코드에는 그러한 출력이 없습니다.  reddit+1

취약한 패턴 (개인 키 사용 시 흔히 발생하는 실수)

• 암호화 없이 개인 키를 직렬화하여 콘솔, 디스크 및  키헌터 로그 에 출력합니다.
• 서명을 생성할 때 동일하거나 약한 논스를 사용하면 여러 서명에서 개인 키를 복구할 수 있습니다.  (keyhunters+2)
• 보안이 취약한 코드 부분에 개인 키를 전달하는 행위

추천

코드 내 함수는 개인 키가 직렬화되거나 함수/프로세스 간에 공유되지 않고 올바르게 사용되는 경우(예: RFC 6979에 따른 ECDSA의 결정론적 논스 사용, 엄격한 메모리 관리, 개인 키 로깅 금지) 내부적으로 안전할 수 있습니다.  취약점은 항상 부적절한 개인 키 처리(직렬화, 출력 ,  로깅 또는 논스의 반복/예측 가능성을 허용하는 구현)에서 발생합니다. 

결론:
제공된 코드 조각에서 ecdsa.Sign(key, hash) 및 schnorr.Sign(privKeyTweak, sigHash)가 포함된 줄과 직렬화, 로깅, 메모리 관리 또는 nonce 오류로 인한 개인 키 유출 가능성에 특히 주의하십시오. 직접적으로 취약한 줄(“이 줄에서 유출됨”)은 없지만, 핵심 위험은 이러한 함수 외부에서 개인 키를 처리하고 저장하는 데 있습니다.  reddit+3

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 60,69954769 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은  60,699,54769 BTC  (복구 당시 약 7,631,450.63달러)   가 들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 19isNwE5xs2YLgw2G1SLuarrxx2fBJbJMk 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.privkey.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보들을 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5JBfz9ZdpYmATGEusaP322gUWWVtC39ArK9q4xNVFcFqKTxVT6T를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $7631450.63]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

0100000001b964c07b68fdcf5ce628ac0fffae45d49c4db5077fddfc4535a167c416d163ed000000008b483045022100da7c96e4e0d08578ee50054f17a30f4d8b433dd1e03e30e6cc2fedfe57773826022062e6ec43a6136a8b39e8d9387246af73b2d4cf9144d5cb07f77b59240bc999590141045c4cbd53105a02d02ddae0156327ff469a8e9fb0ddaa281506c2c76ff5561bf16b46eb4c4f054bb20dd7ece8fc436763b7105636d59e5b8d4daf9f27896557b3ffffffff030000000000000000456a437777772e626974636f6c61622e72752f626974636f696e2d7472616e73616374696f6e205b57414c4c4554205245434f564552593a202420373633313435302e36335de8030000000000001976a914a0b0d60e5991578ed37cbda2b17d8b2ce23ab29588ac61320000000000001976a9145fac1d429860545a99eb4c2c1b793a7f314bf5c488ac00000000

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

KeySilentLeak과 팬텀 커브 공격: 비트코인에서 개인 키 노출로 이어지는 은밀한 암호화 오류

본 논문은 암호 분석 도구인 KeySilentLeak 에 대한 포괄적인 과학적 분석 과 이 도구가 비트코인 ​​취약점 중 가장 치명적인 ECDSA 논스 재사용 공격 (일명 팬텀 커브 공격 )과 어떤 관련이 있는지 살펴봅니다 . KeySilentLeak은 디지털 서명 생성 과정에서 발생하는 탐지 불가능한(“조용한”) 암호화 정보 유출을 상징적으로 표현한 것으로, 이는 개인 키 복구에 치명적인 결과를 초래할 수 있습니다. 본 논문에서는 이러한 숨겨진 취약점이 어떻게 나타나는지, 수학적 근거는 무엇인지, 암호화폐 지갑 분실에 미치는 영향은 무엇인지, 그리고 결정론적 논스 표준과 강화된 암호화 구현을 기반으로 한 완화 방안을 제시합니다.

비트코인의 보안은 근본적으로 타원 곡선 디지털 서명 알고리즘(ECDSA) 의 견고성에 달려 있습니다 . 모든 거래에는 고유한 암호화 서명이 필요하며, 이 서명은 내부적으로 신중하게 생성된 난수(nonce) kkk에 의존합니다. 만약 이 nonce가 반복되거나 예측 가능하면, 개인 키를 복구할 수 있는 은밀한 경로가 생겨납니다.

