키헌터 작성 

MuSig2 프로토콜의 심각한 논스 재사용 또는 결정론적 논스 재사용 취약점은 비트코인 ​​암호화폐에 근본적인 위협을 가합니다. 과학적으로는   공명 스컬커 공격  (  논스 재사용 공격  )으로 알려진 이 공격은 공격자가 동일한 논스를 가진 두 개의 서명을 획득함으로써 피해자의 개인 키를 즉시 계산할 수 있도록 합니다. 결과적으로 공격자는 비트코인 ​​주소를 완전히 장악하고, 가짜 거래에 서명하고, 자금을 탈취하고, 전체 생태계의 보안을 훼손할 수 있습니다.

“MuSig2의 치명적인 Nonce 재사용 취약점: 개인 키에 대한 위험한 공격이자 비트코인 ​​보안의 미래”

연구 논문: 비트코인의 심각한 nonce 재사용 취약점 및 공격 분류

비트코인 블록체인 시스템은 거래 보안을 보장하기 위해 복잡한 암호화 기본 요소 위에 구축되었습니다. 핵심 서명 보호 알고리즘 중 하나는 Taproot 업데이트 이후 도입된 Schnorr 방식이며, 그 다중 서명 버전인 MuSig2도 있습니다. 보안과 효율성이 향상되었음에도 불구하고, 논스(nonce) 생성 및 사용상의 오류는 개인 키의 대규모 유출을 위협하는 근본적인 취약점으로 이어집니다.  keyhunters+2

치명적인 취약성 메커니즘

취약성은 어떻게 발생하며, 그 본질은 무엇일까요?

타원 곡선 암호화(Schnorr, ECDSA)를 사용하여 생성되는 모든 디지털 서명은 각 서명마다 고유한 난수(nonce)를 생성해야 합니다. 만약 동일한 nonce가 실수로 여러 메시지에 사용되거나, nonce가 예측 가능해지는 경우(예: 난수 생성기 구현 오류로 인해   ), 암호화aux_rand 보안이 완전히 손상됩니다. 

과학적으로 보면, 이 공격은 다음과 같습니다.

• 공격자는 동일한 논스가 사용된 두 개 이상의 서명을 획득합니다.
• 이러한 서명을 기반으로 개인 키에 대해 풀 수 있는 방정식 시스템이 구성됩니다.
• 개인 키가 노출되면 대상 주소의 모든 비트코인을 훔치고, 거래를 위조하고, 피해자의 자금을 완전히 장악할 수 있습니다.  arxiv+2

BithoRecover.keyhunters 와 같은 지갑 복구 유틸리티 및 암호 분석 도구를 사용하면 공격 실행 및 성공 여부를 쉽게 자동화할 수 있습니다. 

공격의 과학적 명칭

과학 및 실무 문헌에서 이러한 공격을 다음과 같이 부릅니다.

• Nonce 재사용 공격   (단일 숫자의 재사용을 통한 공격)
• 반복적인 Nonce 공격   ;
• ECDSA 맥락에서는   이를 ECDSA Nonce 재사용 공격이라고  하지만, Schnorr 및 MuSig2 체계에서는   Nonce 재사용 공격이라는 용어 를  사용합니다. 

이 공격은 디지털 서명에 대한 사이드 채널 공격으로 분류되며, CWE 시스템에서는 CWE-323(“암호화에서 논스 키 쌍 재사용”)으로 알려져 있습니다.  ubiqsecurity+1

CVE 및 취약점 현황

이 글을 쓰는 시점에서 비트코인의 MuSig2 또는 Schnorr 서명 구현상의 취약점은 아직 개별 CVE 번호를 부여받지 못했습니다. 이는 해당 문제가 프로토콜의 아키텍처적인 문제이며 암호학 연구 커뮤니티에서 활발히 논의되고 있기 때문입니다. (  keyhunters)

• CVE-2018-0734 – ECDSA(OpenSSL) 키헌터 에서 nonce 재사용 
• CVE-2020-28498 – 다른 ECDSA  키헌터 구현 에서의 논스 생성 오류
• MuSig2 프로토콜은 비트코인 ​​메인넷에서 전역적인 익스플로잇이 발견되지 않았기 때문에 공식 CVE 프로세스를 통하지 않고 워킹 그룹, 과학 논문 및 GitHub 이슈를 통해 이 취약점을 논의합니다.  bips+2

비트코인 암호화폐 공격에 대한 취약점의 영향

이 취약점을 악용하면 다음과 같은 일이 발생합니다.

