💻 computer science

Chain Reactions: How Nonce Collisions in ECDSA Compromise Polygon MEV Searchers

이 논문은 봉인 입찰에서의 지연 시간 압박에 기인한 Polygon MEV 검색자들의 체계적인 논스 재사용이 기본 선형 대수를 통해 개인키를 복원할 수 있는 예측 가능한 서명 패턴을 생성함으로써 여러 계정을 동시에 침해한다고 밝힌다.

원저자: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

게시일 2026-05-22

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

이 논문은 쉬운 언어와 일상적인 비유를 사용하여 설명합니다.

큰 그림: "비밀 번호" 실수

블록체인 (폴리곤과 같은) 이 모든 사람이 모든 거래를 볼 수 있는 거대한 공개 은행이라고 상상해 보세요. 자신의 돈을 소유하고 있음을 증명하기 위해 서명이라는 디지털 "지문"으로 거래에 서명합니다.

이 지문을 생성하려면 논스(Secret Ticket 이라고 부르겠습니다) 라는 특수한 일회용 비밀 번호가 수학적으로 필요합니다.

규칙: 모든 단일 거래마다 완전히 새로운 무작위 비밀 번호를 생성해야 합니다.
실수: 같은 비밀 번호를 두 번 사용하거나, 예측 가능한 패턴 (1, 2, 3...) 을 따르는 번호를 사용하면 수학이 깨집니다. 이는 두 개의 다른 은행 계좌에 같은 비밀번호를 사용하는 것과 같습니다. 해커가 하나를 뚫으면 다른 계좌의 열쇠도 갖게 되는 것입니다.

악당들: "MEV 서치러"

이 논문은 MEV 서치러라는 특정 그룹에 초점을 맞춥니다. 그들은 암호화폐 세계의 고속 레이싱 드라이버라고 생각하세요. 그들의 일은 수익성 있는 거래를 찾아내고 다른 누구보다 빠르게 실행하는 것입니다.

압박: 폴리곤 네트워크에서 이러한 드라이버는 입찰을 제출할 수 있는 아주 짧은 시간 (약 250 밀리초) 만 있습니다. 이는 눈 깜짝할 사이에 움직임을 만들어내야 하는 포뮬러 1 레이싱을 이기는 것과 같습니다.
단순화: 소중한 마이크로초를 절약하기 위해 일부 서치러들은 게을러졌습니다. 매 경기마다 새롭고 무작위인 비밀 번호를 생성하는 대신, 오래된 번호를 재사용하거나 예측 가능한 패턴 (100, 101, 102 와 같이 증가하는 것) 을 사용하기 시작했습니다.

공격: 해커가 열쇠를 훔치는 방법

연구자들은 이러한 서치러들이 비밀 번호를 재사용하거나 예측했기 때문에 공개 블록체인에 단서 흔적을 남겼음을 발견했습니다.

논문은 "연쇄 반응" 비유를 사용하여 이것이 어떻게 잘못되는지 세 가지 방식으로 설명합니다.

이중 예약 (단일 지갑): 서치러가 두 개의 서로 다른 거래에 같은 비밀 번호를 사용합니다.
- 비유: 두 개의 편지를 정확히 같은 보이지 않는 잉크 코드로 서명합니다. 형사가 두 편지를 보고 비교하면 즉시 당신의 비밀 코드를 알아냅니다.
패턴 (선형 관계): 서치러가 간단한 수학 규칙을 따르는 번호를 사용합니다 (예: "다음 번호는 항상 이전 번호에 5 를 더한 것").
- 비유: 숫자가 항상 5 씩 증가하는 조합 잠금 장치를 사용합니다. 도둑이 패턴을 보면 다음 숫자를 쉽게 추측할 수 있습니다.
연쇄 반응 (크로스 지갑 충돌) – 주요 발견: 이것이 가장 위험한 부분입니다. 두 명의 서로 다른 서치러 (또는 같은 사람의 두 개의 다른 지갑) 가 실수로 거래에 같은 비밀 번호를 사용합니다.
- 비유: 앨리스와 밥이라는 두 명의 다른 사람이 모두 같은 "비밀 번호"로 수표를 서명한다고 상상해 보세요. 해커가 두 수표를 모두 봅니다. 이를 비교함으로써 해커는 간단한 수학 퍼즐을 풀어 앨리스와 밥의 비밀 키를 동시에 알아낼 수 있습니다.
- 결과: 하나의 실수가 하나의 계좌뿐만 아니라 연결된 계좌 전체를 위협합니다. 사슬의 한 고리를 끊으면 사슬 전체가 무너집니다.

