💻 computer science

Chain Reactions: How Nonce Collisions in ECDSA Compromise Polygon MEV Searchers

Questo documento rivela che il riutilizzo sistematico di nonce da parte dei cercatori MEV di Polygon, spinto dalle pressioni legate alla latenza nelle aste a offerta sigillata, genera pattern di firma prevedibili che consentono agli attaccanti di recuperare le chiavi private mediante algebra lineare elementare, compromettendo così simultaneamente più account.

Autori originali: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Pubblicato 2026-05-22

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Quadro Generale: L'Errore del "Numero Segreto"

Immagina la blockchain (come Polygon) come una banca pubblica e massiccia dove tutti possono vedere ogni transazione. Per dimostrare di possedere i tuoi fondi, firmi le transazioni con un'"impronta digitale" digitale chiamata firma.

Per creare questa impronta digitale, la matematica richiede un numero segreto speciale, usato una sola volta, chiamato nonce (chiamiamolo "Biglietto Segreto").

La Regola: Devi generare un Biglietto Segreto nuovo e completamente casuale per ogni singola transazione.
L'Errore: Se usi lo stesso Biglietto Segreto due volte, o se usi biglietti che seguono un modello prevedibile (come 1, 2, 3...), la matematica si rompe. È come usare la stessa password per due diversi conti bancari; una volta che un hacker ne cracca una, ha la chiave per l'altra.

I Cattivi: I "Cercatori MEV"

Il documento si concentra su un gruppo specifico di persone chiamate Cercatori MEV. Immaginali come piloti di auto da corsa ad alta velocità nel mondo delle criptovalute. Il loro lavoro è individuare scambi redditizi ed eseguirli più velocemente di chiunque altro.

La Pressione: Sulla rete Polygon, questi piloti hanno una finestra temporale minuscola (circa 250 millisecondi) per inviare le loro offerte. È come cercare di vincere una gara di Formula 1 dove hai meno di un battito di ciglia per compiere una mossa.
La Scorciatoia: Per risparmiare quei preziosi microsecondi, alcuni cercatori sono diventati pigri. Invece di dedicare il tempo necessario a generare un nuovo Biglietto Segreto casuale per ogni gara, hanno iniziato a riutilizzare vecchi biglietti o a usare modelli prevedibili (come contare in avanti: 100, 101, 102).

L'Attacco: Come gli Hacker Rubano le Chiavi

I ricercatori hanno scoperto che, poiché questi cercatori riutilizzavano o prevedevano i loro Biglietti Segreti, lasciavano una scia di indizi sulla blockchain pubblica.

Il documento descrive tre modi in cui ciò va storto, utilizzando una metafora di "Reazione a Catena":

La Doppia Prenotazione (Unico Portafoglio): Un ricercatore usa lo stesso Biglietto Segreto per due transazioni diverse.
- Analogia: Firmi due lettere con lo stesso identico codice a inchiostro invisibile. Un detective vede entrambe le lettere, le confronta e scopre istantaneamente il tuo codice segreto.
Il Modello (Relazioni Lineari): Il ricercatore usa biglietti che seguono una semplice regola matematica (es. "Il prossimo biglietto è sempre il precedente più 5").
- Analogia: Usi una serratura a combinazione dove i numeri aumentano sempre di 5. Un ladro vede il modello e può facilmente indovinare il numero successivo.
La Reazione a Catena (Collisioni tra Portafogli) – La Grande Scoperta: Questa è la parte più pericolosa. Due diversi cercatori (o due diversi portafogli appartenenti alla stessa persona) usano accidentalmente lo stesso Biglietto Segreto per le loro transazioni.
- Analogia: Immagina due persone diverse, Alice e Bob, che usano entrambe lo stesso "Biglietto Segreto" per firmare i loro assegni. Un hacker vede entrambi gli assegni. Confrontandoli, l'hacker può risolvere un semplice puzzle matematico per scoprire entrambe le chiavi segrete di Alice e Bob contemporaneamente.
- Il Risultato: Un singolo errore compromette non solo un account, ma un'intera catena di account collegati. Se rompi un anello della catena, l'intera catena crolla.

Le Prove

I ricercatori hanno costruito uno strumento per scansionare la blockchain di Polygon. Hanno trovato esempi reali di ciò che stava accadendo.

Hanno visto transazioni in cui i "Biglietti Segreti" erano identici o seguivano una linea prevedibile.
Hanno usato l'algebra semplice (quella che potresti imparare alle superiori) per risolvere le equazioni create da questi errori.
L'Esito: Hanno recuperato con successo le chiavi private dei cercatori. Questo significa che avrebbero potuto rubare tutti i fondi in quei portafogli. I cercatori hanno infine smesso di farlo dopo aver realizzato di essere vulnerabili, ma il danno era già stato fatto sulla registrazione pubblica.

La Lezione: Velocità contro Sicurezza

Il documento conclude che la pressione per essere veloci (tempi di risposta inferiori al secondo) ha spinto questi professionisti a saltare un passaggio di sicurezza vitale.

La Conclusione: Nel mondo delle criptovalute, un singolo errore di pigrizia nella generazione di un numero casuale può portare a un rovinoso fallimento finanziario totale.
La Soluzione: Gli autori suggeriscono che gli sviluppatori dovrebbero utilizzare regole rigorose e automatiche (come una macchina che garantisce un nuovo numero casuale ogni volta) piuttosto che affidarsi a scorciatoie umane o software. Suggeriscono inoltre che il settore deve insegnare agli sviluppatori che la "casualità" non è opzionale: è il fondamento della sicurezza.