• 동일한 논스(nonce) 값을 가진 두 개의 서명이 공개된 경우, 모든 비트코인 ​​주소 소유자의 개인 키를 얻을 수 있습니다.
• 거래 내역을 위조하고 소유자의 동의 없이 자금을 횡령하는 행위;
• 대규모 자금 이동에 영향을 미치는 nonce 오류가 발생하는 거래소, 서비스 및 지갑에 대한 대규모 공격을 수행하십시오.
• 비트코인 네트워크의 보안에 대한 신뢰를 훼손하고, 취약점이 확산되어 시스템적 손실을 초래합니다.  notsosecure+2

보호를 위한 프로토콜 및 표준 권장 사항

• BIP-340 및 RFC6979는   각 메시지와 키에 대해 결정적이고 고유한 논스(nonce) 생성을 의무화합니다.
• 매개변수에 암호학적으로 강력한 난수 생성기를 사용합니다   aux_rand.
• 암호화 코드 라이브러리에 대한 정기적인 감사 및 업데이트 수행;
• nonce 중복 검사 및 테스트 구현.  aimspress+2

결론

Schnorr/MuSig2 서명의 심각한 nonce 재사용 취약점은 비트코인에 대한 근본적인 암호학적 위협이며, 과학적으로는   Nonce 재사용 공격   (CWE-323)으로 알려져 있고, 유사한 CVE가 암호화 라이브러리에서 발견됩니다. 이 공격이 성공하면 개인 키 유출, 대규모 자금 탈취, 그리고 전체 비트코인 ​​생태계의 보안 붕괴로 이어집니다. 결정론적이고 고유한 nonce 생성과 같은 엄격한 보안 조치를 구현하지 않으면 디지털 자산의 보안은 불가능합니다.

암호화 취약점

제공된 MuSig2 코드와 암호화 취약점 연구 결과를 분석한 결과, 비밀 키 또는 개인 키 유출이 발생할 수 있는 잠재적으로 취약한 부분을 몇 군데 확인했습니다.

MuSig2 코드의 암호화 취약점: 잠재적 키 유출 지점 분석

주요 취약점 파악됨

1.   90~94행   – 바이트 읽기 검사가 불충분함

가다:

func (p *PartialSignature) Decode(r io.Reader) error {
    p.S = new(btcec.ModNScalar)
    var sBytes [32]byte
    if _, err := io.ReadFull(r, sBytes[:]); err != nil {
        return nil  // УЯЗВИМОСТЬ: возвращает nil вместо err
    }

문제  : 데이터 읽기 실패 시 함수가   nil 오류 대신 일반 오류를 반환합니다. 이로 인해 유효하지 않은 서명 데이터가 처리되어 서명 검증이 손상될 수 있습니다.  (keyhunters)

2.   259-262행   – 비밀 논스에 대한 중요 검사

가다:

k1.SetByteSlice(secNonce[:btcec.PrivKeyBytesLen])
k2.SetByteSlice(secNonce[btcec.PrivKeyBytesLen:])
if k1.IsZero() || k2.IsZero() {
    return nil, ErrSecretNonceZero
}

문제점  : 0인 논스(nonce)를 확인하는 검사가 있지만, 이는   논스 재사용 공격 에 있어 매우 중요한 부분입니다  . 비밀 논스 중 하나가 0이거나, 서로 다른 서명에서 동일한 논스가 재사용될 경우, 개인 키가 완전히 노출될 수 있습니다.  (wikipedia+1)

3.   274~277행   – 논스 패리티 취약점

가다:

if nonce.Y.IsOdd() {
    k1.Negate()
    k2.Negate()
}

문제점  : 비밀 난수(nonce)의 패리티 기반 조작은   사이드 채널  공격 에 악용될 수 있는 예측 가능한 패턴을 생성할 수 있습니다  .

4.   278~281행   – 개인 키가 0인지 확인

가다:

privKeyScalar := privKey.Key
if privKeyScalar.IsZero() {
    return nil, ErrPrivKeyZero
}

문제  : 개인 키 검증이 불충분합니다. 단순히 null인지 확인하는 것만으로는 키의 암호학적 보안을 보장할 수 없습니다.

5.   306~308행   – 부분 서명을 계산합니다.

