💻 computer science

Chain Reactions: How Nonce Collisions in ECDSA Compromise Polygon MEV Searchers

Dit artikel onthult dat systematisch hergebruik van nonce door Polygon MEV-zoekers, gedreven door latentiedruk in verzegelde biedingsveilingen, voorspelbare handtekeningpatronen creëert die aanvallen in staat stellen om via elementaire lineaire algebra privésleutels te herstellen, waardoor meerdere accounts gelijktijdig worden gecompromitteerd.

Oorspronkelijke auteurs: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Gepubliceerd 2026-05-22

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yash Madhwal, Andrey Seoev, Raffaele Della Pietra, Anastasiia Smirnova, Yury Yanovich

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: De "Geheim Getal"-Fout

Stel je de blockchain (zoals Polygon) voor als een enorme, openbare bank waar iedereen elke transactie kan zien. Om te bewijzen dat je je geld bezit, onderteken je transacties met een digitaal "vingerafdruk" genaamd een handtekening.

Om deze vingerafdruk te maken, vereist de wiskunde een speciaal, éénmalig geheim getal dat een nonce wordt genoemd (laten we het het "Geheim Ticket" noemen).

De Regel: Je moet voor elke enkele transactie een gloednieuw, volledig willekeurig Geheim Ticket genereren.
De Fout: Als je hetzelfde Geheim Ticket twee keer gebruikt, of als je tickets gebruikt die een voorspelbaar patroon volgen (zoals 1, 2, 3...), breekt de wiskunde. Het is alsof je hetzelfde wachtwoord gebruikt voor twee verschillende bankrekeningen; zodra een hacker één ervan kraakt, hebben ze de sleutel tot de andere.

De Schurken: De "MEV Zoekers"

Het artikel richt zich op een specifieke groep mensen die MEV Zoekers worden genoemd. Denk aan hen als supersnelle racecoureurs in de crypto-wereld. Hun baan is het opsporen van winstgevende transacties en deze sneller uit te voeren dan wie dan ook.

De Druk: Op het Polygon-netwerk hebben deze coureurs een miniem venster (ongeveer 250 milliseconden) om hun biedingen in te dienen. Het is alsof je probeert een Formule 1-race te winnen waarbij je minder dan een knipoog hebt om een zet te doen.
De Kortsluiting: Om die kostbare microseconden te besparen, werden sommige zoekers lui. In plaats van de tijd te nemen om voor elke race een vers, willekeurig Geheim Ticket te genereren, begonnen ze oude tickets te hergebruiken of voorspelbare patronen te gebruiken (zoals tellen: 100, 101, 102).

De Aanval: Hoe Hackers de Sleutels Stelen

De onderzoekers ontdekten dat omdat deze zoekers hun Geheim Tickets hergebruikten of voorspelden, ze een spoor van aanwijzingen achterlieten op de openbare blockchain.

Het artikel beschrijft drie manieren waarop dit misgaat, met behulp van een "Kettingreactie"-metafoor:

De Dubbelboeking (Enkele Wallet): Een zoeker gebruikt hetzelfde Geheim Ticket voor twee verschillende transacties.
- Analogie: Je ondertekent twee brieven met exact dezelfde onzichtbare inktcode. Een detective ziet beide brieven, vergelijkt ze en raadt direct je geheime code.
Het Patroon (Lineaire Relaties): De zoeker gebruikt tickets die een eenvoudige wiskundige regel volgen (bijvoorbeeld: "Het volgende ticket is altijd het vorige plus 5").
- Analogie: Je gebruikt een cijferslot waarbij de nummers altijd met 5 toenemen. Een dief ziet het patroon en kan het volgende nummer gemakkelijk raden.
De Kettingreactie (Kruis-Wallet Collisies) – De Grote Ontdekking: Dit is het gevaarlijkste deel. Twee verschillende zoekers (of twee verschillende wallets die tot dezelfde persoon behoren) gebruiken per ongeluk hetzelfde Geheim Ticket voor hun transacties.
- Analogie: Stel je voor dat twee verschillende mensen, Alice en Bob, beide hetzelfde "Geheim Ticket" gebruiken om hun cheques te ondertekenen. Een hacker ziet beide cheques. Door ze te vergelijken, kan de hacker een eenvoudige wiskundige puzzel oplossen om beide Alice's en Bob's geheime sleutels tegelijkertijd te achterhalen.
- Het Resultaat: Één fout compromitteert niet slechts één account, maar een hele keten van verbonden accounts. Als je één schakel in de keten breekt, valt de hele keten uit elkaar.