In sintesi: La corsa per la velocità ha spinto alcuni piloti crypto a tagliare gli angoli sulla loro attrezzatura di sicurezza. I ricercatori hanno dimostrato che, guardando le strisce di frenata (i numeri riutilizzati), chiunque avrebbe potuto facilmente rubare le loro auto.

Riepilogo Tecnico: Reazioni a Catena nell'MEV di Polygon

Enunciato del Problema

Il documento identifica una vulnerabilità critica all'interno dell'ecosistema MEV (Maximal Extractable Value) di Polygon: il riutilizzo sistematico dei nonces ( $k$ ) nelle firme ECDSA. Mentre la sicurezza ECDSA si basa sull'assunzione che ogni nonce sia un segreto fresco e imprevedibile, le pressioni estreme di latenza delle aste a offerta sigillata (in particolare le aste FastLane di Polygon che richiedono tempi di risposta inferiori a 250 ms) hanno spinto i cercatori di MEV ad adottare pattern di generazione dei nonce prevedibili.

Questo comportamento crea una vulnerabilità a "reazione a catena" in cui:

Riutilizzo del Nonce: I cercatori riutilizzano i nonce per minimizzare l'overhead computazionale e la latenza.
Collisioni tra Portafogli: Chiavi private distinte (appartenenti a diversi cercatori o portafogli) firmano involontariamente transazioni utilizzando lo stesso nonce.
Fallimento Catastrofico: Queste collisioni permettono ad attaccanti passivi di recuperare le chiavi private utilizzando algebra lineare elementare, portando a perdite finanziarie irreversibili.

Metodologia

Gli autori adottano un approccio matematico ed empirico per dimostrare e validare la vulnerabilità:

1. Formulazione Matematica

Il documento modella l'equazione della firma ECDSA $s \equiv k^{-1}(e + xr) \pmod n$ per derivare relazioni lineari tra le firme. Classificano la minaccia in tre condizioni crescenti:

C1 (Riutilizzo in un singolo portafoglio): Un firmatario riutilizza $k$ per più messaggi. Ciò permette il calcolo diretto di $k$ e, successivamente, della chiave privata $x$ .
C2 (Relazioni lineari): I nonce seguono un pattern lineare prevedibile ( $k_i = \alpha_i k_0 + \beta_i$ ). Gli autori formulano un sistema di equazioni lineari per risolvere le incognite $x$ e $k_0$ .
C3 (Collisioni tra portafogli): Due diverse chiavi private ( $d_A, d_B$ ) firmano con lo stesso nonce $k$ . Il documento dimostra che due tali collisioni forniscono esattamente il numero sufficiente di equazioni lineari indipendenti per risolvere simultaneamente entrambe le chiavi private. Ciò è formulato come un problema matriciale:
$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$

2. Analisi Empirica

Gli autori hanno sviluppato strumenti Python personalizzati per scansionare i dati on-chain dai blocchi di Polygon. Hanno preso di mira specificamente i registri delle transazioni associati all'attività MEV per rilevare:

Valori di $k$ costanti.
Pattern di riutilizzo sequenziale.
Collisioni di nonce tra portafogli.

Risultati Chiave

Prove di Sfruttamento: L'analisi ha confermato l'esistenza di "Collisione 1" e "Collisione 2" sulla rete Polygon, dove indirizzi di portafogli distinti condividevano nonce identici.
Recupero delle Chiavi: Gli autori hanno utilizzato con successo la loro formulazione di sistema lineare per recuperare le chiavi private dei portafogli compromessi dai dati pubblici della blockchain.
Rischio a Cascata: Lo studio conferma che compromettere un portafoglio tramite una collisione di nonce espone ogni altro portafoglio che ha condiviso un nonce con esso, creando una catena di rischio a livello di ecosistema.
Causa Radice: La vulnerabilità è attribuita direttamente al compromesso tra sicurezza crittografica e i requisiti di latenza sub-secondo delle aste a offerta sigillata, portando i cercatori a sacrificare l'entropia per la velocità.

Significato e Affermazioni

Il documento si posiziona sia come avvertimento che come kit diagnostico. I suoi contributi principali sono:

Dimostrazione della "Reazione a Catena": Evidenzia come un singolo errore di implementazione (riutilizzo del nonce) in un ambiente competitivo possa compromettere più account simultaneamente, espandendo la superficie di attacco oltre l'analisi di una singola chiave.
Kit Matematico: Fornisce una formulazione compatta di sistema lineare che riduce il complesso problema del recupero delle chiavi alla risoluzione di piccoli sistemi di equazioni lineari, rendendo l'attacco accessibile a osservatori passivi.
Validazione nel Mondo Reale: A differenza degli studi teorici, questo lavoro presenta prove concrete di questi pattern che si verificano in una blockchain di produzione (Polygon), dimostrando che le pressioni di latenza indotte dal protocollo possono portare a fallimenti crittografici catastrofici.

Gli autori concludono che, sebbene la vulnerabilità sia ben compresa nella letteratura crittografica, persiste in produzione a causa di errori di implementazione guidati dalle esigenze di prestazioni. Promuovono la generazione deterministica dei nonce (RFC 6979), il monitoraggio continuo per valori $r$ ripetuti e un cambiamento negli standard di settore per dare priorità alla sicurezza del nonce rispetto ai guadagni di latenza in microsecondi. Il documento afferma esplicitamente che i loro script di analisi saranno resi pubblici per facilitare ulteriori ricerche e strumenti.