가다:

s := new(btcec.ModNScalar)
s.Add(&k1).Add(k2.Mul(nonceBlinder)).Add(e.Mul(a).Mul(&privKeyScalar))

치명적인 취약점  : 비밀 논스와 개인 키의 수학적 조합이 이루어지는 부분입니다.   논스가 재사용될 경우,   공격자는 연립방정식을 만들어 개인 키를 추출할 수 있습니다.  (wikipedia+1)

6.   314-322행   – 빠른 모드에서 유효성 검사가 불충분함

가다:

if !opts.fastSign {
    pubNonce := secNonceToPubNonce(secNonce)
    sigValid := sig.Verify(
        pubNonce, combinedNonce, pubKeys, pubKey, msg,
        signOpts...,
    )
    if !sigValid {
        return nil, fmt.Errorf("sig is invalid!")
    }
}

문제fastSign  : 해당 모드에서는 서명 유효성 검사가 생략되어 유효하지 않은 서명이 허용될 수 있습니다.  halborn

nonce 재사용 취약성에 대한 수학적 분석

308번째 줄에서 nonce를 재사용하면 다음과 같은 연립방정식이 생성됩니다.

• s₁ = k₁ + k₂ b₁ + e₁ a₁ d
• s₂ = k₁ + k₂ b₂ + e₂ a₂ d

만약 k₁과 k₂가 동일하다면(nonce 재사용), 공격자는 시스템을 풀어 개인 키 d를 얻을 수 있습니다.  keyhunters+1

보호를 위한 권장 사항

1. RFC6979를 사용하여 bitcoinops 논스를 결정론적으로 생성하세요 
2. bitcoinops를 사용한 후에는 비밀 논스를 즉시 삭제하십시오. 
3. 키헌터에 대해 논스 재사용 검사를 구현하세요 
4. 할본에 암호학적으로 강력한 키 유효성 검사를 추가합니다. 

가장 중요한 부분은 259~262행(nonce 검증)과 306~308행(서명 계산)이며, 이   부분에서 nonce를 잘못 관리하면   개인 키가 완전히 노출 될 수 있습니다  . 

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 6.50210000 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은  6,502만 1천 BTC  (복구 당시 약 817,476.52달러)  가  들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 192qwAD31JB9jHiAwaTDkd6teb2hLAkY3b 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.seedcoin.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보들을 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5KXxiWyCShwzkeYmoptP1ye31bF5Tvw6ABKNhJ6UKqqh4ETUABa를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $817476.52]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

PrivKeyRoot: Schnorr/MuSig2의 nonce 재사용 취약점을 이용한 암호화 기술로 분실된 비트코인 ​​개인 키 복구

비트코인의 보안은 타원 곡선 암호화의 견고성과 디지털 서명 체계의 적절한 구현에 크게 의존합니다. 슈노르 서명과 MuSig2 프로토콜의 도입으로 비트코인은 다자간 거래에서 향상된 개인정보 보호 및 효율성을 확보했습니다. 그러나 결정론적으로 생성되고 재사용되는 논스(nonce)에는 치명적인 취약점이 존재합니다. 본 논문은 MuSig2의 논스 재사용 취약점을 이용하여 기본 개인 키를 노출시키는 암호 분석 및 복구 도구인 PrivKeyRoot를 연구합니다 . 공명 스컬커 공격(Resonant Skulker Attack)의 수학적 메커니즘을 분석하여 PrivKeyRoot와 같은 도구가 어떻게 분실된 비트코인 ​​지갑을 복구할 수 있는지, 그리고 논스 재사용이 대규모로 발생할 경우 시스템적으로 심각한 취약점이 될 수 있음을 보여줍니다.

비트코인 거래는 타원 곡선 서명을 사용하여 개인 키 소유자만이 지출을 승인할 수 있도록 보장합니다. BIP-340으로 표준화된 슈노르 서명은 결정론적 논스 생성을 도입하여 서명 변조 가능성을 제거하고 보안을 강화했습니다. 다중 서명 지갑에 최적화된 슈노르 서명 변형인 MuSig2는 서명 권한을 여러 참여자에게 분산합니다.

이러한 발전에도 불구하고, 논스(일회용 숫자)가 재사용될 때 근본적인 취약점이 발생합니다. 동일한 논스가 두 개의 서로 다른 서명에 적용될 경우, 공격자는 수학적으로 해당 서명에 대응하는 개인 키를 유추할 수 있습니다. PrivKeyRoot 는 실제 환경에서 이러한 결함을 탐지하고 악용하여 합법적인 지갑 복구를 수행하거나 암호화 구현의 시스템적 취약점을 드러내도록 설계되었습니다.

PrivKeyRoot의 역할

PrivKeyRoot는 암호화폐 포렌식 연구를 위해 개발된 고급 암호 분석 유틸리티입니다.
주요 기능은 다음과 같습니다.

