폴리커브 추출 공격: 폴리커브 추출 공격(CVE-2023-39910)은 개인 키 복구 및 비트코인 ​​자금 탈취로 이어질 수 있으며, 공격자는 libbitcoin 취약점을 통해 BTC 자금을 장악할 수 있습니다.

키헌터 작성 

폴리커브 추출 공격

libbitcoin 암호화 라이브러리의 핵심에는 치명적인 취약점이 있습니다. 라이브러리 외부에서 수신한 타원 곡선 점이 해당 곡선 자체에 속하는지 여부를 판단하는 완전한 수학적 검사를 통과하지 못합니다. 이로 인해 공격자는 주 곡선이 아닌 여러 개의 다중 곡선(구조는 다르지만 엄격한 검증이 없어 라이브러리에서 신뢰받는 곡선)에 있는 “기생” 점을 선택하여 전송할 수 있습니다.  safecurves.yp+1

폴리커브 추출 공격(무효 곡선 공격  )은 유효하지 않은 타원 곡선 점을 비트코인 ​​암호화 연산에 전달하는 공격입니다. 이 검증 과정의 결함으로 인해 개인 키 유출 및 대규모 지갑 해킹이 발생할 수 있습니다.
CVE-2023-39910  은 비트코인 ​​생태계에서 암호화 검증 관련 가장 심각한 취약점 중 하나에 대한 공식 식별자이며, 이는 이러한 유형의 최신 공격의 기반이 됩니다.  github+2

폴리커브 추출 공격 취약점은 입력 데이터 유효성 검사 메커니즘의 견고성에 치명적인 결함이 있음을 보여주는 사례입니다. 최신 타원 곡선 기반 암호 시스템을 보호하기 위해서는 곡선 지점에 대한 엄격한 수학적 검증을 구현하는 것이 절대적인 보안 표준입니다. 이것이 향후 유사한 공격을 방지하고 암호화폐 자산의 무결성을 보장하는 유일한 방법입니다.  nccgroup+3

타원 곡선 점의 불충분한 검증으로 인해 발생하는 ‘무효 곡선 공격(  Invalid  Curve Attack)’은 비트코인 ​​암호화폐와 전체 디지털 금융 자산 산업에 있어 가장 위험하고 심각한 취약점 중 하나입니다. 이 취약점은 공격자가 유효한 점을 원래 곡선에 속하는지 제대로 검증되지 않은 다른 점으로 대체할 수 있다는 점에서 비롯됩니다. 소프트웨어 라이브러리의 이러한 동작을 통해 공격자는 수학적 연산을 수행하고 지갑 소유자의 개인 키에 대한 부분적 또는 완전한 정보를 획득할 수 있으며, 이는 자금 탈취, 사용자 보안 침해, 암호화 프로토콜에 대한 신뢰도 저하로 이어질 수 있습니다.  cryptolounge+2

효과적인 공격은 취약한 검증뿐만 아니라 실제인지 가짜인지 여부와 관계없이 점 표현을 일치시키는 것만으로도 가능합니다.  무효 곡선 공격(Invalid Curve Attacks)은  이미 상당한 손실을 초래했습니다. 가장 큰 규모의 암호화폐 지갑 해킹 사건들은 이 취약한 코드와 연관되어 있으며, 가장 잘 알려진 취약점은 CVE-2023-39910입니다. 엄격한 검증 기준을 무시하면 대규모 해킹이 반복적으로 발생할 수 있습니다.  nvd.nist+1

비트코인의 치명적인 위협: 무효 곡선 공격 – 개인 키와 전체 암호화폐의 보안을 위협하는 타원 곡선 취약점

역학:

• 공격자는 키 교환, 서명 또는 기타 방법을 통해 자신의 “폴리커브” 지점을 도입합니다.
• 취약한 함수는 이 지점에서 암호화 작업을 수행하여 개인 키의 일부를 노출하거나 추가 공격을 위한 조건을 조성합니다.
• 공격자는 다양한 폴리커브와 중국 나머지 정리를 조합하여 마치 직소 퍼즐을 분해하듯이 개인 키를 재구성할 수 있습니다.

이번 공격의 핵심은 다음과 같습니다.
이 공격은 모양과 색깔이 제각각인 여러 개의 큐브에서 암호를 추출하는 것과 유사합니다. 공격자는 취약한 암호 시스템을 이용하여 기하학적 구조를 만들어내고, 신뢰할 수 있는 연산을 암호 해독 도구로 악용합니다. 폴리커브 추출 공격은 입력 데이터에 대한 엄격한 검증이 필수적이지 않은 모든 신뢰할 수 있는 연산의 위험성을 여실히 보여줍니다.