증거

연구자들은 폴리곤 블록체인을 스캔할 수 있는 도구를 구축했습니다. 그리고 이것이 실제로 발생하는 사례를 발견했습니다.

그들은 "비밀 번호"가 동일하거나 예측 가능한 선을 따르는 거래를 목격했습니다.
그들은 이러한 실수로 인해 생성된 방정식을 해결하기 위해 고등학교에서 배울 법한 간단한 대수학을 사용했습니다.
결과: 그들은 서치러들의 개인 키를 성공적으로 복구했습니다. 이는 그들이 해당 지갑의 모든 자금을 훔칠 수 있었다는 것을 의미합니다. 서치러들은 자신이 취약하다는 것을 깨닫고 결국 이를 중단했지만, 이미 공개 기록에 피해가 남았습니다.

교훈: 속도 대 안전

이 논문은 초단위 응답 시간이라는 속도 압박이 이러한 전문가들이 필수적인 안전 단계를 생략하게 만들었다고 결론지었습니다.

교훈: 암호화폐 세계에서는 무작위 번호 생성에서 한 번의 게으른 실수가 총체적인 재정 파탄으로 이어질 수 있습니다.
해결책: 저자들은 개발자들이 인간이나 소프트웨어의 단축키에 의존하기보다는 (매번 새로운 무작위 번호를 보장하는 기계처럼) 엄격하고 자동화된 규칙을 사용해야 한다고 제안합니다. 또한 업계는 개발자들에게 "무작위성"이 선택 사항이 아니라 보안의 기초임을 가르쳐야 한다고 제안합니다.

간단히 말해: 속도 경쟁으로 인해 일부 암호화폐 드라이버들이 안전 장비를 생략했습니다. 연구자들은 미끄럼 자국 (재사용된 숫자) 을 살펴봄으로써 누구나 쉽게 그들의 차를 훔칠 수 있음을 보여주었습니다.

기술 요약: 폴리곤 MEV 의 연쇄 반응

문제 진술

이 논문은 폴리곤 MEV(최대 추출 가능 가치) 생태계 내의 치명적인 취약점을 식별합니다: ECDSA 서명에서 논스 (nonce, $k$ ) 의 체계적 재사용입니다. ECDSA 보안은 각 논스가 새로운 예측 불가능한 비밀이라는 가정에 의존하지만, 봉인 입찰 경매 (특히 250ms 미만의 응답 시간이 요구되는 폴리곤의 FastLane 경매) 의 극심한 지연 시간 압박으로 인해 MEV 검색자들은 예측 가능한 논스 생성 패턴을 채택하게 되었습니다.

이러한 행동은 다음과 같은 "연쇄 반응" 취약점을 생성합니다:

논스 재사용: 검색자들은 계산 오버헤드와 지연 시간을 최소화하기 위해 논스를 재사용합니다.
크로스-지갑 충돌: 서로 다른 검색자나 지갑에 속한 여러 개의 서로 다른 개인 키가 실수로 동일한 논스를 사용하여 트랜잭션에 서명합니다.
재앙적 실패: 이러한 충돌은 수동 공격자가 기본 선형 대수를 사용하여 개인 키를 복구할 수 있게 하여, 되돌릴 수 없는 재정적 손실을 초래합니다.