• 논스 재사용 탐지 : Schnorr/MuSig2 서명을 자동 분석하여 거래 전반에 걸쳐 동일하거나 예측 가능한 논스를 식별합니다.
• 방정식 시스템 구성 : 중복된 논스가 발견되었을 때 대수적 해결법을 적용하여 개인 키를 추출할 수 있는 풀이 가능한 선형 시스템을 생성합니다.
• 분실된 지갑에 대한 키 복구 : 합법적인 사용 사례로는 구현상의 결함으로 인해 nonce가 중복되어 지갑에 대한 접근 권한을 복구하는 경우가 있습니다.
• 고급 공격 시뮬레이션 : 연구원들이 nonce 실패 시나리오 하에서 비트코인 ​​취약성을 평가하기 위해 공명 스컬커 공격(Resonant Skulker Attack)을 모델링하는 데 도움을 줍니다.

공격의 암호학적 기반

MuSig2에서는 각 서명에 고유한 난수 값 kkk가 필요합니다. 동일한 nonce를 재사용하는 두 서명 s1=k+e1d, s2=k+e2d를 생각해 보겠습니다. s1=k+e1d, s2=k+e2d

여기서 ddd는 개인 키이고, kkk는 논스이며, e1, e2e_1, e_2e1, e2는 해시 함수에서 파생된 메시지별 챌린지 스칼라입니다.

서명을 빼는 방식으로 공격자는 알 수 없는 kkk를 제거합니다. s1−s2=(e1−e2)ds_1 – s_2 = (e_1 – e_2) ds1−s2=(e1−e2)dd=s1−s2e1−e2d = \frac{s_1 – s_2}{e_1 – e_2}d=e1−e2s1−s2

이 간단한 계산만으로 완전한 개인 키를 알아낼 수 있습니다. PrivKeyRoot는 블록체인 데이터 세트 전반에 걸쳐 이러한 유도 과정을 자동화하여 이론적인 공격을 실질적인 복구로 전환하도록 설계되었습니다.

비트코인 지갑에 미치는 영향

신원조회용 서류를 오용하는 것은 재앙적인 결과를 초래합니다.

• 개인 키 노출 : 서명 키를 복구하면 지갑에 보관된 모든 자금을 완전히 제어할 수 있습니다.
• 거래 위조 : 개인 키가 유출되면 서명을 위조하여 발각되지 않고 자금을 이체할 수 있습니다.
• 거래소 수준의 취약점 : 거래소나 수탁 서비스가 대규모 다중 서명 지갑에서 논스(nonce)를 재사용하는 경우, 시스템적인 탈취가 가능해집니다.
• 신뢰도 저하 : 광범위한 공격은 비트코인의 암호화 무결성에 대한 신뢰를 크게 약화시킬 것입니다.

공명하는 은밀한 공격은 단순히 국지적인 위협이 아니라 생태계 전반에 걸친 시스템적 취약점을 나타냅니다.

PrivKeyRoot의 이중적 특성

PrivKeyRoot는 이중 용도 패러다임을 구현합니다.

• 합법적인 신청 :
  • 휴면 상태이거나 손상된 지갑에 대한 사용자 접근 권한 복원.
  • 보안 감사 및 취약점 발견을 위한 암호 분석.
  • 실제 비트코인 ​​거래 데이터에서 nonce 고유성에 대한 학술 연구.
• 적대적 위험 :
  • 블록체인 서명의 자동 대량 스캔을 통해 논스 충돌을 검색합니다.
  • 고가치 지갑에서 개인 키를 선택적으로 복구합니다.
  • 서비스 제공업체에서 잘못 구성되었거나 결함이 있는 라이브러리를 악용하는 행위.

이러한 이중적 성격은 암호 해독 도구가 지닌 더 넓은 과제를 반영합니다. 즉, 암호 해독 도구는 방어 수단인 동시에 잠재적인 공격 수단이기도 합니다.

국방에 대한 권고 사항

PrivKeyRoot의 존재는 안전한 nonce 관리의 시급한 필요성을 강조합니다.

1. 엄격한 결정성(RFC 6979, BIP-340) : 서명은 특정 메시지 및 키와 연결된 고유하고 결정적인 nonce 파생을 강제해야 합니다.
2. 감사 가능한 구현 : 모든 암호화 라이브러리는 지속적인 논스 검증 및 중복 감지 기능을 구현해야 합니다.
3. 논스 수명 주기 관리 : 논스에 사용되는 비밀 값은 서명 후 안전하게 파기해야 합니다.
4. 하드웨어 격리 : 하드웨어 보안 모듈(HSM)과 보안 영역은 논스 생성을 처리하고 메모리 지속성을 방지해야 합니다.
5. 모니터링 및 포렌식 : 거래소와 수탁기관은 아이러니하게도 PrivKeyRoot와 같은 도구를 사용하여 포렌식 스캔을 배포함으로써 nonce 재사용을 사전에 방지해야 합니다.