Het Bewijs

De onderzoekers bouwden een tool om de Polygon-blockchain te scannen. Ze vonden echte voorbeelden van dit gebeuren.

Ze zagen transacties waarbij de "Geheim Tickets" identiek waren of een voorspelbare lijn volgden.
Ze gebruikten eenvoudige algebra (het soort dat je op de middelbare school leert) om de vergelijkingen op te lossen die door deze fouten waren gecreëerd.
Het Resultaat: Ze slaagden erin de privésleutels van de zoekers te herstellen. Dit betekende dat ze al de fondsen in die wallets hadden kunnen stelen. De zoekers stopten uiteindelijk hiermee nadat ze beseften dat ze kwetsbaar waren, maar de schade was al gedaan op het openbare register.

De Les: Snelheid versus Veiligheid

Het artikel concludeert dat de druk om snel te zijn (reactietijden onder de seconde) deze professionals ertoe bracht een vitale veiligheidsstap over te slaan.

De Kernboodschap: In de wereld van crypto kan één luie fout bij het genereren van een willekeurig getal leiden tot totale financiële ondergang.
De Oplossing: De auteurs suggereren dat ontwikkelaars strikte, automatische regels moeten gebruiken (zoals een machine die elke keer een nieuw willekeurig getal garandeert) in plaats van te vertrouwen op menselijke of software-matige kortsluitingen. Ze suggereren ook dat de industrie ontwikkelaars moet leren dat "willekeurigheid" niet optioneel is – het is de basis van beveiliging.

Kortom: De race om snelheid bracht sommige crypto-coureurs ertoe om kortsluitingen te maken in hun veiligheidsuitrusting. De onderzoekers toonden aan dat door naar de slipsporen te kijken (de hergebruikte nummers), iedereen hun auto's gemakkelijk kon stelen.

Technische Samenvatting: Ketenreacties in Polygon MEV

Probleemstelling

Het artikel identificeert een kritieke kwetsbaarheid binnen het Polygon MEV-ecosysteem (Maximal Extractable Value): de systematische hergebruik van nonces ( $k$ ) in ECDSA-handtekeningen. Waar de ECDSA-beveiliging rust op de aanname dat elke nonce een frisse, onvoorspelbare geheim is, hebben de extreme latentiteitsdrukken van verzegelde biedingsveilingen (specifiek Polygon's FastLane-veilingen die responsietijden onder de 250 ms vereisen) MEV-zoekers ertoe aangezet voorspelbare nonce-generatiepatronen aan te nemen.

Dit gedrag creëert een kwetsbaarheid voor een "ketenreactie" waarbij:

Hergebruik van Nonces: Zoekers hergebruiken nonces om de rekenkundige overhead en latentiteit te minimaliseren.
Cross-Wallet Collities: Meerdere verschillende privésleutels (behorend tot verschillende zoekers of wallets) ondertekenen onbedoeld transacties met dezelfde nonce.
Catastrofaal Falen: Deze collities stellen passieve aanvallers in staat privésleutels te herstellen met behulp van elementaire lineaire algebra, wat leidt tot onomkeerbare financiële verliezen.