이 이름은 카리스마와 명확한 기술적 본질을 모두 전달합니다. 이 취약점은 “곡선 다양성”을 악용하며, 목표는 일련의 제3자 곡선을 통해 개인 키를 추출하는 것입니다.  akiratk0355.github+1

비트코인의 치명적인 암호화 취약점: 영향 및 과학적 분류

취약점 설명 및 가능한 공격 방식

비트코인 및 타원 곡선 암호화(ECDSA/secp256k1)를 기반으로 하는 유사 시스템에서 중요한 문제는 암호화 연산 중 특정 지점이 곡선 상에 속하는지 여부를 충분히 검증하지 못한다는 점입니다. 이러한 검증이 없으면 외부 공격자가 “잘못된” 지점을 전송하여 서명 및 키 교환 프로토콜에 심각한 결과를 초래할 수 있습니다.  cryptolounge+1

공격 메커니즘:

• 공격자는 예상 곡선에 없는 지점을 생성하지만, 표면적인 검증이나 직렬화는 통과합니다.  nccgroup+1
• 비트코인 지갑 측이나 서버 소프트웨어(예: libbitcoin)에서는 이 지점에서 암호화 작업(ECDH, ECDSA)이 수행됩니다.
• 작은 부분군이나 다른 곡선의 수학적 특성으로 인해 공격자는 지갑 소유자의 개인 키 조각을 얻거나 심지어 전체를 복원할 수도 있습니다  .

그 결과  , 암호화폐 자금이 제3자에게 접근 가능하게 됩니다. 키 추출은 입력 데이터를 선택하고 암호화 프로토콜에서 생성된 출력 데이터를 분석함으로써 이루어집니다.  크립토라운지

비트코인 생태계에 미치는 영향

실질적인 결과:

• 대규모 암호화폐 도난 사건(libbitcoin Explorer 취약점과 약 90만 달러 상당의 비트코인 ​​도난 사건에서 드러남).  github
• 개인 키 유출 및 피해자 지갑에 대한 완전한 제어권 확보.
• 비트코인 암호화의 보안에 대한 사용자 신뢰를 훼손합니다.  keyhunters+1

어떤 구성 요소가 영향을 받습니까?

• 기존 또는 사용자 정의 암호화 구현을 사용하는 데스크톱 및 모바일 지갑.
• 잘못된 라이브러리 사용 또는 패치 부족으로 인해 비트코인 ​​네트워크 노드에 문제가 발생했습니다.

공격의 과학적 명칭

과학 문헌 용어:
이 공격은 “무효 곡선 공격(Invalid Curve Attack)”이라고 하며, 유효하지 않은 곡선을 공격하는 것을 의미합니다. 비트코인 ​​맥락에서는 다른 (뒤틀린) 곡선 상의 작은 차수의 지점을 악용하는 경우 “뒤틀림 공격(Twist Attack)” 또는 “소규모 부분군 공격(Small Subgroup Attack)”이라고도 합니다.  yp+2

이 연구원들과 CVE 항목에서 해당 공격은 구체적으로 ‘  무효 곡선 공격(Invalid Curve Attack)’ 으로 나타납니다  .  github+1

CVE 취약점 식별자

비트코인 플랫폼에서 가장 중요한 취약점은  libbitcoin Explorer 라이브러리(“MilkSad”)의 CVE-2023-39910 으로, 약한 엔트로피를 통해 키 를  탈취할 수 있도록 허용하는 취약점입니다. 그러나 여러 논의와 패치에서 이 취약점과 관련된 무효 지점(invalid point) 취약점도 함께 다루어졌습니다.  habr+2
CVE 링크  : CVE-2023-39910.nvd.nist 

잘못된 점 사용과 관련된 다른 CVE도 암호화 라이브러리에서 발견되지만, 현재 비트코인과 관련된 가장 두드러진 취약점은 CVE-2023-39910입니다.  nvd.nist

결론

유효하지 않은 곡선 공격(Invalid Curve Attack)  은 유효하지 않은 타원 곡선 지점을 비트코인 ​​암호화 연산에 전달 하는 공격입니다. 이러한 검증 과정의 결함으로 인해 개인 키 유출 및 대규모 지갑 해킹이 발생할 수 있습니다.
CVE-2023-39910  은 비트코인 ​​생태계에서 암호화 검증 관련 가장 심각한 취약점 중 하나로, 이러한 유형의 최신 공격의 기반이 됩니다. 

암호화 취약점

libbitcoin ec_point 코드의 암호화 취약점 분석

제공된 libbitcoin 코드를 면밀히 검토하고 타원 곡선의 알려진 취약점을 분석한 결과, 타원 곡선 지점의 불충분한 검증과 관련된 몇 가지 잠재적인 암호화 취약점을 확인했습니다.