결론

MuSig2에서 논스(nonce)를 재사용하는 것은 비트코인에 심각한 암호학적 위협을 가합니다. 이는 간단한 대수적 조작을 통해 개인 키를 완전히 노출시킬 수 있기 때문입니다. PrivKeyRoot는 이러한 공격의 실현 가능성과 이에 대한 정밀 분석의 필요성을 보여줍니다. 이 도구는 정상적인 지갑 복구를 위해 설계되었지만, 논스 관리의 단 하나의 구현 결함만으로도 비트코인의 전체 보안 모델이 위태로워질 수 있음을 입증합니다.

이 사건은 매우 중요한 교훈을 줍니다. 논스(nonce) 생성에 있어 암호화 기술의 정확성은 선택 사항이 아니라 필수적인 요소입니다. 정확성이 확보되지 않으면 타원 곡선 암호화의 보안성이 무너져 비트코인을 비롯한 암호화폐가 시스템적 공격에 취약해집니다. 따라서 PrivKeyRoot는 과거의 암호화 기술 실패를 상기시키는 동시에 미래의 재앙을 예방하는 도구로서의 역할을 합니다.

MuSig2의 암호화 취약점: 과학적 분석, 발생 메커니즘 및 안전한 보호 방법

최근 몇 년 동안 MuSig2 방식과 Schnorr 디지털 서명 의 도입으로    비트코인 ​​다중 서명에 혁신이 일어나 개인 정보 보호, 확장성 및 네트워크 자원 효율성이 향상되었습니다. 그러나 이러한 서명의 보안 핵심은 서명의 강도에 매우 중요한 nonce(일회용 난수)의 생성 및 관리 방식에 있습니다. nonce 관리 오류는 개인 키 유출이라는 치명적인 취약점으로 이어져 자금에 대한 완전한 통제권 상실을 초래합니다.  keyhunters+2

취약성은 어떻게 발생하는가?

Nonce 재사용 공격에 대한 과학적 설명

이 취약점은 동일한 개인 키를 사용하는 두 개의 서로 다른 메시지에 대해 논스(nonce)가 재사용되거나 예측 가능한 방식으로 재사용될 경우 발생합니다. MuSig2 및 유사한 방식에서는 각 서명 프로세스마다 논스가 고유해야 합니다. 예:  aimspress+2  k = Hash(d, aux_rand, message) k = \mathrm{Hash}(d, \mathrm{aux\_rand}, \mathrm{message}) k = Hash(d, aux_rand, message)

— 여기서 ddd는 개인 키이고, aux_rand는 추가적인 난수 생성 값입니다.  bitcoinops+1

공격 메커니즘:

1. 공격자는 동일한 논스 값을 갖지만 메시지가 다른 두 개의 서명을 얻을 수 있습니다.
2. 획득한 데이터를 기반으로 방정식 시스템을 구성하고, 이를 통해 비밀 키를 추출합니다.  keyhunters+1
3. MuSig2는 모든 프로토콜 참여자가 논스의 지속적인 고유성을 제어하지 못하는 상황을 특징으로 하며, 이는 위험을 더욱 악화시킵니다.

결과:

• 개인 키가 완전히 노출되었습니다.
• 비트코인 주소에서 자금을 훔치는 행위.
• 가짜 서명과 사기성 거래를 생성할 수 있는 능력.  키헌터

취약성의 과학적 분류

• Nonce 재사용   공격
• 반복적인 Nonce 공격
• 디지털 서명에서 흔히 발생하는 암호화 취약점으로, 일부 구현체에 대해서는 CVE가 등록되어 있습니다.  aimspress+1

현대 과학적 해결책

1. RFC6979: 결정론적 논스 생성

기존 서명 방식은 RFC6979 표준을 사용하여 nonce가 정의되지만 메시지마다 반복되지 않도록 합니다.  bitcoinops

2. EdDSA에서 영감을 받은 다자간 서명 방식

다중 서명에서 논스는 개인 키와 메시지의 해시로 생성되며 새로운 난수가 추가되는 방식이 적합합니다.  blockstream+1  k=Hash(privKey∥random∥message)k = \mathrm{Hash}(\mathrm{privKey} \Vert \mathrm{random} \Vert \mathrm{message})k=Hash(privKey∥random∥message)

• 각 프로토콜 참여자는 라운드마다 고유한 논스(nonce) 값을 보장받습니다.
• 암호화 HSM(하드웨어 보안 모듈)을 사용하여 비밀 값을 저장합니다.