KeySilentLeak이라는 도구는 이러한 실패, 즉 심각한 피해가 발생한 후에야 드러나는 암호화 시스템의 조용한 침해를 비유적으로 보여줍니다. 눈에 띄는 패턴을 보이는 공개적인 취약점과는 달리, 조용한 논스 유출은 실시간으로 명확한 흔적을 남기지 않으며, 블록체인 데이터로부터 개인 키를 계산적으로 재구성할 때에만 드러납니다.

취약점의 본질

ECDSA에서 보안은 각 nonce kkk가 고유하고 예측 불가능하다는 가정에 기반합니다. 팬텀 커브 공격은 이 가정을 악용합니다. s1=k−1(H(m1)+r⋅d)(modn)s_1 = k^{-1}(H(m_1) + r \cdot d) \pmod{n}s1=k−1(H(m1)+r⋅d)(modn)s2=k−1(H(m2)+r⋅d)(modn)s_2 = k^{-1}(H(m_2) + r \cdot d) \pmod{n}s2=k−1(H(m2)+r⋅d)(modn)

두 서명에서 동일한 논스 kkk(따라서 동일한 rrr)가 재사용되는 경우, 방정식을 결합하여 ddd의 무작위성을 제거하고 개인 키를 직접 계산할 수 있습니다. k=H(m1)−H(m2)s1−s2(modn)k = \frac{H(m_1) – H(m_2)}{s_1 – s_2} \pmod{n}k=s1−s2H(m1)−H(m2)(modn)d=s1⋅k−H(m1)r(modn)d = \frac{s_1 \cdot k – H(m_1)}{r} \pmod{n}d=rs1⋅k−H(m1)(modn)

이처럼 눈에 띄지 않는 암호화 취약점은 KeySilentLeak 의 사명을 잘 보여줍니다 . 즉, 보이지 않게 작용하여 적대자가 조작할 경우 암호화 기반을 노출시키는 잠재적 취약점을 상징합니다.

사일런트 누출 메커니즘 및 KeySilentLeak

실제 블록체인 시스템에서 “조용한 정보 유출”은 다음과 같은 경로를 통해 발생할 수 있습니다.

• 약한 난수 생성기(RNG): 타임스탬프와 같은 예측 가능한 값이나 불충분한 엔트로피 풀에서 파생된 논스(nonce).
• 기기 간 Nonce 재사용: 하드웨어 지갑 오류 또는 펌웨어 구현에서 시드가 반복되는 경우.
• 사이드 채널 공격: 연산 중에 의도치 않게 논스(nonce)의 일부가 노출되는 타이밍 공격 또는 메모리 관리 오류.
• 잘못된 소프트웨어 업데이트: 결정론적 논스 생성(RFC 6979)을 조용히 우회하는 잘못 구성된 암호화 라이브러리.

KeySilentLeak 프레임워크는 이러한 오류가 어떻게 감지되지 않고 발생하여 최종 사용자가 자금이 고갈될 때까지 노출 사실을 인지하지 못하게 되는지 파악하기 위한 상징적인 조사 접근 방식을 제공합니다.

비트코인에 대한 시사점

KeySilentLeak과 같은 도구로 인해 증폭되는 이러한 취약점의 결과는 심각합니다.

• 개인 키 복구: 공격자는 블록체인에서 중복된 rrr 값을 스캔하여 분실 또는 잘못 관리된 비트코인 ​​지갑의 비밀 키를 복구할 수 있습니다.
• 자동화된 블록체인 악용: 고도화된 봇들이 이미 반복되는 값을 가진 논스(nonce)를 찾아내어 대규모 공격을 은밀하게 실행하고 있습니다.
• 실제 절도 사례: 수백만 달러에 달하는 손실(예: 한 번 재사용된 사례에서 412.8 BTC)이 발생한 것을 보면, 이러한 침해 행위가 절도 발생 후까지 얼마나 “조용히” 지속될 수 있는지 알 수 있습니다.
• 네트워크 신뢰도 하락: 조용한 실패 모델은 개별 지갑에 대한 신뢰뿐만 아니라 비트코인 ​​기반 알고리즘의 신뢰성까지 약화시킵니다.

과학 및 산업적 대응책

KeySilentLeak 유형의 취약점을 완화하기 위해 과학적으로 입증된 대응책은 다음과 같습니다.