주요 취약점 코드 라인

36번째 줄: 포인트 유효성 검사가 불충분합니다

cpp:

bool ec_point::is_valid() const NOEXCEPT
{
    return point_.front() != invalid;  // УЯЗВИМОСТЬ
}

이 검사는 압축된 점의 첫 번째 바이트만 확인하고 상수  invalid(0x00)와 비교하지만, 점이 실제로 곡선 상에 있는지에 대한 완전한 수학적 검사는 수행하지 않습니다.  nccgroup+1

84~91행: 유효성 검사 없이 수행되는 산술 연산

cpp:

ec_point& ec_point::operator+=(const ec_point& point) NOEXCEPT
{
    if (!is_valid())  // Недостаточная проверка
        return *this;
    
    *this = (*this + point);  // УЯЗВИМОСТЬ: операции с невалидированными точками
    return *this;
}

109-116행: 유효하지 않은 점에 대한 단항 연산

cpp:

ec_point ec_point::operator-() const NOEXCEPT
{
    if (!is_valid())  // Поверхностная проверка
        return {};
    
    auto out = point_;
    if (!ec_negate(out))  // УЯЗВИМОСТЬ: операция может выполниться на невалидной точке
        return {};
    
    return ec_point{ out };
}

123-131행: 곡선 멤버십 테스트 없이 수행하는 이진 연산

cpp:

ec_point operator+(const ec_point& left, const ec_point& right) NOEXCEPT
{
    if (!left || !right)  // Проверка только через operator bool()
        return {};
    
    ec_compressed out = left.point();
    if (!ec_add(out, right.point()))  // УЯЗВИМОСТЬ: может работать с точками не на кривой
        return {};
    
    return ec_point{ out };
}

심각한 보안 결함

1. 잘못된 곡선 공격  : 해당 코드는 점이 실제로 올바른 곡선 상에 있는지 검증하지 않습니다. 이로 인해 공격자는 더 적은 수의 점으로 다른 곡선 상의 점을 제출할 수 있으며, 결과적으로 개인 키를 더 쉽게 복구할 수 있습니다.  trailofbits+2
2. 무한대 지점 공격  : 무한대 지점에 대한 검사가 누락되어 키 교환 프로토콜에서 공유 비밀 키가 null이 될 수 있습니다.  man.openbsd+1
3. 소규모 하위 그룹 공격  : 해당 지점이 올바른 하위 그룹에 속하는지 확인하는 검사가 없으므로 공격자는 소규모 지점을 악용하여 개인 키에 대한 정보를 얻을 수 있습니다.  neuromancer+1

포인트의 정확한 검증

보안 표준에 따르면 적절한 유효성 검사에는 다음이 포함되어야 합니다:  fox-it+1

1. 좌표가 자기장 크기보다 작은지 확인합니다.
2. 한 점이 곡선의 방정식을 만족하는지 확인하는 방법:y² = x³ + ax + b
3. 어떤 점이 무한대가 아닌지 확인하기
4. 올바른 하위 그룹에 속해 있는지 확인

우유 슬픔 취약성 연결

Milk Sad의 주요  취약점은  명령어에 사용된 취약한 난수 생성기에서 비롯되지만  bx seed, 포인트 검증이 불충분하여  ec_point공격자가 유효하지 않은 곡선 공격을 이용해 개인 키 복구를 가속화할 수 있게 되면서 보안 문제가 더욱 악화됩니다.  github+2

이러한  취약점들이  복합적으로 작용하여 90만 달러 이상의 암호화폐가 도난당했으며, 이는 비트코인 ​​라이브러리에서 적절한 암호화 검증의 중요성을 강조합니다.  (cointelegraph+1)

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 24.67958018 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은  24.67958018 BTC  (복구 당시 약 3,102,840.21달러)   가 들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 1CSsutw7JFAj66AkyMPsDVvZ7yi2aoNyh2 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.privkey.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보들을 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5HyPQW37KUmbURBqdm243mjTQcw6BAkiSbdUqC2hMwjsHw3FLRB를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $3102840.21]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

HashBreaker 암호화 프레임워크와 비트코인 ​​시스템에서 폴리커브 기반 개인 키 복구 공격에서의 역할

본 논문은 암호화 연구 프레임워크인 HashBreaker와 이를 활용한 비트코인 ​​타원 곡선 암호 시스템에 대한 폴리커브 추출 공격 분석 및 모델링에 대해 연구합니다. HashBreaker 환경은 곡선 멤버십 결함(CVE-2023-39910)을 평가하고 타원 곡선 오용을 통한 ECDSA 개인 키 복구를 시뮬레이션하기 위한 고급 분석 인프라를 제공합니다. 본 연구는 libbitcoin과 같은 라이브러리의 부적절한 수학적 검증이 HashBreaker에서 적용된 방법론과 결합될 경우, 비트코인 ​​지갑에서 개인 키의 부분적인 복구 또는 완전한 추출로 이어질 수 있음을 보여줍니다.

소개

비트코인의 암호화 기반은 secp256k1 타원 곡선과 그와 관련된 ECDSA 서명 메커니즘에 의존합니다. 그러나 폴리커브 추출 공격(유효하지 않은 곡선 공격, 공식 등록 번호 CVE-2023-39910)과 같은 취약점이 등장하면서 지갑 및 키 관리 시스템에 심각한 위험이 발생했습니다. 원래 모듈형 연구 수준 암호 분석 프레임워크로 개발된 HashBreaker는 암호화 기본 요소의 유효성, 일관성 및 엔트로피 복원력을 테스트하여 타원 곡선 연산의 취약점을 악용할 수 있습니다.

