키헌터 작성 

팬텀 논스: ECDSA 서명에 대한 치명적인 공격

이 공격의 기본 아이디어는 다음과 같습니다.
취약한 ECDSA 구현(예: 서명 생성 후 즉시 검증이 수행되지 않는 btcd)에서 공격자는 “가짜” 논스(특수하게 구성되거나 변조된   k 값)를 삽입하여  서명 구성 요소를 무효화합니다. 클라이언트 또는 노드는 이러한 서명을 유효한 것으로 인식하고 검증을 통과시키지만, 실제로는 키 결함을 숨기고 있습니다.

비트코인 암호화폐의 디지털 서명 처리 구현 과정에서 발견된 ECDSA 알고리즘의 심각한 취약점은 전체 생태계의 보안에 직접적이고 광범위한 위협을 가합니다. 적절한 검증 없이 전달된 단 하나의 유효하지 않은 서명만으로도 개인 키를 탈취하는 열쇠가 되어, 대규모 공격으로 이어질 수 있습니다.

디지털 서명 위조

그리고 시스템에 대한 신뢰가 완전히 무너졌습니다.

블록체인 펀드의 보안이 알고리즘의 강점뿐만 아니라 구현 품질에도 달려 있다는 사실 자체가 현대 암호화 시스템의 취약성을 여실히 보여줍니다. 역직렬화 오류, 매개변수 생성 오류, 또는 nonce 재사용 등 검증 과정에서의 취약점은 대규모 자산 탈취, 거래 위조, 그리고 탈중앙화된 신뢰의 근본을 파괴하는 결과를 초래할 수 있습니다.

심각한 ECDSA 취약점: 치명적인 시그니처 공격으로 비트코인 ​​암호화폐 보안 및 자금 위협

발견된 ECDSA 취약점의 위험성, 그리고 이 취약점이 자금과 전체 비트코인 ​​시스템에 미치는 직접적인 위협과의 연관성은 공격자의 활동이 지닌 특수성, 즉 암호화 블록체인의 보안을 뒷받침하는 디지털 서명을 훼손하려는 의도를 부각합니다.

연구 논문: 비트코인 ​​암호화폐 공격에 대한 ECDSA 서명 취약점의 영향

비트코인 암호화폐의 보안은 ECDSA(타원 곡선 디지털 서명 알고리즘) 디지털 서명 알고리즘의 강도에 직접적으로 의존합니다. ECDSA 서명 구현의 취약성으로 인해 개인 키가 유출될 수 있으며, 결과적으로 자금에 대한 통제권을 완전히 잃을 수 있습니다. 특히 서명 처리 오류, 서명 검증 부족 또는 직렬화 오류와 관련된 결함은 매우 위험하며, 이러한 버그는 비트코인 ​​사용자 및 인프라에 대한 새로운 공격의 길을 열어줍니다  .

취약성은 어떻게 발생하는가?

해당 취약점은 유효하지 않은 디지털 서명 처리 또는 ECDSA 서명 직렬화/역직렬화 오류와 관련이 있습니다. 주요 발생 시나리오는 다음과 같습니다.

• rrr 및/또는 sss 매개변수가 허용 범위를 벗어난 경우(예: 표준에 따라 허용되지 않는 0과 같은 경우) 또는 코드 또는 프로토콜 수준에서 서명의 정확성에 대한 엄격한 검증이 이루어지지 않은 경우 서명을 생성하거나 수신하는 것을 암호학적 오류라고 합니다  .
• ECDSA 서명의 직렬화 및 역직렬화 과정에서 오류가 발생하여 잘못된 서명(또는 공격자가 특별히 조작한 서명)이 유효한 서명으로 인식될 수 있는 소위   ‘DeserializeSignature’   취약점이 존재합니다.  habr+1

비트코인 공격에 미치는 영향

주요 결과:

• 공격자는 비트코인 ​​코어 클라이언트 또는 노드가 유효한 것으로 받아들일 수 있는 가짜 서명을 생성할 수 있습니다(예: 서명 검증이 제대로 구현되지 않았거나 전혀 수행되지 않은 경우).
• 이를 통해 거래를 위조하거나, 자금을 훔치거나, 이중 지출을 하거나, DoS 공격(오류가 있는 거래를 처리하여 네트워크/노드의 작동을 마비시키는 공격)을 수행할 수 있습니다.
• 서명 처리 과정에서 직렬화/역직렬화 오류가 발생할 경우(예: 동일한 트랜잭션에 대해 동일한 nonce 값을 가진 두 개의 서명이 생성되어 암호 분석을 통해 개인 키를 계산할 수 있는 경우) 개인 키가 완전히 노출될 가능성도 있습니다.  ssldragon

공격의 과학적 명칭

이 공격의 정확한 과학적 명칭은 디지털 서명 위조 공격(Digital Signature Forgery Attack)이며  , 보다 구체적인 용어로는   결함 주입 공격(Fault Injection Attack)  ,   잘못된 직렬화를 통한 서명 위조(Signature Forgery via Malformed Serialization)  ,   논스 재사용 개인 키 추출 공격(Nonce Reuse Private Key Extraction Attack) 등이 있습니다  .  pmc.ncbi.nlm.nih+3

이 취약점에 대한 CVE 식별자

해당 취약점은 국제 CVE 데이터베이스에 공식적으로 등록되었으며, 가장 중요한 수치와 예시는 다음과 같습니다.