3. 사용 후 nonce를 즉시 삭제하십시오.

• 계산이 완료되면 논스는 즉시 메모리에서 제거되어야 합니다.
• 서명 상태의 재사용성 검사 및 엄격한 수명 주기 관리.  bitcoinops

4. 코드의 방어적 검사

다음은 안전한 논스 생성 및 공격 방지를 위한 보안 코드 예제입니다.

가다:

import "crypto/rand"
import "crypto/sha256"

func generateSecureNonce(privKey []byte, message []byte) ([]byte, error) {
    // Получение свежих случайных байтов
    auxRand := make([]byte, 32)
    if _, err := rand.Read(auxRand); err != nil {
        return nil, err
    }
    h := sha256.New()
    h.Write(privKey)
    h.Write(auxRand)
    h.Write(message)
    nonce := h.Sum(nil)
    // Не хранить nonce после подписи!
    return nonce, nil
}

교정의 핵심 원칙  :

• 동일한 메시지와 개인 키를 사용하더라도 각 논스는 고유합니다.
• 고정값이나 재사용 가능한 값(예: 모두 0)은 허용되지 않습니다.
• 논스(nonce)는 계산이 진행되는 동안에만 저장되며, 계산이 완료되면 바이트 배열은 완전히 초기화됩니다.

5. 감사 및 고유성 테스트 활용

• nonce 중복 여부를 확인하는 테스트를 추가하세요.
• 시그니처 시퀀스 분석을 사용하세요. nonce 값이 이미 발견된 경우 작업이 금지됩니다!  블록스트림+1

안전한 솔루션 및 보호

MuSig2/Schnorr 보안 회로 구현을 위한 권장 사항  :

• BIP-340/EdDSA 표준에 따라 nonce 제어가 구현된 검증된 라이브러리를 사용하십시오.
• 서명 후에는 즉시 메모리에서 비밀 난수를 제거하십시오.
• nonce 재사용 감사 기능을 자동으로 통합합니다.
• 서명 간 상태에 대한 하드웨어 및 소프트웨어 격리를 제공합니다.  aimspress+2
• 다중 서명에서는 논스 증명 프로토콜(예: MuSig-DN)을 사용하십시오.

결론

논스 재사용 또는 예측 가능한 논스 사용과 관련된 암호화 취약점은 MuSig2/Schnorr 체계와 비트코인 ​​보안 전반에 근본적인 위협입니다. EdDSA/BIP-340 표준에 따른 안전한 논스 생성, 상태 제거, 고유성 제어 및 하드웨어 보호 기능을 구현하면 이러한 공격에 대한 강력한 해결책을 제공할 수 있습니다. 이러한 표준을 채택하면 개인 키 재유출을 방지하고 블록체인 시스템에서 다중 서명을 안전하게 사용할 수 있습니다.  blockstream+3

최종 과학적 결론

MuSig2 프로토콜의 심각한 논스 재사용 또는 결정론적 논스 재사용 취약점은 비트코인 ​​암호화폐에 근본적인 위협을 가합니다. 과학적으로   논스 재사용 공격(Nonce Reuse Attack) 이라고 알려진 이 공격은 공격자가 동일한 논스를 가진 두 개의 서명을 획득함으로써 피해자의 개인 키 를  즉시 계산할 수 있도록 합니다. 결과적으로 공격자는 비트코인 ​​주소를 완전히 장악하고, 가짜 거래에 서명하고, 자금을 훔치고, 전체 생태계의 보안을 훼손할 수 있습니다. 

이 취약점은 개인 지갑뿐만 아니라 대규모 다중 서명 애플리케이션, 거래소 및 서비스에도 영향을 미치기 때문에 특히 위험하며, 대량 탈취 및 거래 위조의 가능성을 열어줍니다. 논스(nonce)의 고유성 부족과 예측 불가능성은 가장 안전한 암호화 알고리즘조차도 무력화시키는 약점입니다.

CWE 시스템에서 CWE-323으로 분류된 이 공격은 표준(BIP-340)의 허술한 구현이 어떻게 사용자 자금 손실과 비트코인에 대한 신뢰 상실로 이어질 수 있는지를 보여주는 가장 극적인 사례 중 하나입니다. 이러한 치명적인 결과는 엄격한 암호화 규율을 통해서만 예방할 수 있습니다. 즉, 안전한 난수 생성기 사용, 결정론적 또는 하드웨어 기반 논스 생성, 지속적인 코드 감사, 그리고 지속적인 서명 검증 준수가 필수적입니다.