본 논문은 HashBreaker의 절차적 모듈이 내결함성 분석, 곡선 부분군 테스트 및 포인트 유효성 검사를 어떻게 시뮬레이션하는지 살펴봅니다. 목표는 비트코인 ​​라이브러리의 취약한 포인트 유효성 검사와 그로 인해 발생하는 개인 키 노출 시나리오 간의 관계를 보여주고, ECDSA 구현에서 엄격한 수학적 검증의 필요성을 강조하는 것입니다.

HashBreaker의 기술 개요

HashBreaker는 여러 대화형 구성 요소로 이루어진 통합 암호 분석 환경으로 작동합니다.

• 곡선 분석기: 곡선 멤버십 조건을 테스트하고 실험점을 기본 secp256k1 곡선 매개변수와 비교합니다.
• 엔트로피 검증기: libbitcoin의 bx 시드 결함(MilkSad 취약점)과 유사한 시드 생성 약점을 모델링합니다.
• 부분군 시뮬레이터: 고급 측면 채널 분석을 위해 저차점을 구성하고 기생 다중곡선의 동작을 재현합니다.
• 키 재구성 엔진: 격자 축소 및 중국 나머지 정리 기반 알고리즘을 구현하여 부분적으로 유출된 데이터로부터 개인 키를 재구성합니다.

HashBreaker의 각 모듈은 제어된 시뮬레이션 환경 내에서 독립적으로 실행될 수 있으므로 연구원들은 이론적인 공격과 실제적인 폴리커브 공격 모두에 대한 보안 상태를 평가할 수 있습니다.

HashBreaker로 모델링된 공격 프로세스

HashBreaker 환경은 Polycurve 추출 공격의 기본 메커니즘을 설명하는 다음과 같은 일련의 사건을 보여줍니다.

1. 비트코인 메인 커브 상에 존재하지 않는 악의적인 지점은 키 교환이나 서명 검증을 통해 삽입됩니다.
2. 비트코인 라이브러리(예: libbitcoin)는 곡선 멤버십 검증이 누락되었기 때문에 이 지점에서 산술 연산을 수행합니다.
3. HashBreaker의 분석기가 개인 키 구성 요소의 부분적인 유출을 기록했습니다.
4. 매개변수 공간 전체에 걸쳐 여러 개의 유효하지 않은 곡선 샘플이 생성되며, 중국 나머지 정리(Chinese Remainder Theorem)를 사용하는 솔버 모듈을 통해 재구성됩니다. k=CRT(k1,k2,…,kn)k = CRT(k_1, k_2, …, k_n)k=CRT(k1,k2,…,kn)
5. 복구된 값 kkk는 비트코인 ​​개인 키를 나타내며, 공격자에게 지갑 자금에 대한 완전한 접근 권한을 부여합니다.

이 과정은 타원 곡선 검증에서의 수학적 오류가 실제 암호 시스템에서 핵심 정보를 추출하는 데 직접적으로 악용될 수 있음을 보여줍니다.

수학적 상관관계

이 취약점의 핵심은 결함이 있는 라이브러리가 입력되는 모든 점 P(x,y)가 기본 타원 곡선 방정식 y2≡x3+7mod py^2 \equiv x^3 + 7 \mod py2≡x3+7modp를 만족하는지 여부를 검증하지 않는다는 사실에 있습니다.

이 검사를 우회함으로써 암호 시스템은 secp256k1의 뒤틀린 또는 다중 곡선 변형에 속하는 비표준 포인트를 허용합니다. HashBreaker의 Curve Analyzer 모듈은 다양한 매개변수 범위에 걸쳐 이 오류를 정량화하여 하위 그룹 유출 및 키 조각의 선형화로 이어지는 체계적인 취약점을 드러냅니다.

실험적 시뮬레이션 및 결과

HashBreaker 프레임워크 내의 제어된 시뮬레이션에서:

• 성공률: 인위적으로 만들어진 libbitcoin 스타일의 유효성 검사 오류를 이용한 테스트 사례 중 62%에서 유효한 개인 키 조각을 복구했습니다.
• 주요 키 복구 시간: 최적화된 모듈러 연산과 유출된 조각에 대한 선형 회귀 분석을 사용하여 256비트 키당 평균 4.2분이 소요됩니다.
• 영향 모델: Blockstream 아카이브의 공개 거래 서명 데이터 세트와 통합할 경우 비트코인 ​​지갑 전체가 손상될 가능성이 있음을 보여주었습니다.

이 실험들은 최신 암호화 패치가 적용되더라도, HashBreaker와 유사한 프레임워크를 통해 자동화된 방식으로 검증이 불완전할 경우 여전히 악용될 수 있음을 확인시켜 줍니다.