• CVE-2025-27840  : 개인 키 생성 및 직렬화 오류로 인해 개인 키 복구 및 비트코인 ​​도난이 발생할 수 있습니다(Electrum 지갑 및 관련 구현체).  keyhunters
• CVE-2022-21449  : Java ECDSA 구현의 서명 검증 오류로 인해 구성 요소가 null인 서명이 허용됩니다.  cryptomathic
• CVE-2022-34716  ,   CVE-2024-42461  : BER/DER 서명 처리 문제 및 잘못된 서명을 통한 공격 위험이 확인되었습니다.  attacksafe+1
• 구체적인 연구 결과에 따르면   DeserializeSignature   버그는 비트코인에서도 유사한 취약점으로 지적됩니다.  github+1

공격 메커니즘: 간략하게 설명

1. 공격자는 유효하지 않은 서명(예: r=0, s=0)을 생성하거나, 유효하지 않은 ECDSA 서명 값을 네트워크에 전송하여 직렬화 버그를 악용합니다.
2. 취약한 노드가 서명을 잘못 검증하여 유효한 것으로 간주합니다.
3. 서명이 위조된 거래가 시작되었습니다. 이는 자금 도난, 이중 지출 또는 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
4. 논스가 반복되거나 잘못 생성되면 암호 분석을 통해 개인 키를 복구할 수 있게 됩니다.

공격을 설명하는 데 사용된 과학 용어

• 디지털 서명 위조(DSF)
• 결함 주입 공격(FIA)
• DeserializeSignature 취약점
• Nonce 재사용 공격
• 서명 변조 취약점

결론

ECDSA 서명 처리의 심각한 취약점이 비트코인 ​​암호화폐 인프라 전체를 직접적으로 위협합니다. 이 취약점은 디지털 서명 위조(DSF) 공격 또는 결함 주입 공격으로 알려져 있습니다. 이 문제는 여러 CVE(예: CVE-2025-27840, CVE-2022-21449, CVE-2022-34716, CVE-2024-42461)에 공식적으로 기록되어 있습니다. 엄격한 서명 검증이 없다면 이러한 버그로 인해 자금이 완전히 손실되고 시스템에 대한 신뢰가 무너질 수 있습니다.  keyhunters+3

디지털 서명 유효성 검사 표준을 항상 준수하고, 소프트웨어를 정기적으로 업데이트하며, 지갑과 노드에서 유사한 취약점이 있는지 확인하는 것이 좋습니다!

암호화 취약점

ECDSA 코드의 암호화 취약점 분석

 제공된 btcsuite ECDSA 코드를 자세히 분석한 결과, 비밀 키와 개인 키 유출로 이어질 수 있는 몇 가지 잠재적인 암호화 취약점을 발견했습니다   .

다음 코드 라인에서 심각한 취약점이 발견되었습니다.

1. 508번째 줄: 생성 후 서명 검증 없음  

⚠️   고위험

취약점:   해당 함수들은   Sign() 생성된 서명에 대한 즉각적인 검증 기능을 제공하지 않습니다.

공격 유형:   결함 주입 공격  github+1

정보 유출 메커니즘:   서명 생성 중 비트 오류(방사선, 전자기 간섭 또는 하드웨어 오류로 인한)가 발생하면 손상된 서명을 통해 개인 키가 노출될 수 있습니다. 

이 취약점의 수학적 근거:
서명   (r, s) 에 오류가 있는   경우 s, 동일한 메시지에 대한 두 개의 서명(정확한 서명과 손상된 서명)을 이용하면 개인 키를   d 계산할 수 있습니다.

텍스트:

d = (s₁ × k - s₂ × k) / (s₁ - s₂) × r⁻¹ mod n

2. 507-517행: 엔트로피 검사 없이 crypto/rand 사용  

⚠️   중간 위험

취약점:

가다:

func testSignCompact(t *testing.T, tag string, curve *btcec.KoblitzCurve, data []byte, isCompressed bool) {
    // ...
    _, err := rand.Read(data)  // <- Потенциальная уязвимость
}

공격 유형:   약한 무작위성 공격 (  보안성이 떨어짐) +1

문제:   해당 코드는 엔트로피 품질 검사가 없는 시스템 PRNG(  의사 난수 생성기 crypto/rand)에 의존합니다. 임베디드 시스템이나 가상 환경에서 이는 약한 난수성을 초래할 수 있습니다  .

결과:   예측 가능한 논스 값으로 인해 수학적 분석을 통해 개인 키가 유출될 수 있습니다.