방법론

저자들은 취약점을 증명하고 검증하기 위해 수학적 및 경험적 접근 방식을 사용합니다:

1. 수학적 공식화

이 논문은 $s \equiv k^{-1}(e + xr) \pmod n$ 인 ECDSA 서명 방정식을 모델링하여 서명 간의 선형 관계를 유도합니다. 그들은 위협을 세 가지 점증하는 조건으로 분류합니다:

C1 (단일 지갑 재사용): 서명자가 여러 메시지에 대해 $k$ 를 재사용합니다. 이를 통해 $k$ 를 직접 계산하고 이후 개인 키 $x$ 를 구할 수 있습니다.
C2 (선형 관계): 논스들은 예측 가능한 선형 패턴 ( $k_i = \alpha_i k_0 + \beta_i$ ) 을 따릅니다. 저자들은 미지수 $x$ 와 $k_0$ 를 풀기 위한 선형 방정식 시스템을 공식화합니다.
C3 (크로스-지갑 충돌): 두 개의 서로 다른 개인 키 ( $d_A, d_B$ ) 가 동일한 논스 $k$ 로 서명합니다. 논문은 두 개의 그러한 충돌이 두 개인 키를 동시에 풀기에 충분한 독립적인 선형 방정식을 정확히 제공함을 증명합니다. 이는 행렬 문제로 공식화됩니다:
$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$

2. 경험적 분석

저자들은 폴리곤 블록의 온체인 데이터를 스캔하기 위해 맞춤형 Python 도구를 개발했습니다. 그들은 특히 다음을 탐지하기 위해 MEV 활동과 관련된 트랜잭션 로그를 대상으로 삼았습니다:

일정한 $k$ 값.
순차적 재사용 패턴.
크로스-지갑 논스 충돌.

주요 결과

악용 증거: 분석은 서로 다른 지갑 주소가 동일한 논스를 공유했던 폴리곤 네트워크상의 "충돌 1"과 "충돌 2"의 존재를 확인했습니다.
키 복구: 저자들은 공개 블록체인 데이터로부터 손상된 지갑의 개인 키를 복구하기 위해 그들의 선형 시스템 공식화를 성공적으로 사용했습니다.
연쇄적 위험: 이 연구는 논스 충돌을 통해 하나의 지갑을 침해하는 것이 해당 지갑과 논스를 공유했던 모든 다른 지갑을 노출시켜 생태계 전체의 위험 연쇄를 생성함을 확인했습니다.
근본 원인: 이 취약점은 암호학적 보안과 봉인 입찰 경매의 초단위 지연 시간 요구 사항 사이의 트레이드오프로 인해 발생하며, 이로 인해 검색자들이 속도를 위해 엔트로피를 희생하게 됩니다.

중요성 및 주장

이 논문은 경고이자 진단 툴킷으로서의 위치를 차지합니다. 주요 기여점은 다음과 같습니다:

"연쇄 반응" 증명: 경쟁적인 환경에서 단일 구현 오류 (논스 재사용) 가 어떻게 여러 계정을 동시에 침해하여 단일 키 분석을 넘어 공격 표면을 확장하는지 강조합니다.
수학적 툴킷: 키 복구라는 복잡한 문제를 작은 선형 방정식 시스템을 푸는 문제로 축소하는 간결한 선형 시스템 공식화를 제공합니다. 이는 공격을 수동 관찰자에게 접근 가능하게 만듭니다.
실제 세계 검증: 이론적 연구와 달리, 이 작업은 프로덕션 블록체인 (폴리곤) 에서 이러한 패턴이 발생한다는 구체적인 증거를 제시하여, 프로토콜로 인한 지연 시간 압박이 재앙적인 암호학적 실패로 이어질 수 있음을 입증합니다.

저자들은 취약점이 암호학 문헌에서 잘 이해되고 있음에도 불구하고, 성능 요구 사항에 의해 주도되는 구현 오류로 인해 프로덕션 환경에서 지속된다고 결론지었습니다. 그들은 RFC 6979 와 같은 결정적 논스 생성, 반복되는 $r$ 값에 대한 지속적인 모니터링, 그리고 마이크로초 단위의 지연 시간 증가보다 논스 보안을 우선시하는 산업 표준의 전환을 옹호합니다. 논문은 추가 연구 및 툴링을 촉진하기 위해 분석 스크립트를 공개할 것이라고 명시적으로 밝힙니다.