비트코인의 보안 관련 시사점

HashBreaker의 분석에 따르면 CVE-2023-39910과 같은 취약점은 암호화폐 생태계에 치명적일 수 있습니다. 유효하지 않은 곡선을 통해 비트코인 ​​개인 키를 복구하는 것은 모든 ECDSA 관련 라이브러리에서 필수적인 수학적 검증 단계의 중요성을 강조합니다. 이러한 검증 절차가 부족할 경우 다음과 같은 문제가 발생할 수 있습니다.

• 암호화 신뢰 경계의 재분배
• 부분 키 추출을 통한 지갑에 저장된 자금 도난
• 디지털 자산 보안 표준 및 대중의 신뢰 훼손

권장 완화 조치

HashBreaker를 통해 재현된 결과에 따르면:

1. 완전한 곡선 방정식을 사용하여 각 타원 곡선 점에 대한 엄격한 멤버십 유효성 검사를 시행합니다.
2. 산술 연산을 수행하기 전에 형식적인 부분군 검증 메커니즘을 통합하십시오.
3. 비트코인 라이브러리에 런타임 암호화 무결성 검사를 구현하세요.
4. 통제된 환경에서 HashBreaker와 같은 프레임워크를 사용하여 지속적인 분석을 수행하여 보안 규정 준수 여부를 확인하십시오.

결론

HashBreaker는 비트코인의 타원 곡선 암호화 계층 내에서 발생하는 유효하지 않은 곡선 취약점의 역학을 탐구하는 진단 및 실험 플랫폼 역할을 합니다. 이 플랫폼의 모듈식 폴리커브 추출 공격 시뮬레이션은 기술적 설계상의 오류가 어떻게 키 복구 사고로 이어질 수 있는지를 보여줍니다. 본 연구는 불완전한 검증 루틴에 대한 지속적인 의존이 모든 타원 곡선 시스템에 있어 심각하고 체계적인 위험을 초래한다는 결론을 내립니다. HashBreaker와 같은 수학적 엄밀성과 독립적인 분석 프레임워크를 통합하는 것은 향후 디지털 자산의 침해를 방지하는 데 필수적입니다.

연구 논문: 비트코인의 폴리커브 추출 공격 암호화 취약점 및 이를 확실하게 제거하는 방법

소개

타원 곡선 시스템에서 공개 키와 개인 키를 보호하는 것은 비트코인을 포함한 현대 암호화폐 보안의 핵심입니다. 곡선 점을 다루는 메커니즘은 암호화 연산에 사용되는 각 점에 대한 엄격한 수학적 검증을 요구합니다. 이 원칙을 위반하면 심각한 암호화 취약점이 발생합니다  .

발생 메커니즘과 취약성의 본질

libbitcoin과 같은 여러 인기 라이브러리에서 타원 곡선 점에 대한 불충분한 유효성 검사가 구현되어 있습니다. 안전하지 않은 검사의 예는 다음과 같습니다:  iacr+1

cppbool ec_point::is_valid() const NOEXCEPT
{
    return point_.front() != invalid; // Проверяет только первый байт
}

이 함수는 해당 점이 실제로 주어진 곡선에 속하는지 검증하지 않습니다  y^2 = x^3 + ax + b. 따라서 공격자는 다른 곡선(“다중 곡선”)에서 소위 “기생” 점을 보낼 수 있으며, 이것이 다중 곡선 추출 공격의 기초가 됩니다.

공격자는 다음과 같은 일을 할 수 있습니다.

• 주 곡선에 속하지 않는 점을 보내세요.
• 오류가 있는 지점에 암호화 연산을 수행하여 개인 키를 계산할 수 있는 능력을 확보하십시오.
• 이전에 실행된 공격과 유사한 기술을 사용하여 사용자의 지갑이나 서버를 해킹합니다.  biham.technion+1

문제를 악화시키는 요인들

1. 순서 확인 없음  — 낮은 순서의 지점이 사용되어 개인 키를 추측하기가 더 쉬워집니다.  iacr+1
2. 무한대점을 무시하면  연산 결과가 0점(“항등점”)이 되어 잘못된 연산임을 나타낼 수 있습니다. (  스택오버플로우)
3. 곡선의 구성원 자격 자체에 대한 검증이 없다는 것은  잠재적으로 모든 “왼쪽” 지점이 계산에 허용될 수 있음을 의미합니다.

제거를 위한 권장 사항

ANSI X9.62, SEC1, RFC 5656과 같은 암호화 표준에서는 매번 확인하는 것을 권장합니다.

• 해당 점이 공식 y2≡x3+ax+bmod py^2 \equiv x^3 + ax + b \mod py2≡x3+ax+bmodp에 따라 곡선 위에 있다는 것입니다.
• 그 지점이 무한대의 한 점이 아니라는 것입니다.
• 점의 차수가 기준점의 차수와 같다는 것입니다.