3. 38~280행: 정적 테스트 벡터  

⚠️   중간 위험

취약점:

가다:

var signatureTests = []signatureTest{
    // Жестко заданные тестовые данные
    sig: []byte{0x30, 0x44, 0x02, 0x20, 0x4e, 0x45, ...}
}

문제:   미리 정의된 테스트 벡터만 사용하는 경우 실제 환경에서 난수 생성 시 발생하는 문제를 파악하지 못할 수 있습니다.  (스택오버플로우)

4. 656-721행: 결정론적 논스(RFC6979)  

⚠️   위험도 낮음

잠재적 문제점:   RFC6979는 안전한 표준이지만, 결정론적 논스 생성의 부적절한 구현은 예측 가능한 값을 생성할 수 있습니다.  bitcointalk+2

유사한 취약점의 역사적 사례:

• 소니 PS3 해킹 (2010) : ECDSA에서 고정 논스를 사용하면 보안이 취약한 개인 키를  추출할 수 있습니다. 
• PuTTY CVE-2024-31497  : P-521 ECDSA에서 편향된 nonce 생성으로  lrqa의 SSH 개인 키가 노출됨
• 비트코인 지갑  : nonce 재사용을 통한 키 유출 사례 다수 발생  (레딧+1)

수정 제안:

1. 서명 검증 추가:Sign() 각  호출     후   Verify() 정확성을 확인합니다.
2. 엔트로피 검사:   시스템 의사난수 생성기(PRNG)에 대한 품질 관리 구현
3. 동적 테스트:   임의의 값을 사용하여 테스트를 추가합니다.
4. 오류 주입 방지:   중복 서명 및 결과 비교를 사용합니다.

ecdsa_vulnerability_analysis.csv

결론:   가장 큰 위험은 서명 생성 후 검증이 이루어지지 않아 시스템이 오류 주입 공격에 취약해지고 개인 키가 완전히 탈취될 가능성이 있다는 점입니다.

🔍 취약점 분석 프로세스:

• 코드의 오류 지점 식별
• 암호화 기본 요소에 대한 수학적 분석
• 개인 키 유출 위험 평가

⚠️ 중요 사항:

• 서명 생성 후 서명 검증 부족
• 잠재적 결함 주입 공격
• 무작위성 원천의 약점

🛡️ 보호 조치:

• 서명 즉시 확인
• 엔트로피 품질 관리
• 중복 서명 메커니즘

이 도표들은   서명 생성 후 검증하지 않는 취약점이   비트코인 ​​및 ECDSA를 사용하는 다른 암호화폐 시스템의 보안에 얼마나 중요한지 명확하게 보여줍니다.

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 30.28196770 BTC 지갑

사례 연구 개요 및 검증

CryptoDeepTech 의 연구팀은  30.28196770 BTC  (복구 당시 약 3,807,200.38달러)  가  들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 158zPR3H2yo87CZ8kLksXhx3irJMMnCFAN 으로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인되었습니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.btcseed.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보를 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5KaptVJn3kE7kXQ6uGphP5MmEFiqi8CYq5j8wP7ErzStzJVk3tA를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $3807200.38]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

HashBreaker와 비트코인 ​​ECDSA의 가상 Nonce 취약점 악용

비트코인 보안은 근본적으로 타원 곡선 디지털 서명 알고리즘(ECDSA)과 서명 생성에 사용되는 논스(nonce)의 예측 불가능성과 정확성에 달려 있습니다. 최근 팬텀 논스(Phantom Nonce) 취약점에 대한 연구는 비트코인 ​​지갑과 노드에 대한 광범위한 공격 가능성을 드러냈습니다. 이 취약점은 손상되었거나 형식이 잘못된 논스가 적절한 검증 없이 허용되는 문제를 말합니다. HashBreaker 와 같은 도구 는 암호화 공격 프레임워크가 ECDSA의 수학적 약점을 이용하여 논스 관련 검증 결함이 있는 시나리오에서 개인 키 추출, 서명 위조 및 지갑 복구를 수행하는 방법을 보여주는 대표적인 사례입니다.

본 논문은 팬텀 논스 주입과 같은 ECDSA 취약점이 존재하는 상황에서 HashBreaker가 특수한 암호 분석 및 공격 도구로서 수행하는 역할을 설명합니다 . 특히, 잘못된 서명, 논스 재사용, 또는 편향된 난수 생성 등을 통해 어떻게 개인 키 복구가 가능한지 메커니즘을 분석하고, 이러한 취약점이 비트코인의 신뢰할 수 없는 시스템의 무결성을 어떻게 불안정하게 만드는지 보여줍니다.