• 결정론적 논스 생성: RFC 6979는 논스가 개인 키와 메시지로부터 고유하게 생성되도록 보장하여 의도치 않은 반복 생성을 방지합니다.
• 하드웨어 보안 모듈(HSM): 암호화 연산이 변조 방지 격리 환경에서 실행되도록 보장합니다.
• 지속적인 블록체인 감사: 공격자가 악용하기 전에 반복되는 서명 매개변수를 모니터링하고 표시합니다.
• 다중 서명 지갑: 임계값 암호화를 사용하면 논스 취약점으로 인한 단일 개인 키 유출 위험을 줄일 수 있습니다.
• 정기적인 취약점 등록: CVE 식별자(예: CVE-2018-0734, CVE-2025-27840)를 통해 결함을 체계적으로 파악하고 패치할 수 있습니다.

결론

논스(nonce) 재사용을 악용한 팬텀 커브 공격은 비트코인 ​​생태계에 가장 파괴적인 위협 중 하나로 꼽힙니다. 키사일런트리크(KeySilentLeak)는 이러한 취약점이 작동하는 숨겨진 메커니즘을 단적으로 보여줍니다. 즉, 막대한 손실이 발생할 때까지 감지되지 않는다는 것입니다. 이러한 은밀한 정보 유출의 위험성은 단순히 이론적인 문제가 아닙니다. 실제로 현실 세계에서 금융 파탄을 초래했으며, 탈중앙화 금융에 대한 전 세계적인 신뢰를 훼손하고 있습니다.

KeySilentLeak과 같은 현상으로부터 비트코인을 안전하게 보호하기 위해서는 엄격한 암호화 표준, 체계적인 감사, 그리고 결정론적 논스 전략 의 도입이 필수적입니다 . 이러한 조치를 통해서만 은밀한 키 노출을 방지하고 블록체인에 대한 신뢰를 유지할 수 있습니다.

연구 논문: 개인 키 작업 시 발생하는 암호화 취약점 및 이를 제거하는 확실한 방법

소개

암호화폐 및 블록체인 기술에서 개인 키 보안은 자산 보호의 핵심입니다. 개인 키 유출이나 손상으로 이어지는 취약점은 모든 사용자 자금을 위험에 빠뜨립니다. 특히 비트코인 ​​암호화 프로토콜(예: ECDSA) 구현상의 결함은 매우 심각한데, 안전하지 않은 키 생성 또는 처리로 인해 공격자가 서명을 기반으로 개인 키를 복구할 수 있기 때문입니다  .

취약성은 어떻게 발생하는가?

이 취약점의 주요 원인은 개인 키를 부적절하게 처리하는 데 있으며, 특히 ECDSA/Schnorr 서명에 사용되는 일회용 값(nonce, 매개변수 k) 생성 과정에서 발생합니다. 흔히 발생하는 오류는 예측 가능하거나 반복되거나 암호학적으로 안전하지 않은 nonce 값을 사용하는 것입니다. 하나의 키를 사용한 두 개의 서로 다른 서명에서 값 k가 한 번만 반복되더라도 다음 방식을 사용하여 개인 키를 계산할 수 있습니다.  notsosecure+1  s1=k−1(H(m1)+r⋅d)s2=k−1(H(m2)+r⋅d) ⟹ k=H(m1)−H(m2)s1−s2mod n ⟹ d=s1⋅k−H(m1)rmod n\begin{align*} s_1 &= k^{-1} (H(m_1) + r \cdot d) \\ s_2 &= k^{-1} (H(m_2) + r \cdot d) \\ \implies k &= \frac{H(m_1) — H(m_2)}{s_1 — s_2} \mod n \\ \implies d = \frac{s_1 \cdot k — H(m_1)}{r} \mod n \end{align*}s1s2⟹k⟹d=rs1⋅k−H(m1)modn=k−1(H(m1)+r⋅d)=k−1(H(m2)+r⋅d)=s1−s2H(m1)−H(m2)modn

• 만약 k가 암호화 방식이 아닌 의사난수 생성기(PRNG)에 의해 선택된다면, 공격자는 k의 순서를 예측하고 개인 키를 쉽게 계산할 수 있습니다.
• 개인 키 가 안전하지 않은 채널이나 메모리에 직렬화, 저장 또는 기록되는 경우 유출 위험이 증가합니다. 