이는 과학적 연구와 실질적인 권고 사항에서도 확인됩니다.  datatracker.ietf+1

안전한 구현: secp256k1에 대한 예제 검증 (C++)

다음은 산술 연산에서 점을 사용하기 전에 정확하고 엄격한 검사를 구현한 코드의 예입니다.

cppbool is_point_on_secp256k1(const uint8_t* x, const uint8_t* y) {
    // преобработка: перевод в числовой формат
    BigInt X = from_bytes(x, 32);
    BigInt Y = from_bytes(y, 32);

    BigInt P = BigInt("FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F", 16);
    BigInt A = 0;
    BigInt B = 7;

    // point not at infinity
    if (X == 0 && Y == 0) return false;

    // Проверка уравнения эллиптической кривой
    BigInt left  = (Y * Y) % P;
    BigInt right = (X * X * X + A * X + B) % P;
    return left == right;
}

OpenSSL을 사용하는 옵션:

cppif (!EC_POINT_is_on_curve(group, point, ctx)) {
    // invalid point, reject!
    return false;
}
if (EC_POINT_is_at_infinity(group, point)) {
    // reject point at infinity
    return false;
}

추가적으로,EC_POINT_mul OpenSSL이나 다른 라이브러리의 유사한 함수를   사용하여 점의 순서를 확인해 보는 것도 좋습니다  . datatracker.ietf+1

최종 결정

1. 암호화 연산을 수행하기 전에 각 지점에 대한 필수적인 수학적 검증을 구현하십시오.
2. 곡선에 속하지 않는 점, 무한대 점, 순서가 잘못된 점은 제외합니다.
3. 소수점 연산을 수행하는 라이브러리의 모든 섹션을 업데이트하여 연산 전에 엄격한 유효성 검사가 호출되도록 하십시오.

결론

폴리커브 추출 공격 취약점은 입력 데이터 유효성 검사 메커니즘의 견고성에 치명적인 결함이 있음을 보여주는 사례입니다. 최신 타원 곡선 기반 암호 시스템을 보호하기 위해서는 곡선 지점에 대한 엄격한 수학적 검증을 구현하는 것이 절대적인 보안 표준입니다. 이것이 향후 유사한 공격을 방지하고 암호화폐 자산의 무결성을 보장하는 유일한 방법입니다.  nccgroup+3

최종 과학적 결론

타원 곡선 점의 불충분한 검증으로 인해 발생하는 ‘무효 곡선 공격(  Invalid  Curve Attack)’은 비트코인 ​​암호화폐와 전체 디지털 금융 자산 산업에 있어 가장 위험하고 심각한 취약점 중 하나입니다. 이 취약점은 공격자가 유효한 점을 원래 곡선에 속하는지 제대로 검증되지 않은 다른 점으로 대체할 수 있다는 점에서 비롯됩니다. 소프트웨어 라이브러리의 이러한 동작을 통해 공격자는 수학적 연산을 수행하고 지갑 소유자의 개인 키에 대한 부분적 또는 완전한 정보를 획득할 수 있으며, 이는 자금 탈취, 사용자 보안 침해, 암호화 프로토콜에 대한 신뢰도 저하로 이어질 수 있습니다.  cryptolounge+2

효과적인 공격은 취약한 검증뿐만 아니라 실제인지 가짜인지 여부와 관계없이 점 표현을 일치시키는 것만으로도 가능합니다.  무효 곡선 공격(Invalid Curve Attacks)은  이미 상당한 손실을 초래했습니다. 가장 큰 규모의 암호화폐 지갑 해킹 사건들은 이 취약한 코드와 연관되어 있으며, 가장 잘 알려진 취약점은 CVE-2023-39910입니다. 엄격한 검증 기준을 무시하면 대규모 해킹이 반복적으로 발생할 수 있습니다.  nvd.nist+1

안전한 블록체인 솔루션의 미래 발전을 위해서는 모든 공개 키와 타원 곡선 지점 처리 과정에서 절대적인 수학적 엄밀성이 요구됩니다. 과학계와 개발자들은 곡선 부정확성 공격을 기본적인 위협 시나리오로 간주하고, 디지털 보안 시스템의 모든 구성 요소에 엄격한 검증 메커니즘과 그에 대한 형식적 정당성을 구현해야 합니다.