Methodologie

De auteurs hanteren een wiskundige en empirische aanpak om de kwetsbaarheid aan te tonen en te valideren:

1. Wiskundige Formulering

Het artikel modelleert de ECDSA-handtekeningvergelijking $s \equiv k^{-1}(e + xr) \pmod n$ om lineaire relaties tussen handtekeningen af te leiden. Ze categoriseren de dreiging in drie escalerende voorwaarden:

C1 (Hergebruik binnen één wallet): Een ondertekenaar hergebruikt $k$ voor meerdere berichten. Dit maakt directe berekening van $k$ en vervolgens de privésleutel $x$ mogelijk.
C2 (Lineaire relaties): Nonces volgen een voorspelbaar lineair patroon ( $k_i = \alpha_i k_0 + \beta_i$ ). De auteurs formuleren een stelsel lineaire vergelijkingen om de onbekenden $x$ en $k_0$ op te lossen.
C3 (Cross-wallet collities): Twee verschillende privésleutels ( $d_A, d_B$ ) ondertekenen met dezelfde nonce $k$ . Het artikel toont aan dat twee dergelijke collities precies voldoende onafhankelijke lineaire vergelijkingen bieden om beide privésleutels gelijktijdig op te lossen. Dit wordt geformuleerd als een matrixprobleem:
$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$

2. Empirische Analyse

De auteurs ontwikkelden aangepaste Python-tools om on-chain data van Polygon-blokken te scannen. Ze richtten zich specifiek op transactielogboeken geassocieerd met MEV-activiteit om te detecteren:

Constante $k$ -waarden.
Sequentiële hergebruikpatronen.
Cross-wallet nonce-collities.

Belangrijkste Resultaten

Bewijs van Exploitatie: De analyse bevestigde het bestaan van "Collision 1" en "Collision 2" op het Polygon-netwerk, waarbij verschillende wallet-adressen identieke nonces deelden.
Herstel van Sleutels: De auteurs slaagden er met succes in hun formulering voor lineaire systemen te gebruiken om de privésleutels van de gecompromitteerde wallets te herstellen uit de openbare blockchain-data.
Gekaskadeerd Risico: De studie bevestigt dat het compromitteren van één wallet via een nonce-collitie elke andere wallet blootlegt die een nonce met deze wallet deelde, waardoor een ecosysteem-brede risicoketen ontstaat.
Oorzaak: De kwetsbaarheid wordt direct toegeschreven aan de afweging tussen cryptografische beveiliging en de sub-seconden latentiteitsvereisten van verzegelde biedingsveilingen, wat zoekers ertoe aanzet entropie op te offeren voor snelheid.

Betekenis en Aanspraken

Het artikel positioneert zichzelf zowel als waarschuwing als diagnostisch toolkit. De primaire bijdragen zijn:

Aantonen van de "Ketenreactie": Het benadrukt hoe een enkele implementatiefout (hergebruik van nonces) in een competitieve omgeving meerdere accounts gelijktijdig kan compromitteren, waardoor het aanvalsoppervlak uitbreidt buiten de analyse van enkele sleutels.
Wiskundige Toolkit: Het biedt een compacte formulering voor lineaire systemen die het complexe probleem van sleutelherstel reduceert tot het oplossen van kleine stelsels lineaire vergelijkingen, waardoor de aanval toegankelijk wordt voor passieve waarnemers.
Validatie in de Wereld: In tegenstelling tot theoretische studies presenteert dit werk concreet bewijs dat deze patronen voorkomen in een productie-blockchain (Polygon), wat bewijst dat protocol-geïnduceerde latentiteitsdrukken kunnen leiden tot catastrofale cryptografische falen.

De auteurs concluderen dat hoewel de kwetsbaarheid goed begrepen is in de cryptografische literatuur, deze in productie blijft bestaan door implementatiefouten die worden aangedreven door prestatie-eisen. Zij pleiten voor deterministische nonce-generatie (RFC 6979), continue monitoring op herhaalde $r$ -waarden, en een verschuiving in industriestandaarden om nonce-beveiliging te prioriteren boven microseconde-latentiewinsten. Het artikel stelt expliciet dat hun analyse-scripts publiek zullen worden gemaakt om verder onderzoek en tooling te faciliteren.