오류 코드(취약한 변종)의 예시

가다// уязвимый способ генерации nonce для подписи ECDSA
k := time.Now().UnixNano() // не случайно!
signature := ecdsa.SignWithNonce(privKey, hash, k)

여기서 매개변수 k는 예측 가능하며 외부 관찰자에 의해 쉽게 재현될 수 있습니다.

안전한 해결책: 결정론적 논스 사용(RFC 6979)

k에 대한 공격을 방지하는 가장 확실한 방법은 RFC 6979에 따라 k를 결정론적으로 구현하는 것입니다. 여기서 k는 개인 키와 메시지를 기반으로 하는 HMAC로 계산됩니다. 이는 동일한 데이터를 사용하더라도 k를 재사용할 가능성을 완전히 제거하며 외부 난수 생성 장치를 필요로 하지 않습니다.

Go 언어로 구현한 안전한 예시 (RFC6979를 사용한 ECDSA):

가다import (
    "crypto/ecdsa"
    "crypto/sha256"
    "golang.org/x/crypto/rfc6979"
    "math/big"
)

// Безопасная функция подписи: приватный ключ не выходит за пределы функции,
// для nonce используется RFC6979
func SafeSign(priv *ecdsa.PrivateKey, hash []byte) (r, s *big.Int, err error) {
    curve := priv.Curve
    entropy := rfc6979.NewK(priv.D, hash, sha256.New) // HMAC-DRBG
    k := new(big.Int).SetBytes(entropy.Next(curve.Params().BitSize / 8))
    // Стандартное создание подписи с помощью выбранного k
    r, s, err = ecdsa.SignWithNonce(rand.Reader, priv, hash, k)
    return
}

• 여기서 개인 키는 직렬화되지 않으며 함수 범위를 벗어나지 않습니다.
• RFC6979는 중복되거나 예측 가능한 값을 확실하게 배제하는 k를 생성하는 데 사용됩니다.

보호 강화를 위한 추가 조치

• 개인 키는 암호화된 형태로만 저장하십시오(예: 하드웨어 암호화 메커니즘 또는 HSM/TEE로 보호되는 메모리).  immunebytes+1
• 보안 프로세스 외부에서는 개인 키를 절대 기록, 직렬화 또는 전송하지 마십시오.  debutinfotech+1
• 다중 요소 인증 및 다중 서명(multisig) 메커니즘을 구현합니다.
• 암호화 모듈에 대한 정기적인 감사 및 퍼즈 테스트를 수행하여 새로운 유형의 취약점을 식별하고 완화하십시오.  moldstud+1
• ID 및 액세스 관리(IAM)를 사용하여 개인 키 및 서명 시스템에 대한 액세스를 엄격하게 제어하십시오  .
• 암호화 라이브러리를 최신 상태로 유지하세요. 보안 패치가 적용된 최신 지원 버전을 사용하십시오.  moldstud

결론

개인 키 처리 및 생성과 관련된 암호화 취약점은 돌이킬 수 없는 자금 손실로 이어질 수 있습니다. 적절하게 구현되고 검증된 서명 생성 방식(특히 결정론적 ECDSA/Schnorr에 대한 RFC 6979 사용)은 시스템의 실질적인 공격 방어에 매우 중요합니다. 안전한 코드는 개인 키의 전송, 직렬화 및 로깅을 배제하고 논스 생성 시 업계 표준을 엄격히 준수해야 합니다. 안전한 소프트웨어 개발의 기본 원칙을 준수하는 것은 공격을 방지하고 암호화 생태계에 대한 신뢰를 유지하는 데 필수적입니다  .

최종 과학적 결론

ECDSA 서명 알고리즘의 취약하거나 재사용 가능한 논스(nonce)와 관련된 심각한 취약점은 비트코인 ​​암호화폐 보안에 가장 치명적인 위협 중 하나입니다. “ECDSA 논스 재사용 공격” 또는 “논스 재사용을 통한 개인 키 복구”라고 불리는 이 공격은 공격자가 동일한 r 값을 가진 두 개의 서명만 있으면 악용할 수 있기 때문에 개인 키를 완전히 탈취할 수 있습니다. 프로토콜의 이러한 결함을 악용하면 공격 대상 주소의 자금을 즉시 완전히 장악할 수 있으며, 이는 주요 블록체인에서 발생한 실제 탈취 사례와 공개를 통해 확인되었습니다  .