맥락 속에서 본 팬텀 논스 취약점

팬텀 논스(Phantom Nonce) 결함은 비트코인 ​​라이브러리 또는 클라이언트가 생성된 서명의 유효성을 즉시 검증하지 못할 때 발생합니다. 악의적이거나 결함이 있는 논스는 검증 단계를 통과하는 유효하지 않은 (r,s)(r,s)(r,s) 쌍을 생성할 수 있습니다. 이를 통해 공격자는 유효한 서명과 유효하지 않은 서명 간의 관계를 악용하여 비밀 값을 복구할 수 있습니다.

1. 논스 반복 또는 부분 유출 : 동일한 kkk가 서명 간에 재사용되거나 유출될 경우, 대수적 관계를 통해 개인 키 ddd를 유추할 수 있습니다.
2. 잘못된 직렬화 : DER/BER 인코딩을 부적절하게 처리하면 공격자가 조작한 유효하지 않은 서명이 유효한 서명으로 처리될 수 있습니다.
3. 오류 주입 : sss 계산 과정에서 발생하는 하드웨어 또는 소프트웨어 오류를 올바른 서명과의 비교와 결합하여 ddd를 재구성하는 데 필요한 충분한 데이터를 얻습니다.

수학적으로, 두 서명이 서로 다른 매개변수를 가진 동일한 논스를 공유하는 경우: d=(s1⋅k−s2⋅k)(s1−s2)⋅r−1(modn)d = \frac{(s_1 \cdot k – s_2 \cdot k)}{(s_1 – s_2)} \cdot r^{-1} \pmod{n}d=(s1−s2)(s1⋅k−s2⋅k)⋅r−1(modn)

여기서 ddd는 복구된 개인 키입니다. HashBreaker는 모듈러 산술 솔버, 격자 축소 및 계산 검색을 통해 이러한 방정식을 실행합니다.

HashBreaker: 디자인 및 기능

HashBreaker는 취약한 서명, 충돌 발생 가능성이 높은 논스(nonce), 그리고 취약한 ECDSA 출력 결과를 분석하도록 설계된 암호화 공격 및 감사 도구입니다. 비트코인의 경우:

• 서명 분석 엔진: HashBreaker는 형식이 잘못되었거나 반복되는 ECDSA 서명을 입력받아 일관성 검사를 실행하여 kkk의 재사용 또는 생성 과정에서의 편향을 감지합니다.
• 논스 복구 및 격자 공격: HashBreaker는 격자 기반 방법(예: 숨겨진 숫자 문제 해결사)을 적용하여 kkk에서 부분적인 엔트로피 누출을 추출하고 개인 키를 추론합니다.
• 팬텀 논스 악용: 이 도구는 특히 유효하지 않은 서명이 허용되는 경우를 대상으로 하며, 유효한 서명과 “팬텀” 서명 출력을 비교하여 개인 키를 재구성합니다.
• 비트코인 지갑 포렌식과의 통합: 개인 키가 복구되면 HashBreaker는 분실 또는 손상된 지갑을 복원할 수 있으므로, 일반적으로 공격 시나리오인 상황을 디지털 포렌식 및 복구 경로로 전환할 수 있습니다.

무차별 대입 방식과 달리 HashBreaker는 암호 분석의 지름길을 이용합니다 . 기하급수적인 키 검색을 시도하는 대신 대수적 취약점을 악용합니다.

비트코인 보안에 미치는 영향

팬텀 논스(Phantom Nonce) 와 같은 취약점이 해시브레이커(HashBreaker)와 같은 도구와 결합되면 비트코인의 암호화 기반에 실존적인 위협이 발생합니다.

직접적인 위험

• 개인 키 추출: 공격자는 조작된 몇 건의 거래만 분석하여 지갑 키를 복구할 수 있습니다.
• 거래 위조: 위조된 디지털 서명은 불변성을 무너뜨려 이중 지출을 가능하게 합니다.
• 지갑 복구 악용: 분실한 지갑의 경우, 동일한 기술이 소유자에게 도움이 될 수 있지만, 악의적인 사용자의 손에 들어가면 디지털 자산 절도에 해당합니다.

시스템적 위험

• 신뢰의 훼손: 이러한 취약점이 널리 악용될 경우, 거래의 불가역성과 진정성에 대한 신뢰를 약화시킵니다.
• 네트워크 불안정화: 공격자는 검증을 통과하는 위조 서명을 노드에 대량으로 전송하여 서비스 거부 및 합의 과정 중단을 초래할 수 있습니다.

역사적 사례는 이러한 위험성을 뒷받침합니다. 소니의 2010년 PS3 ECDSA 취약점(정적 nonce 사용으로 인한), Java ECDSA의 CVE-2022-21449, 그리고 PuTTY의 CVE-2024-31497은 모두 nonce 처리가 미흡할 때 발생하는 실제적인 문제점을 보여줍니다.

과학적 분석: 팬텀 논스와 해시브레이커의 만남

팬텀 논스 취약점과 해시브레이커의 모듈러 연산 엔진이 결합되면 개인 키 추출을 위한 강력한 공격 경로가 생성됩니다. 이러한 연관성은 다음과 같이 공식화할 수 있습니다.

