💻 computer science

Chain Reactions: How Nonce Collisions in ECDSA Compromise Polygon MEV Searchers

Dieses Papier zeigt, dass systematische Nonce-Wiederverwendung durch Polygon-MEV-Sucher, die durch Latenzdruck in versiegelten Gebotsauktionen getrieben wird, vorhersehbare Signaturmuster erzeugt, die Angreifern ermöglichen, private Schlüssel durch elementare lineare Algebra wiederherzustellen und dadurch mehrere Konten gleichzeitig zu kompromittieren.

Ursprüngliche Autoren: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Veröffentlicht 2026-05-22

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Der Fehler mit der „Geheimen Nummer"

Stellen Sie sich die Blockchain (wie Polygon) als eine riesige, öffentliche Bank vor, in der jeder jede Transaktion einsehen kann. Um nachzuweisen, dass Sie Ihr Geld besitzen, signieren Sie Transaktionen mit einem digitalen „Fingerabdruck", der als Signatur bezeichnet wird.

Um diesen Fingerabdruck zu erstellen, erfordert die Mathematik eine spezielle, einmalige geheime Zahl, die als Nonce (nennen wir sie das „Geheime Ticket") bezeichnet wird.

Die Regel: Sie müssen für jede einzelne Transaktion ein brandneues, völlig zufälliges Geheimes Ticket generieren.
Der Fehler: Wenn Sie dasselbe Geheime Ticket zweimal verwenden oder Tickets nutzen, die einem vorhersehbaren Muster folgen (wie 1, 2, 3...), bricht die Mathematik zusammen. Es ist, als würden Sie dasselbe Passwort für zwei verschiedene Bankkonten verwenden; sobald ein Hacker eines knackt, haben sie den Schlüssel zum anderen.

Die Bösewichte: Die „MEV-Sucher"

Das Papier konzentriert sich auf eine bestimmte Gruppe von Personen, die MEV-Sucher genannt werden. Denken Sie an sie als Hochgeschwindigkeits-Rennfahrer in der Krypto-Welt. Ihre Aufgabe ist es, profitable Trades zu erkennen und sie schneller auszuführen als alle anderen.

Der Druck: Im Polygon-Netzwerk haben diese Fahrer ein winziges Zeitfenster (etwa 250 Millisekunden), um ihre Gebote einzureichen. Es ist, als müssten Sie ein Formel-1-Rennen gewinnen, wobei Sie weniger als einen Wimpernschlag Zeit haben, um einen Zug zu machen.
Die Abkürzung: Um diese kostbaren Mikrosekunden zu sparen, wurden einige Sucher faul. Anstatt sich die Zeit zu nehmen, für jedes Rennen ein frisches, zufälliges Geheimes Ticket zu generieren, begannen sie, alte Tickets wiederzuverwenden oder vorhersehbare Muster zu nutzen (wie Hochzählen: 100, 101, 102).

Der Angriff: Wie Hacker die Schlüssel stehlen

Die Forscher stellten fest, dass diese Sucher, weil sie ihre Geheimen Tickets wieder verwendeten oder vorhersagten, eine Spur von Hinweisen auf der öffentlichen Blockchain hinterließen.

Das Papier beschreibt drei Wege, wie dies schiefgeht, unter Verwendung der Metapher einer „Kettenreaktion":

Die Doppelbuchung (Einzelne Wallet): Ein Sucher verwendet dasselbe Geheime Ticket für zwei verschiedene Transaktionen.
- Analogie: Sie unterschreiben zwei Briefe mit exakt demselben unsichtbaren Tintencode. Ein Detektiv sieht beide Briefe, vergleicht sie und findet Ihren geheimen Code sofort heraus.
Das Muster (Lineare Beziehungen): Der Sucher verwendet Tickets, die einer einfachen mathematischen Regel folgen (z. B. „Das nächste Ticket ist immer das vorherige plus 5").
- Analogie: Sie verwenden ein Zahlenschloss, bei dem die Zahlen immer um 5 erhöht werden. Ein Dieb erkennt das Muster und kann die nächste Zahl leicht erraten.
Die Kettenreaktion (Cross-Wallet-Kollisionen) – Die große Entdeckung: Dies ist der gefährlichste Teil. Zwei unterschiedliche Sucher (oder zwei verschiedene Wallets derselben Person) verwenden versehentlich dasselbe Geheime Ticket für ihre Transaktionen.
- Analogie: Stellen Sie sich vor, zwei verschiedene Personen, Alice und Bob, verwenden beide dasselbe „Geheime Ticket", um ihre Schecks zu unterschreiben. Ein Hacker sieht beide Schecks. Durch den Vergleich kann der Hacker ein einfaches mathematisches Rätsel lösen, um sowohl Alices als auch Bobs geheime Schlüssel gleichzeitig herauszufinden.
- Das Ergebnis: Ein einziger Fehler kompromittiert nicht nur ein Konto, sondern eine ganze Kette verbundener Konten. Wenn Sie ein Glied in der Kette brechen, fällt die gesamte Kette auseinander.