이 취약점의 가장 큰 위험성은 알고리즘 수준에서 탐지가 불가능하다는 점에 있습니다. 개발자가 안전하지 않은 난수 생성기(RNG)를 사용하거나 논스(nonce) 반복을 허용하는 경우, 비트코인 ​​블록체인과 같은 투명한 네트워크에서도 공격이 가능해집니다. 이는 전체 시스템의 암호화 기반에 대한 근본적인 신뢰를 훼손하여 개별 지갑뿐만 아니라 전 세계 암호 경제의 인프라 자체를 위협합니다.

유일하게 확실한 대응책은 업계 표준을 엄격히 준수하고, 결정론적 논스 생성(RFC 6979)을 사용하며, 정기적인 감사를 실시하고, 소프트웨어 및 하드웨어 솔루션의 모든 수준에서 적절한 개인 키를 관리하는 것입니다. 소스 코드의 단 한 줄이라도 이러한 조치를 소홀히 하면 수백만 달러의 손실이 발생하고, 기밀성이 훼손되며, 디지털 화폐라는 개념 자체에 대한 신뢰가 무너질 수 있습니다.

1. https://notsosecure.com/ecdsa-nonce-reuse-attack
2. https://arxiv.org/html/2504.07265v1
3. https://github.com/pcaversaccio/ecdsa-nonce-reuse-attack
4. https://research.kudelskisecurity.com/2023/03/06/polynonce-a-tale-of-a-novel-ecdsa-attack-and-bitcoin-tears/
5. https://arxiv.org/pdf/2504.07265.pdf
6. https://www.themoonlight.io/en/review/ecdsa-cracking-methods

참고 자료  :
nordlayer.com/blog/blockchain-security-issues  nordlayer
moldstud.com/articles/p-essential-tools-libraries-for-bitcoin-cryptography  moldstud
github.com/kudelskisecurity/ecdsa-polynomial-nonce-recurrence-attack  github
notsosecure.com/ecdsa-nonce-reuse-attack  notsosecure
cryptomathic.com/blog/cryptographic-key-management-the-risks-and-mitigations  cryptomathic
github.com/pcaversaccio/ecdsa-nonce-reuse-attack  github
debutinfotech.com/blog/crypto-security-keys-public-vs-private-keys  debutinfotech
immunebytes.com/blog/crypto-security-essentials-secure-encryption-key-management  immunebytes

1. https://nordlayer.com/blog/blockchain-security-issues/
2. https://github.com/kudelskisecurity/ecdsa-polynomial-nonce-recurrence-attack
3. https://notsosecure.com/ecdsa-nonce-reuse-attack
4. https://github.com/pcaversaccio/ecdsa-nonce-reuse-attack
5. https://www.cryptomathic.com/blog/cryptographic-key-management-the-risks-and-mitigations
6. https://www.debutinfotech.com/blog/crypto-security-keys-public-vs-private
7. https://immunebytes.com/blog/crypto-security-essentials-secure-encryption-key-management/
8. https://moldstud.com/articles/p-essential-tools-libraries-for-bitcoin-cryptography-development-2025-guide
9. https://www.forbes.com/sites/leeorshimron/2025/06/30/quantum-threat-bitcoins-fight-to-secure-our-digital-future/
10. https://www.ledger.com/de/academy/crypto-and-quantum-computing
11. https://zimperium.com/blog/top-5-cryptographic-key-protection-best-practices
12. https://pkg.go.dev/github.com/btcsuite/btcd/txscript
13. https://www.ellipal.com/blogs/knowledge/crypto-security-strategies-2025
14. https://github.com/topics/private-key-cryptography
15. https://kudelskisecurity.com/research/polynonce-a-tale-of-a-novel-ecdsa-attack-and-bitcoin-tears
16. https://arxiv.org/html/2508.01280v1
17. https://sgt.markets/understanding-the-importance-of-private-and-public-keys-in-cryptocurrency/