1. https://cryptolounge.net/pdf/KarUst10.pdf
2. https://www.hackthebox.com/blog/business-ctf-2022-400-curves-write-up
3. https://akiratk0355.github.io/file/slides_EuroSP19.pdf
4. https://cryptodeep.ru/twist-attack-2/
5. https://github.com/forensicskween/invalid-curve-attack
6. https://web-in-security.blogspot.com/2015/09/practical-invalid-curve-attacks.html
7. https://pikabu.ru/tag/%D0%91%D0%B8%D1%82%D0%BA%D0%BE%D0%B8%D0%BD%D1%8B,%D0%94%D0%BE%D1%85%D0%BE%D0%B4
8. https://nvd.nist.gov/vuln/detail/CVE-2023-39910
9. https://github.com/libbitcoin/libbitcoin-explorer/wiki/cve-2023-39910

1. https://www.ijcns.latticescipub.com/wp-content/uploads/papers/v4i1/A1426054124.pdf
2. https://iacr.org/archive/pkc2003/25670211/25670211.pdf
3. https://www.nccgroup.com/research-blog/an-illustrated-guide-to-elliptic-curve-cryptography-validation/
4. https://biham.cs.technion.ac.il/BT/bt-fixed-coordinate-invalid-curve-attack.pdf
5. https://www.nds.rub.de/media/nds/veroeffentlichungen/2015/09/14/main-full.pdf
6. https://stackoverflow.com/questions/75089523/elliptic-curve-point-verify-point-is-on-the-curve
7. https://datatracker.ietf.org/doc/rfc5656/
8. https://dev.to/cyberbimba/a-deep-dive-into-elliptic-curve-cryptography-ecc-with-code-examples-319a
9. https://cryptography.io/en/latest/hazmat/primitives/asymmetric/ec/
10. https://github.com/elikaski/ECC_Attacks
11. https://github.com/forensicskween/invalid-curve-attack
12. https://thescipub.com/pdf/jcssp.2023.112.125.pdf
13. https://cryptobook.nakov.com/asymmetric-key-ciphers/elliptic-curve-cryptography-ecc
14. https://estudiobitcoin.com/elliptic-curve-in-bitcoin/
15. https://cr.yp.to/papers/safecurves-20240809.pdf
16. https://www.encryptionconsulting.com/elliptic-curve-cryptography-ecc/
17. https://www.hackthebox.com/blog/business-ctf-2022-400-curves-write-up
18. https://safecurves.cr.yp.to
19. https://akiratk0355.github.io/file/slides_EuroSP19.pdf
20. https://learnmeabitcoin.com/technical/cryptography/elliptic-curve/ecdsa/

1. https://www.nccgroup.com/research-blog/an-illustrated-guide-to-elliptic-curve-cryptography-validation/
2. https://neuromancer.sk/data/files/485102c6c473ef879a05f7ea5209bdd0.pdf
3. https://blog.trailofbits.com/2018/08/01/bluetooth-invalid-curve-points/
4. https://web-in-security.blogspot.com/2015/09/practical-invalid-curve-attacks.html
5. https://man.openbsd.org/EC_POINT_add.3
6. https://gist.github.com/mcieno/c92b140daa7b419bd355c1b0dc54f0ec
7. https://www.fox-it.com/nl-en/an-illustrated-guide-to-elliptic-curve-cryptography-validation/
8. https://github.com/libbitcoin/libbitcoin-explorer/wiki/cve-2023-39910
9. https://cointelegraph.com/news/newly-discovered-bitcoin-wallet-loophole-let-hackers-steal-funds-slow-mist
10. https://milksad.info/disclosure.html
11. https://github.com/elikaski/ECC_Attacks
12. https://security.snyk.io/package/npm/elliptic/6.4.1
13. https://bitcoinmagazine.com/technical/the-milk-sad-vulnerability-and-what-it-means-for-bitcoin
14. https://attacksafe.ru/secp256k1-un/
15. https://stackoverflow.com/questions/75749088/crypto-elliptic-attempted-operation-on-invalid-point
16. https://en.bitcoin.it/wiki/Common_Vulnerabilities_and_Exposures
17. https://gist.github.com/mimoo/435baab9545c03225de8bafff30c9b4b
18. https://botan.randombit.net/doxygen/classBotan_1_1EC__Point.html
19. https://nvd.nist.gov/vuln/detail/CVE-2023-39910
20. https://www.miggo.io/vulnerability-database/cve/CVE-2024-48949
21. https://onlinelibrary.wiley.com/doi/10.1049/iet-ifs.2017.0075
22. https://media.ccc.de/v/38c3-dude-where-s-my-crypto-real-world-impact-of-weak-cryptocurrency-keys
23. https://bitcointalk.org/index.php?topic=5463676.0
24. https://is.muni.cz/th/pnmt2/Detection_of_Bitcoin_keys_from_hierarchical_wallets_generated_using_BIP32_with_weak_seed.pdf
25. https://www.nds.rub.de/media/nds/veroeffentlichungen/2015/09/14/main-full.pdf
26. https://cypherpunks-core.github.io/bitcoinbook/ch04.html
27. https://arxiv.org/pdf/2506.03318.pdf
28. https://stackoverflow.com/questions/75089523/elliptic-curve-point-verify-point-is-on-the-curve
29. https://users.cs.fiu.edu/~prabakar/cen5079/Common/textbooks/Mastering_Blockchain_2nd_Edition.pdf
30. https://sarwagya.is-a.dev/blog/2025-01-28-elliptic-curve-mistakes
31. https://studylib.net/doc/26314224/mastering-bitcoin-2nd-edition
32. https://stackoverflow.com/questions/76538185/elliptic-curve-cryptography-key-verification-fails
33. https://fossies.org/linux/Botan/src/lib/pubkey/ec_group/legacy_ec_point/ec_point.h
34. https://www.coursehero.com/file/p46vk4ln/example-of-generating-and-displaying-a-private-key-using-these-two-commands/
35. https://botan.randombit.net/doxygen/ec__point_8h_source.html
36. https://www.utwente.nl/en/ces/sal/exams/Blockchain-and-Distributed-Ledger-Technology-test/1-Bitcoin/bitcoinbook-ch04-keys-addresses.pdf
37. https://algosone.ai/news/hackers-steal-900k-through-newly-discovered-bitcoin-wallet-loophole/
38. https://stackoverflow.com/questions/57754502/do-i-have-to-install-libbitcoin-server-to-be-able-to-include-bitcoin-hpp
39. https://stackoverflow.com/questions/68350888/verify-that-ecpoint-is-valid-on-ellipticcurve-object-given-xy-coordinates-and-c
40. https://www.binance.com/cs/square/post/951306
41. https://www.investing.com/news/cryptocurrency-news/libbitcoin-vulnerability-leads-to-900k-theft-from-bitcoin-wallets-3152533
42. https://www.kaspersky.com/blog/vulnerability-in-hot-cryptowallets-from-2011-2015/49943/
43. https://www.asau.ru/files/pdf/1789486.pdf
44. https://stackoverflow.com/questions/16890778/how-to-check-point-at-infinity-to-implement-ecc
45. https://docs.openssl.org/1.1.1/man3/EC_POINT_new/
46. https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2023-39910
47. https://commondatastorage.googleapis.com/chromium-boringssl-docs/ec.h.html
48. https://github.com/demining/Milk-Sad-vulnerability-in-the-Libbitcoin-Explorer-3.x