Die Beweise

Die Forscher entwickelten ein Werkzeug, um die Polygon-Blockchain zu scannen. Sie fanden echte Beispiele dafür, dass dies passierte.

Sie sahen Transaktionen, bei denen die „Geheimen Tickets" identisch waren oder einer vorhersehbaren Linie folgten.
Sie verwendeten einfache Algebra (die Art, die man vielleicht in der High School lernt), um die Gleichungen zu lösen, die durch diese Fehler entstanden waren.
Das Ergebnis: Sie konnten erfolgreich die privaten Schlüssel der Sucher wiederherstellen. Das bedeutet, sie hätten alle Gelder in diesen Wallets stehlen können. Die Sucher hörten schließlich auf, dies zu tun, nachdem sie erkannten, dass sie verwundbar waren, aber der Schaden war bereits in der öffentlichen Aufzeichnung geschehen.

Die Lehre: Geschwindigkeit vs. Sicherheit

Das Papier kommt zu dem Schluss, dass der Druck, schnell zu sein (Reaktionszeiten unter einer Sekunde), diese Fachleute dazu brachte, einen vitalen Sicherheitsschritt zu überspringen.

Die Erkenntnis: In der Welt der Krypto kann ein einziger fauler Fehler beim Generieren einer zufälligen Zahl zu einem totalen finanziellen Ruin führen.
Die Lösung: Die Autoren schlagen vor, dass Entwickler strenge, automatische Regeln verwenden sollten (wie eine Maschine, die jedes Mal eine neue Zufallszahl garantiert), anstatt sich auf menschliche oder Software-Abkürzungen zu verlassen. Sie schlagen auch vor, dass die Industrie Entwickler lehren muss, dass „Zufälligkeit" keine Option ist – sie ist das Fundament der Sicherheit.

Kurz gesagt: Das Rennen um Geschwindigkeit ließ einige Krypto-Fahrer ihre Sicherheitsausrüstung vernachlässigen. Die Forscher zeigten, dass jeder, indem er auf die Bremspuren (die wiederverwendeten Zahlen) schaute, leicht ihre Autos stehlen konnte.

Technische Zusammenfassung: Kettenreaktionen im Polygon-MEV-Umfeld

Problemstellung

Die Arbeit identifiziert eine kritische Schwachstelle im Ökosystem von Polygon MEV (Maximal Extractable Value): die systematische Wiederverwendung von Nonces ( $k$ ) in ECDSA-Signaturen. Während die Sicherheit von ECDSA auf der Annahme beruht, dass jede Nonce ein frisches, unvorhersehbares Geheimnis ist, haben der extreme Latenzdruck bei versiegelten Gebotsauktionen (insbesondere die FastLane-Auktionen von Polygon, die Antwortzeiten unter 250 ms erfordern) MEV-Sucher dazu veranlasst, vorhersagbare Muster zur Nonce-Generierung zu übernehmen.

Dieses Verhalten schafft eine Verwundbarkeit im Sinne einer „Kettenreaktion", bei der:

Nonce-Wiederverwendung: Sucher verwenden Nonces erneut, um den Rechenaufwand und die Latenz zu minimieren.
Cross-Wallet-Kollisionen: Mehrere verschiedene private Schlüssel (gehörend unterschiedlichen Suchern oder Wallets) signieren versehentlich Transaktionen unter Verwendung derselben Nonce.
Katastrophales Versagen: Diese Kollisionen ermöglichen passiven Angreifern, private Schlüssel mittels elementarer linearer Algebra wiederherzustellen, was zu irreversiblen finanziellen Verlusten führt.