1. https://pkg.go.dev/github.com/btcsuite/btcd/txscript
2. https://keyhunters.ru/weak-key-attacks-secret-key-leakage-attack-critical-vulnerability-in-private-key-serialization-and-dangerous-signature-forgery-attack-a-threat-to-bitcoin-cryptocurrency-security/
3. https://www.reddit.com/r/CryptoCurrency/comments/86x2p7/many_popular_cryptocurrency_wallets_completely/
4. https://bitcointalk.org/index.php?topic=5529612.60
5. https://keyhunters.ru/bitcoin-signature-malleability/
6. https://keyhunters.ru/private-key-debug-cryptographic-vulnerabilities-related-to-incorrect-generation-of-private-keys-bitcoin/
7. https://attacksafe.ru/private-keys-attacks/
8. https://keyhunters.ru/critical-vulnerabilities-of-private-keys-and-rpc-authentication-in-bitcoinlib-analysis-of-security-risks-and-attack-methods-on-bitcoin-cryptocurrency/
9. https://discovery.ucl.ac.uk/10060286/1/versio_IACR_2.pdf
10. https://github.com/demining/Reduce-Private-Key
11. https://github.com/topics/ecdsa-cryptography?l=html&o=asc
12. https://en.bitcoin.it/wiki/Common_Vulnerabilities_and_Exposures
13. https://github.com/btcsuite/btcd/discussions
14. https://github.com/demining/Break-ECDSA-cryptography
15. https://habr.com/ru/articles/817237/
16. https://cryptodeeptech.ru
17. https://bitcointalk.org/index.php?topic=977070.0
18. https://github.com/topics/ecdsa-signature?l=html&o=desc&s=updated
19. https://deps.dev/go/github.com%2Fbtcsuite%2Fbtcd/v0.23.1

링크:
keyhunters.ru/ecdsa-private-key-recovery-attack-via-nonce-reuse  keyhunters
cispa.de/en/research/publications/68097-identifying-key-leakage-of-bitcoin-users  cispa
forklog.com/en/tical-vulnerability-found-in-bitcoin-wallet-chips  포크로그
par.nsf.gov/servlets/purl/10174436  par.nsf
keyhunters.ru/weak-key-attacks-secret-key-leakage-attack  keyhunters

1. https://keyhunters.ru/ecdsa-private-key-recovery-attack-via-nonce-reuse-also-known-as-weak-randomness-attack-on-ecdsa-critical-vulnerability-in-deterministic-nonce-generation-rfc-6979-a-dangerous-nonce-reuse-attack/
2. https://cispa.de/en/research/publications/68097-identifying-key-leakage-of-bitcoin-users
3. https://par.nsf.gov/servlets/purl/10174436
4. https://forklog.com/en/critical-vulnerability-found-in-bitcoin-wallet-chips/
5. https://keyhunters.ru/weak-key-attacks-secret-key-leakage-attack-critical-vulnerability-in-private-key-serialization-and-dangerous-signature-forgery-attack-a-threat-to-bitcoin-cryptocurrency-security/
6. https://keyhunters.ru/nonce-reuse-attack-critical-vulnerability-in-schnorr-signatures-implementation-threat-of-private-key-disclosure-and-nonce-reuse-attack-in-bitcoin-network/
7. https://research.kudelskisecurity.com/2023/03/06/polynonce-a-tale-of-a-novel-ecdsa-attack-and-bitcoin-tears/
8. https://habr.com/ru/articles/817237/
9. https://nvd.nist.gov/vuln/detail/CVE-2022-35961
10. https://notsosecure.com/ecdsa-nonce-reuse-attack
11. https://flashift.app/blog/can-you-derive-a-private-key-from-a-blockchain-transaction/
12. https://arxiv.org/html/2109.07634v3
13. https://github.com/demining/디지털 서명 위조 공격
14. https://www.reddit.com/r/CryptoTechnology/comments/nidwpj/question_about_collision_of_private_keys/
15. https://www.darktrace.com/blog/exploring-a-crypto-mining-campaign-which-used-the-log-4j-vulnerability
16. https://www.semanticscholars.org/paper/Identifying-Key-Leakage-of-Bitcoin-Users-Brengel-Rossow/32c3e3fc47eeff6c8aa93fad01b1b0aadad7e323
17. https://research.checkpoint.com/2025/cve-2025-24054-ntlm-exploit-in-the-wild/
18. https://is.muni.cz/th/pnmt2/Detection_of_Bitcoin_keys_from_hierarchical_wallets_generated_using_BIP32_with_weak_seed.pdf
19. https://www.cvedetails.com/vulnerability-list/vendor_id-12094/Bitcoin.html
20. https://cryptodeeptech.ru

게시물 탐색