• 오류 주입 계층: 형식이 잘못되었거나 존재하지 않는 nonce를 삽입하여 유효하지 않지만 승인된 서명을 생성합니다.
• 서명 차이 분석: 공통 매개변수를 사용하여 손상된 서명과 유효한 서명을 모두 수집합니다.
• 대수적 키 재구성: 반복되거나 유효하지 않은 서명 값 간의 관계를 활용하여 이러한 값을 HashBreaker의 모듈식 솔버에 입력합니다.
• 개인 키 복구: 비트코인 ​​지갑의 개인 키를 추출합니다.

이 과정은 암호화 연구(정상적인 지갑 복구, 복원력 테스트)와 적대적 악용(자산 절도, 비트코인 ​​시스템 침해) 사이의 미묘한 경계를 부각합니다.

위험 완화 및 보안 설계 원칙

HashBreaker와 같은 도구가 악용하는 취약점에 대응하기 위해:

• 엄격한 검증 시행: 모든 서명에 대해 생성 후 검증을 의무적으로 실시해야 합니다.
• 논스 품질 보증: 모든 난수 생성원의 엔트로피 강도를 보장하고, 오류 감지 계층이 추가된 결정론적 논스(RFC 6979) 구현을 채택합니다.
• 직렬화 보호 조치: DER/BER 파서를 강화하고 형식이 잘못된 서명을 거부합니다.
• 중복 서명 메커니즘: 하드웨어와 소프트웨어 모두에서 보호용 복제 및 내결함성 검사를 사용하십시오.

결론

HashBreaker는 ECDSA의 수학적 약점이 Phantom Nonce 취약점을 통해 악용될 경우 비트코인의 근본적인 암호화 보장을 무력화하는 실질적인 공격 수단이 될 수 있음을 보여줍니다. 이러한 도구는 연구 및 분실된 지갑 복구와 같은 합법적인 목적으로 사용되지만, 악의적인 사용자의 손에 들어갈 경우 비트코인의 보안을 철저히 구현하는 것이 얼마나 중요한지를 보여줍니다.

비트코인이 전 세계적으로 확산됨에 따라, 검증되지 않은 서명 하나만으로도 전체 암호화 시스템이 붕괴될 수 있습니다. 엄격한 암호화 표준 준수, 지속적인 감사, 그리고 취약점 사전 발견을 통해서만 비트코인은 HashBreaker 와 같은 고도화된 공격 프레임워크로 인해 증폭되는 개인 키 추출 위협에 대한 회복력을 유지할 수 있습니다 .

연구 논문: 서명 검증이 없는 ECDSA의 암호학적 취약성 – 발생 메커니즘 및 안전한 수정 방법

소개

타원 곡선 디지털 서명 알고리즘(ECDSA)은 비트코인 ​​및 기타 암호화폐에서 디지털 서명을 생성하는 데 사용되는 기본 암호화 알고리즘입니다. ECDSA의 보안은 각 서명에 대한 난수 kkk의 고유성과 서명 및 검증 과정에서 사용되는 수학 연산에 대한 엄격한 검증에 기반합니다. 이러한 원칙을 위반하면 개인 키가 완전히 유출되어 자금에 대한 통제권을 완전히 상실하는 등 심각한 취약점이 발생합니다  .

취약성 발생 메커니즘

ECDSA 서명을 생성하는 코드에서 최종 서명 (r,s)(r, s)(r,s)는 많은 구현에서 유효성 검사를 즉시 수행하지 않고 생성되어 반환되므로 오류 주입  공격의 가능성이 열립니다.

• 서명 계산 중 하드웨어 또는 소프트웨어 오류가 발생하면 잘못된 sss 값과 같은 잘못된 서명이 생성됩니다.
• 공격자가 오류가 있는 서명(예: 네트워크 요청 오류 또는 하드웨어 오류)과 동일한 kkk에 대한 유효한 서명을 모두 얻을 수 있다면 표준 암호 분석 방법을 사용하여 개인 키를 추출할 수 있습니다.  techscience+2

수학 공격:

하나의 메시지에 대해 동일한 rrr 값을 갖는 두 개의 서명((r, s1)(r, s_1)(r, s1) 및 (r, s2)(r, s_2)(r, s2))이 생성된 경우,
개인 키는 다음 공식을 사용하여 계산됩니다. d = s1 × k − s2 × ks1 − s2 ⋅ r − 1 mod nd = \frac {s_1 \times k — s_2 \times k} {s_1 — s_2} \cdot r^{-1} \mod nd = s1 − s2 s1 × k − s2 × k ⋅ r − 1 mod n

또는 (두 개의 메시지가 알려진 경우, 논스는 반복됩니다): k = m1 − m2 s1 − s2 mod nk = \frac {m_1 — m_2} {s_1 — s_2} \mod nk = s1 − s2 m1 − m2 mod nd = sk − mr mod nd = \frac {sk — m} {r} \mod nd = rsk − m mod n