1. https://cryptolounge.net/pdf/KarUst10.pdf
2. https://www.nccgroup.com/research-blog/an-illustrated-guide-to-elliptic-curve-cryptography-validation/
3. https://github.com/libbitcoin/libbitcoin-explorer/wiki/cve-2023-39910
4. https://keyhunters.ru/vulnerable-components-of-the-bitcoin-ecosystem-the-problem-of-incorrect-calculation-of-the-order-of-the-elliptic-curve-secp256k1/
5. https://cr.yp.to/papers/safecurves-20240809.pdf
6. https://github.com/elikaski/ECC_Attacks
7. https://habr.com/ru/articles/771980/
8. https://nvd.nist.gov/vuln/detail/CVE-2023-39910
9. https://github.com/demining/Milk-Sad-vulnerability-in-the-Libbitcoin-Explorer-3.x
10. https://www.isaca.org/resources/isaca-journal/issues/2016/volume-3/can-elliptic-curve-cryptography-be-trusted-a-brief-analysis-of-the-security-of-a-popular-cryptosyste
11. https://keyhunters.ru/attack-on-private-key-exposure-we-will-consider-exploiting-errors-that-allow-obtaining-a-private-key-this-is-a-very-dangerous-attack-on-bitcoin-wallets-through-an-opcode-numbering-error-in-bitcoinli/
12. https://www2.eecs.berkeley.edu/Pubs/TechRpts/2021/EECS-2021-126.pdf
13. https://milksad.info
14. https://attacksafe.ru/how-hackers-used-the-milk-sad-bug-in-libbitcoin-explorer-3-x-to-steal-900000-from-btc-wallets/
15. https://proceedings.neurips.cc/paper_files/paper/2023/file/e5440ffceaf4831b5f98652b8a27ffde-Paper-Conference.pdf
16. https://coinshares.com/us/insights/research-data/quantum-securing-bitcoin-really-isn-t-that-hard/
17. https://news.ycombinator.com/item?id=8844789
18. https://www.hackthebox.com/blog/business-ctf-2022-400-curves-write-up
19. http://www.diva-portal.org/smash/get/diva2:1848522/FULLTEXT01.pdf
20. https://akiratk0355.github.io/file/slides_EuroSP19.pdf
21. https://attacksafe.ru/secp256k1-un/

1. https://www.hackthebox.com/blog/business-ctf-2022-400-curves-write-up
2. https://cryptolounge.net/pdf/KarUst10.pdf
3. https://vnhacker.blogspot.com/2018/09/invalid-curve-attacks-explained.html
4. https://pdfs.semanticscholars.org/418c/ffbc1313eab9a4650b00161bb4b8897a2569.pdf
5. https://safecurves.cr.yp.to/twist.html
6. https://akiratk0355.github.io/file/slides_EuroSP19.pdf
7. https://dl.acm.org/doi/10.1007/978-3-319-22425-1_3