Résumé Technique : Réactions en Chaîne dans l'Écosystème MEV de Polygon

Énoncé du Problème

L'article identifie une vulnérabilité critique au sein de l'écosystème MEV (Maximal Extractable Value) de Polygon : la réutilisation systématique de nonces ($k$) dans les signatures ECDSA. Alors que la sécurité d'ECDSA repose sur l'hypothèse que chaque nonce est un secret frais et imprévisible, les pressions extrêmes liées à la latence des enchères à offres scellées (en particulier les enchères FastLane de Polygon exigeant des temps de réponse inférieurs à 250 ms) ont poussé les chercheurs MEV à adopter des modèles de génération de nonces prévisibles.

Ce comportement crée une vulnérabilité de « réaction en chaîne » où :

1. Réutilisation de Nonces : Les chercheurs réutilisent des nonces pour minimiser la surcharge de calcul et la latence.
2. Collisions Interportefeuilles : Plusieurs clés privées distinctes (appartenant à différents chercheurs ou portefeuilles) signent involontairement des transactions en utilisant le même nonce.
3. Défaillance Catastrophique : Ces collisions permettent à des attaquants passifs de récupérer des clés privées en utilisant de l'algèbre linéaire élémentaire, entraînant des pertes financières irréversibles.

Méthodologie

Les auteurs adoptent une approche mathématique et empirique pour démontrer et valider la vulnérabilité :

1. Formulation Mathématique

L'article modélise l'équation de signature ECDSA $s \equiv k^{-1}(e + xr) \pmod n$ afin de dériver des relations linéaires entre les signatures. Ils catégorisent la menace en trois conditions croissantes :

• C1 (Réutilisation au sein d'un seul portefeuille) : Un signataire réutilise $k$ pour plusieurs messages. Cela permet le calcul direct de $k$ et, par la suite, de la clé privée $x$.
• C2 (Relations linéaires) : Les nonces suivent un motif linéaire prévisible ($k_i = \alpha_i k_0 + \beta_i$). Les auteurs formulent un système d'équations linéaires pour résoudre les inconnues $x$ et $k_0$.
• C3 (Collisions interportefeuilles) : Deux clés privées différentes ($d_A, d_B$) signent avec le même nonce $k$. L'article démontre que deux telles collisions fournissent exactement le nombre suffisant d'équations linéaires indépendantes pour résoudre simultanément les deux clés privées. Cela se formule comme un problème matriciel :
  $$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$$

2. Analyse Empirique

Les auteurs ont développé des outils Python personnalisés pour analyser les données on-chain des blocs Polygon. Ils ont spécifiquement ciblé les journaux de transactions associés à l'activité MEV pour détecter :

• Des valeurs de $k$ constantes.
• Des motifs de réutilisation séquentielle.
• Des collisions de nonces interportefeuilles.

Résultats Clés

• Preuve d'Exploitation : L'analyse a confirmé l'existence de « Collision 1 » et « Collision 2 » sur le réseau Polygon, où des adresses de portefeuille distinctes partageaient des nonces identiques.
• Récupération de Clés : Les auteurs ont réussi à utiliser leur formulation de système linéaire pour récupérer les clés privées des portefeuilles compromis à partir des données publiques de la blockchain.
• Risque en Cascade : L'étude confirme que la compromission d'un portefeuille via une collision de nonce expose tous les autres portefeuilles ayant partagé un nonce avec lui, créant une chaîne de risque à l'échelle de l'écosystème.
• Cause Racine : La vulnérabilité est directement attribuée au compromis entre la sécurité cryptographique et les exigences de latence inférieure à la seconde des enchères à offres scellées, amenant les chercheurs à sacrifier l'entropie pour la vitesse.

Importance et Revendications

L'article se positionne à la fois comme un avertissement et comme une boîte à outils de diagnostic. Ses contributions principales sont :

1. Démonstration de la « Réaction en Chaîne » : Il met en évidence comment une seule erreur d'implémentation (réutilisation de nonce) dans un environnement concurrentiel peut compromettre plusieurs comptes simultanément, élargissant la surface d'attaque au-delà de l'analyse de clé unique.
2. Boîte à Outils Mathématique : Il fournit une formulation compacte de système linéaire qui réduit le problème complexe de la récupération de clés à la résolution de petits systèmes d'équations linéaires, rendant l'attaque accessible aux observateurs passifs.
3. Validation Réelle : Contrairement aux études théoriques, ce travail présente des preuves concrètes de l'occurrence de ces motifs sur une blockchain de production (Polygon), prouvant que les pressions de latence induites par le protocole peuvent mener à des défaillances cryptographiques catastrophiques.

Les auteurs concluent que, bien que la vulnérabilité soit bien comprise dans la littérature cryptographique, elle persiste en production en raison d'erreurs d'implémentation motivées par les exigences de performance. Ils préconisent une génération déterministe de nonces (RFC 6979), une surveillance continue des valeurs $r$ répétées, et un changement des normes de l'industrie pour privilégier la sécurité des nonces par rapport aux gains de latence en microsecondes. L'article indique explicitement que leurs scripts d'analyse seront rendus publics pour faciliter la recherche et les outils futurs.