여기서 ddd는 개인 키이고 mmm은 메시지 해시입니다.  바이낸스+2

발생 원인

• 난수 생성에 대한 제어가 불충분함   kkk: 약한 생성기를 사용하거나 값을 재사용함.
• 서명 생성 후 즉시 유효성 검증이 이루어지지 않아   , 함수에서 생성된 서명이 부정확할 수 있습니다.
• 저수준 계산 중 오류 처리가 불충분함   (예: 하드웨어 레지스터 또는 메모리 손상).
• 잘못되거나 유효하지 않은 입력 데이터 사용   – 여러 공격 사례에서 특수하게 조작된 입력을 처리하는 것 또한 키 유출로 이어질 수 있음이 밝혀졌습니다.  github+1

안전한 수정 – 보안 코드 버전

전략:

1. 서명을 생성한 직후 서명의 유효성을 반드시 확인하십시오.
2. 호출자에게 유효하지 않은 서명을 반환하지 마십시오.
3. 오류가 발생한 경우, 새로운 임의의 kkk를 사용하여 서명 프로세스를 다시 수행하십시오.

Go 언어를 예로 들면 다음과 같습니다.

가다:

func SafeSign(priv *btcec.PrivateKey, msg []byte) (*Signature, error) {
    hash := sha256.Sum256(msg)

    for attempts := 0; attempts < 10; attempts++ {
        sig := Sign(priv, hash[:])
        pub := priv.PubKey()
        // Немедленная проверка подписи!
        if sig.Verify(hash[:], pub) {
            return sig, nil
        }
        // Если подпись некорректна, пробуем снова с новым случайным k
    }
    return nil, fmt.Errorf("failed to generate valid ECDSA signature after retries")
}

중요한:

• kkk를 생성하는 데 사용되는 난수 생성기는 암호학적으로 강력해야 하며 충분한 엔트로피를 가져야 합니다.
• 공개된 곡선이 올바른지 확인하십시오(예: secp256k1).
• 이 함수는 유효한 시그니처만 반환하며, 유효하지 않은 값은 함수 밖으로 나가지 않습니다.

안전성 근거 및 권장 사항

• 이 방법의 효과  : 즉각적인 서명 검증을 통해 하드웨어 및 논리적 오류가 발생하는 경우에도 주요 공격 표면을 제거할 수 있습니다.  (techscience)
• 결정론적 nonce 생성(RFC6979)을 사용하는 것이 권장되지만   , 이 경우에도 항상 재검증을 구현해야 합니다.
• 하드웨어 상태를 분석하기 위해 모든 발전 실패 사례를 기록하십시오  .
• 하드웨어 구현 시에는   CRC 코드와 알고리즘 검사(중복 연산)를 구현하는 것이 좋습니다.  (techscience )

결론

ECDSA 기반 암호화 시스템은 유효하지 않은 서명이 반환되지 않도록 서명 프로세스를 구현해야 합니다. 가장 확실한 보호 방법은 서명이 발급된 직후 서명을 검증하고 유효한 서명만 반환하는 것입니다. 또한 강력한 난수 생성기를 사용하고 입력 데이터 처리 및 내부 계산과 관련된 경계 조건을 신중하게 검사해야 합니다. 이러한 접근 방식은 알려진 공격뿐만 아니라 미래에 발생할 수 있는 미발견된 공격까지도 방지합니다.  ssldragon+3

최종 과학적 결론

비트코인 암호화폐의 디지털 서명 처리 구현 과정에서 발견된 ECDSA 알고리즘의 치명적인 취약점은 전체 생태계에 직접적이고 광범위한 보안 위협을 가합니다. 검증되지 않은 유효하지 않은 서명 하나만으로도 개인 키를 탈취할 수 있으며, 이는 디지털 서명 위조 공격으로 이어져 시스템에 대한 신뢰를 완전히 무너뜨릴 수 있습니다.

블록체인 펀드의 보안이 알고리즘의 강점뿐만 아니라 구현 품질에도 달려 있다는 사실 자체가 현대 암호화 시스템의 취약성을 여실히 보여줍니다. 역직렬화 오류, 매개변수 생성 오류, 또는 nonce 재사용 등 검증 과정에서의 취약점은 대규모 자산 탈취, 거래 위조, 그리고 탈중앙화된 신뢰의 근본을 파괴하는 결과를 초래할 수 있습니다.

역사적 연구와 실제 사례들은 비트코인의 ECDSA 취약점이 추상적인 위협이 아니라 수학적 및 기술적 분석을 통해 입증된 치명적인 실패 지점임을 보여줍니다. 글로벌 금융 네트워크에서 이러한 결함은 공격 확산을 가속화하고, 위험 수준을 천문학적으로 높이며, 공격 실행 속도를 순식간에 가속화합니다.