비트코인의 암호학적 강도는 개발자와 연구자들의 노력에 달려 있습니다. 이러한 취약점을 이해하고 해결하는 것은 세계에서 가장 중요한 암호화폐의 미래 보안과 신뢰 를 위해 최우선 과제입니다. 

1. https://delvingbitcoin.org/t/how-many-nonce-reuse-before-exposing-your-musig2-private-key/217
2. https://docs.rs/musig2/latest/musig2/
3. https://strm.sh/studies/bitcoin-nonce-reuse-attack/
4. https://developer.blockchaincommons.com/musig/
5. https://keyhunters.ru/nonce-reuse-attack-critical-vulnerability-in-schnorr-signatures-implementation-threat-of-private-key-disclosure-and-nonce-reuse-attack-in-bitcoin-network/
6. https://bitcoinops.org/en/bitgo-musig2/
7. https://github.com/pcaversaccio/ecdsa-nonce-reuse-attack
8. https://btctranscripts.com/stephan-livera-podcast/2020-10-27-jonas-nick-tim-ruffing-musig2
9. https://btctranscripts.com/iacr/2021-08-16-jonas-nick-musig2

관련 링크:
논스 재사용 공격, Schnorr의 심각한 취약점…  keyhunters,
Schnorr 다중 서명에서의 논스 생성 기법  , aimspress,
현장 보고서: MuSig2 구현,  bitcoinops,
검증 가능한 결정론적 논스를 사용한 Schnorr 다중 서명,  blockstream

1. https://keyhunters.ru/nonce-reuse-attack-critical-vulnerability-in-schnorr-signatures-implementation-threat-of-private-key-disclosure-and-nonce-reuse-attack-in-bitcoin-network/
2. https://www.aimspress.com/article/doi/10.3934/math.2024988
3. https://bitcoinops.org/en/bitgo-musig2/
4. https://docs.rs/musig2/latest/musig2/
5. https://blog.blockstream.com/musig-dn-schnorr-multisignatures-with-verifiably-deterministic-nonces/
6. https://iacr.org/archive/crypto2021/12826100/12826100.pdf
7. https://delvingbitcoin.org/t/how-many-nonce-reuse-before-exposing-your-musig2-private-key/217
8. https://groups.google.com/d/msgid/bitcoindev/a9f133ff-1d8e-45a3-8186-79fb52bbd467n@googlegroups.com
9. https://akiratk0355.github.io/file/thesis-master-takahashi.pdf
10. https://www.scitepress.org/PublishedPapers/2022/111456/111456.pdf
11. https://btctranscripts.com/stephan-livera-podcast/2020-10-27-jonas-nick-tim-ruffing-musig2
12. https://github.com/bitcoin/bips/blob/master/bip-0340.mediawiki
13. https://www.morpher.com/blog/schnorr-signatures
14. https://www.aimspress.com/aimspress-data/math/2024/8/PDF/math-09-08-988.pdf
15. https://bips.dev/327/
16. https://hackmd.io/@0xbobby/Bk-bez9xkl
17. https://is.muni.cz/th/p8u2x/bc_schnorr.pdf
18. https://metaschool.so/articles/ecdsa-vs-schnorr-signatures-a-battle/