Methodik

Die Autoren wenden einen mathematischen und empirischen Ansatz an, um die Schwachstelle zu demonstrieren und zu validieren:

1. Mathematische Formulierung

Die Arbeit modelliert die ECDSA-Signaturgleichung $s \equiv k^{-1}(e + xr) \pmod n$ , um lineare Beziehungen zwischen Signaturen abzuleiten. Sie kategorisiert die Bedrohung in drei eskalierende Bedingungen:

C1 (Wiederverwendung innerhalb eines Wallets): Ein Unterzeichner verwendet $k$ für mehrere Nachrichten erneut. Dies ermöglicht die direkte Berechnung von $k$ und anschließend des privaten Schlüssels $x$ .
C2 (Lineare Beziehungen): Nonces folgen einem vorhersagbaren linearen Muster ( $k_i = \alpha_i k_0 + \beta_i$ ). Die Autoren formulieren ein System linearer Gleichungen, um die Unbekannten $x$ und $k_0$ zu lösen.
C3 (Cross-Wallet-Kollisionen): Zwei verschiedene private Schlüssel ( $d_A, d_B$ ) signieren mit derselben Nonce $k$ . Die Arbeit zeigt, dass zwei solche Kollisionen genau genügend unabhängige lineare Gleichungen liefern, um beide privaten Schlüssel gleichzeitig zu lösen. Dies wird als Matrixproblem formuliert:
$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$

2. Empirische Analyse

Die Autoren entwickelten benutzerdefinierte Python-Tools, um On-Chain-Daten aus Polygon-Blöcken zu scannen. Sie zielten speziell auf Transaktionsprotokolle im Zusammenhang mit MEV-Aktivitäten ab, um Folgendes zu erkennen:

Konstante $k$ -Werte.
Muster sequenzieller Wiederverwendung.
Cross-Wallet-Nonce-Kollisionen.

Wichtige Ergebnisse

Nachweis der Ausnutzung: Die Analyse bestätigte das Vorhandensein von „Collision 1" und „Collision 2" im Polygon-Netzwerk, bei denen verschiedene Wallet-Adressen identische Nonces teilten.
Wiederherstellung von Schlüsseln: Die Autoren konnten ihre Formulierung des linearen Systems erfolgreich nutzen, um die privaten Schlüssel der kompromittierten Wallets aus den öffentlichen Blockchain-Daten wiederherzustellen.
Kaskadierendes Risiko: Die Studie bestätigt, dass die Kompromittierung eines Wallets durch eine Nonce-Kollision jedes andere Wallet, das eine Nonce mit ihm geteilt hat, gefährdet, was eine risikobehaftete Kette im gesamten Ökosystem schafft.
Ursache: Die Schwachstelle wird direkt auf den Kompromiss zwischen kryptografischer Sicherheit und den Latenzanforderungen unter einer Sekunde bei versiegelten Gebotsauktionen zurückgeführt, was Sucher dazu bringt, Entropie für Geschwindigkeit zu opfern.

Bedeutung und Behauptungen

Die Arbeit positioniert sich sowohl als Warnung als auch als diagnostisches Toolkit. Ihre Hauptbeiträge sind:

Demonstration der „Kettenreaktion": Sie hebt hervor, wie ein einziger Implementierungsfehler (Nonce-Wiederverwendung) in einem wettbewerbsintensiven Umfeld mehrere Konten gleichzeitig kompromittieren kann und die Angriffsfläche über die Analyse einzelner Schlüssel hinaus erweitert.
Mathematisches Toolkit: Sie liefert eine kompakte Formulierung linearer Systeme, die das komplexe Problem der Schlüsselwiederherstellung auf das Lösen kleiner Systeme linearer Gleichungen reduziert und den Angriff für passive Beobachter zugänglich macht.
Validierung in der Praxis: Im Gegensatz zu theoretischen Studien präsentiert diese Arbeit konkrete Beweise dafür, dass diese Muster in einer produktiven Blockchain (Polygon) auftreten, und belegt, dass protokollbedingter Latenzdruck zu katastrophalen kryptografischen Ausfällen führen kann.

Die Autoren kommen zu dem Schluss, dass die Schwachstelle zwar in der kryptografischen Literatur gut verstanden ist, aber aufgrund von Implementierungsfehlern, die durch Leistungsanforderungen getrieben werden, in der Produktion fortbesteht. Sie plädieren für deterministische Nonce-Generierung (RFC 6979), kontinuierliche Überwachung auf wiederholte $r$ -Werte und eine Verschiebung der Industriestandards, um die Nonce-Sicherheit über Mikrosekunden-Gewinne bei der Latenz zu priorisieren. Die Arbeit stellt ausdrücklich fest, dass ihre Analyzeskripte öffentlich gemacht werden, um weitere Forschung und Tool-Entwicklung zu ermöglichen.