핵심 결론은 다음과 같습니다. 지속적인 과학적 검토, 엄격한 코드 감사, 암호화 표준의 의무적 시행, 모든 서명 검증, 그리고 모든 구성 요소의 공개 테스트만이 치명적인 공격을 방지하고 세계 최대 암호화폐의 보안 기반을 유지할 수 있습니다. 단 하나의 키 유출로 전체 블록체인의 미래가 파괴될 수 있는 시대에 보안을 소홀히 하는 것은 모든 것을 잃을 위험을 감수하는 것과 마찬가지입니다.

치명적인 ECDSA 취약점은 비트코인의 보안이 단순히 공식에만 있는 것이 아니라 모든 비트, 모든 서명, 모든 구현 과정을 제대로 처리하는 데에도 달려 있다는 사실을 전체 커뮤니티에 다시 한번 일깨워줍니다. 이러한 방식으로만 우리는 공격에 저항하고 인류를 위해 디지털 화폐의 가치를 보존할 수 있습니다.

1. https://habr.com/ru/articles/939560/
2. https://cryptodeep.ru/deserialize-signature-vulnerability-bitcoin/
3. https://habr.com/ru/articles/942190/
4. https://www.reddit.com/r/QuantumComputing/comments/1mlmgrw/breaking_ecdsa_requires_a_minimum_number_of/
5. https://opennet.ru/56670/
6. https://pikabu.ru/story/private_key_debug_nekorrektnaya_generatsiya_privatnyikh_klyuchey_sistemnyie_uyazvimosti_bitkoina_chast_1_12755765
7. https://www.alphaxiv.org/ru/overview/1710.10377v1
8. https://www.pvsm.ru/budushhee-zdes/376607
9. https://cryptodeep.ru/whitebox-attack/
10. https://forum.bits.media/index.php?%2Fblogs%2Fblog%2F1162-ecdsa%2Fpage%2F2%2F

문학

• 타원곡선 디지털 서명 알고리즘(ECDSA)의 안전한 하드웨어 구현, TechScience 2022  techscience
• ECDSA에서 잘못된 입력에 서명할 때 개인 키 추출, 타원형, 2025  github+1
• Elliptic 라이브러리의 잘못된 입력 형식 취약점 분석, 바이낸스, 2025  바이낸스
• ECDSA 구현을 위한 모범 사례, SSLDragon, 2025  ssldragon
• 두 개의 아핀 관련 논스를 이용한 ECDSA 파괴, arXiv, 2025  arxiv

1. https://github.com/indutny/elliptic/security/advisories/GHSA-vjh7-7g9h-fjfh
2. https://www.ssldragon.com/blog/what-is-ecdsa/
3. https://www.binance.com/en-IN/square/post/21091361356809
4. https://www.techscience.com/csse/v44n3/49140/html
5. https://arxiv.org/html/2504.13737v1
6. https://github.com/advisories/GHSA-vjh7-7g9h-fjfh
7. https://dl.acm.org/doi/abs/10.1109/TCAD.2022.3231814
8. https://dl.acm.org/doi/pdf/10.1145/3623652.3623671
9. https://www.semanticscholars.org/paper/Two-Lattice-Based-Differential-Fault-Attacks-ECDSA-Cao-Feng/c3068c7372ebef37510da3ba6797433bc457cb3b
10. https://www.cal-tek.eu/proceedings/i3m/2024/emss/005/pdf.pdf
11. https://cheapsslsecurity.com/p/how-to-enable-ecdsa-signature-algorithm-for-better-security/
12. https://stackoverflow.com/questions/76741626/how-to-decrypt-data-with-a-ecdsa-private-key
13. https://papers.ssrn.com/sol3/Delivery.cfm/5280338.pdf?abstractid=5280338&mirid=1
14. https://www.lrqa.com/en/cyber-labs/flaw-in-putty-p-521-ecdsa-signature-generation-leaks-ssh-private-keys/
15. https://www.ssl.com/article/comparing-ecdsa-vs-rsa-a-simple-guide/
16. https://docs.espressif.com/projects/esp-idf/en/stable/esp32c61/api-reference/peripherals/ecdsa.html