1. https://keyhunters.ru/nonce-reuse-attack-critical-vulnerability-in-schnorr-signatures-implementation-threat-of-private-key-disclosure-and-nonce-reuse-attack-in-bitcoin-network/
2. https://en.wikipedia.org/wiki/Schnorr_signature
3. https://www.halborn.com/audits/influx-technologies/account-abstraction-schnorr-signatures-sdk
4. https://bitcoinops.org/en/bitgo-musig2/
5. https://thebitcoinmanual.com/articles/musig2-explained/
6. https://dockeyhunt.com/security-analysis-of-the-bip-schnorrrb-library-history-of-errors-and-vulnerabilities/
7. https://iacr.org/archive/crypto2021/12826100/12826100.pdf
8. https://www.ledger.com/blog-musig2-ledger-bitcoin-app
9. https://jonasnick.github.io/blog/2020/11/29/musig2-simple-two-round-schnorr-multisignatures/
10. https://docs.rs/musig2/latest/musig2/
11. https://github.com/bosagora/agora/issues/2284
12. https://bitcoinops.org/en/topics/musig/
13. https://www.bitvault.sv/blog/bitcoin-multisig-scalability-challenges-and-solutions
14. https://hackmd.io/@kEyqkad6QderjWKtcBF5Hg/HkRYAoSTA
15. https://github.com/bitcoin/bitcoin/issues/23326
16. https://www.chaac.tf.fau.eu/2021/02/09/talk-by-tim-ruffing-musig2-simple-two-round-schnorr-multi-signatures/
17. https://www.morpher.com/blog/schnorr-signatures
18. https://bips.dev/327/
19. https://security.snyk.io/package/npm/bip-schnorr
20. https://developer.blockchaincommons.com/musig/
21. https://www.nervos.org/knowledge-base/schnorr_signatures_(explainCKBot)
22. https://www.1kosmos.com/security-glossary/cryptographic-nonce/
23. https://www.okta.com/identity-101/nonce/
24. https://www.ubiqsecurity.com/exploring-cwe-323-reusing-a-nonce-key-pair-in-encryption/
25. https://phyro.github.io/grinvestigation/schnorr.html
26. https://www.aimspress.com/article/doi/10.3934/math.2024988
27. https://cryptography.io/en/3.4.6/hazmat/primitives/symmetric-encryption.html
28. https://www.iacr.org/archive/tcc2010/59780342/59780342.pdf
29. https://blog.blockstream.com/musig-dn-schnorr-multisignatures-with-verifiably-deterministic-nonces/
30. https://stackoverflow.com/questions/42643421/why-time-based-nonce-should-be-avoided
31. https://b10c.me/blog/009-schnorr-nonce-reuse-challenge/
32. https://developer.mozilla.org/en-US/docs/Web/HTML/Reference/Global_attributes/nonce
33. https://www.aimspress.com/aimspress-data/math/2024/8/PDF/math-09-08-988.pdf
34. https://cryptography.decipher.ac/Basic-Cryptography/Nonce

주요 출처:
Schnorr의 Nonce 재사용 공격, 심각한 취약점…  keyhunters,
Nonce 재사용을 통한 ECDSA 개인 키 복구 공격…  keyhunters,
Schnorr의 Nonce 생성 기법, multisignatures,  aimspress,
ECDSA Nonce 재사용 공격,  notsosecure,
CWE-323: 암호화에서 Nonce 및 키 쌍 재사용,  feedly+1

1. https://keyhunters.ru/nonce-reuse-attack-critical-vulnerability-in-schnorr-signatures-implementation-threat-of-private-key-disclosure-and-nonce-reuse-attack-in-bitcoin-network/
2. https://www.aimspress.com/article/doi/10.3934/math.2024988?viewType=HTML
3. https://notsosecure.com/ecdsa-nonce-reuse-attack
4. https://arxiv.org/html/2504.13737v1
5. https://www.ubiqsecurity.com/exploring-cwe-323-reusing-a-nonce-key-pair-in-encryption/
6. https://feedly.com/cve/cwe/323
7. https://keyhunters.ru/ecdsa-private-key-recovery-attack-via-nonce-reuse-also-known-as-weak-randomness-attack-on-ecdsa-critical-vulnerability-in-deterministic-nonce-generation-rfc-6979-a-dangerous-nonce-reuse-attack/
8. https://bips.dev/327/
9. https://github.com/bitcoin/bips/blob/master/bip-0340.mediawiki
10. https://xrpl.org/blog/2019/statement-on-the-biased-nonce-sense-paper
11. https://christian-rossow.de/publications/btcsteal-raid2018.pdf
12. https://github.com/advisories/GHSA-r2jw-c95q-rj29
13. https://akiratk0355.github.io/file/thesis-master-takahashi.pdf
14. https://www.vicarius.io/vsociety/posts/understanding-a-critical-vulnerability-in-putty-biased-ecdsa-nonce-generation-revealing-nist-p-521-private-keys-cve-2024-31497
15. https://datatracker.ietf.org/doc/draft-irtf-cfrg-frost/11/
16. https://attacksafe.ru/polynonce-attack-on-bitcoin/
17. https://github.com/kudelskisecurity/ecdsa-polynomial-nonce-recurrence-attack
18. https://github.com/ethereum/ERCs/pull/713/files
19. https://is.muni.cz/th/oaxta/thesis.pdf
20. https://papers.mathyvanhoef.com/ccs2017.pdf
21. https://datatracker.ietf.org/doc/html/draft-irtf-cfrg-frost-08
22. https://learnmeabitcoin.com/technical/cryptography/elliptic-curve/schnorr/

 암호해독