1. https://github.com/golang/go/issues/54681
2. https://conference.hitb.org/hitbsecconf2023hkt/materials/D2T2%20-%20TSSHOCK%20%E2%80%93%20Breaking%20MPC%20Wallets%20and%20Digital%20Custodians%20-%20Huu%20Giap%20Nguyen%20&%20Anh%20Khoa%20Nguyen.pdf
3. https://notsosecure.com/ecdsa-nonce-reuse-attack
4. https://www.binance.com/en-IN/square/post/21091361356809
5. https://www.halborn.com/blog/post/how-hackers-can-exploit-weak-ecdsa-signatures
6. https://stackoverflow.com/questions/56798459/using-random-numbers-vs-hardcoded-values-in-unit-tests
7. https://bitcointalk.org/index.php?topic=285142.0
8. https://datatracker.ietf.org/doc/html/rfc6979
9. https://github.com/golang/go/issues/64802
10. https://www.lrqa.com/en/cyber-labs/flaw-in-putty-p-521-ecdsa-signature-generation-leaks-ssh-private-keys/
11. https://www.reddit.com/r/Bitcoin/comments/1j24hh3/nonce_r_reuse_and_bitcoin_private_key_security_a/
12. https://strm.sh/studies/bitcoin-nonce-reuse-attack/
13. https://github.com/pcaversaccio/ecdsa-nonce-reuse-attack
14. https://research.kudelskisecurity.com/2023/03/06/polynonce-a-tale-of-a-novel-ecdsa-attack-and-bitcoin-tears/
15. https://forums.ivanti.com/s/article/KB26562?language=en_US
16. https://github.com/BitcoinChatGPT/DeserializeSignature-Vulnerability-Algorithm
17. https://www.vicarius.io/vsociety/posts/understanding-a-critical-vulnerability-in-putty-biased-ecdsa-nonce-generation-revealing-nist-p-521-private-keys-cve-2024-31497
18. https://attacksafe.ru/exploiting-jacobian-curve-vulnerabilities-analyzing-ecdsa-signature-forgery-through-bitcoin-wallet-decoding/
19. https://github.com/kudelskisecurity/ecdsa-polynomial-nonce-recurrence-attack
20. https://blog.fordefi.com/devious-transfer-breaking-oblivious-transfer-based-threshold-ecdsa
21. https://arxiv.org/html/2504.13737v1
22. https://pkg.go.dev/github.com/kklash/rfc6979
23. https://www.reddit.com/r/crypto/comments/ai9lre/biased_nonce_sense_lattice_attacks_against_weak/
24. https://updraft.cyfrin.io/courses/noir-programming-and-zk-circuits/zk-ecrecover/writing-a-signature-verification-circuit
25. https://stackoverflow.com/questions/64319331/ecdsa-signature-verification-performance-in-java
26. https://developer.huawei.com/consumer/en/doc/harmonyos-guides/crypto-ecdsa-sign-sig-verify-ndk
27. https://pkg.go.dev/github.com/MixinNetwork/bitshares-go/sign/rfc6979
28. https://docs.hedera.com/hedera/core-concepts/smart-contracts/understanding-hederas-evm-differences-and-compatibility/for-evm-developers-migrating-to-hedera/accounts-signature-verification-and-keys-ecdsa-vs.-ed25519
29. https://www.reddit.com/r/netsec/comments/7hknoo/the_bitcoin_blockchain_and_ecdsa_nonce_reuse/
30. https://discuss.google.dev/t/verifying-an-ecdsa-digital-signature/46341

1. https://github.com/BitcoinChatGPT/DeserializeSignature-Vulnerability-Algorithm
2. https://www.cryptomathic.com/blog/explaining-the-java-ecdsa-critical-vulnerability
3. https://habr.com/ru/articles/817237/
4. https://www.ssldragon.com/blog/what-is-ecdsa/
5. https://pmc.ncbi.nlm.nih.gov/articles/PMC7334982/
6. https://www.cs.ru.nl/masters-theses/2019/N_Roelofs___Online_template_attack_on_ECDSA.pdf
7. https://keyhunters.ru/key-derivation-attack-format-oriented-attack-critical-multiple-hashing-vulnerability-in-electrum-compromise-of-bitcoin-private-keys-via-critical-derivation-vulnerability-in-electrum-wallet/
8. https://attacksafe.ru/ultra-9/
9. https://polynonce.ru/analyzing-malleable-signatures-and-key-exposure-risks-in-bitcoins-ecdsa-protocol/
10. https://attacksafe.ru/ultra/
11. https://www.bugcrowd.com/blog/hacking-crypto-part-iii-hardware/
12. https://www.cve.org/CVERecord/SearchResults?query=crypto
13. https://github.com/advisories/GHSA-vjh7-7g9h-fjfh
14. https://polynonce.ru/exploiting-jacobian-curve-vulnerabilities-analyzing-ecdsa-signature-forgery-through-bitcoin-wallet-decoding/
15. https://cve.mitre.org/cgi-bin/cvekey.cgi
16. https://app.opencve.io/cve/?vendor=cryptopp&product=crypto%5C%2B%5C%2B
17. https://conference.hitb.org/hitbsecconf2023hkt/materials/D2T2%20-%20TSSHOCK%20%E2%80%93%20Breaking%20MPC%20Wallets%20and%20Digital%20Custodians%20-%20Huu%20Giap%20Nguyen%20&%20Anh%20Khoa%20Nguyen.pdf
18. https://keyhunters.ru/weak-key-attacks-secret-key-leakage-attack-critical-vulnerability-in-private-key-serialization-and-dangerous-signature-forgery-attack-a-threat-to-bitcoin-cryptocurrency-security/
19. https://www.lrqa.com/en/cyber-labs/flaw-in-putty-p-521-ecdsa-signature-generation-leaks-ssh-private-keys/
20. https://www.usenix.org/system/files/usenixsecurity25-liang-achilles.pdf