Resumo Técnico: Reações em Cadeia no MEV da Polygon

Declaração do Problema

O artigo identifica uma vulnerabilidade crítica dentro do ecossistema MEV (Valor Máximo Extraível) da Polygon: a reutilização sistemática de nonces ($k$) em assinaturas ECDSA. Embora a segurança do ECDSA dependa da suposição de que cada nonce seja um segredo fresco e imprevisível, as pressões extremas de latência dos leilões de lances selados (especificamente os leilões FastLane da Polygon, que exigem tempos de resposta inferiores a 250 ms) levaram os buscadores de MEV a adotar padrões previsíveis de geração de nonces.

Esse comportamento cria uma vulnerabilidade de "reação em cadeia" onde:

1. Reutilização de Nonce: Buscadores reutilizam nonces para minimizar a sobrecarga computacional e a latência.
2. Colisões entre Carteiras: Múltiplas chaves privadas distintas (pertencentes a diferentes buscadores ou carteiras) assinam inadvertidamente transações usando o mesmo nonce.
3. Falha Catastrófica: Essas colisões permitem que atacantes passivos recuperem chaves privadas usando álgebra linear elementar, levando a perdas financeiras irreversíveis.

Metodologia

Os autores empregam uma abordagem matemática e empírica para demonstrar e validar a vulnerabilidade:

1. Formulação Matemática

O artigo modela a equação de assinatura ECDSA $s \equiv k^{-1}(e + xr) \pmod n$ para derivar relações lineares entre assinaturas. Eles categorizam a ameaça em três condições escalonadas:

• C1 (Reutilização em carteira única): Um signatário reutiliza $k$ para múltiplas mensagens. Isso permite o cálculo direto de $k$ e, subsequentemente, da chave privada $x$.
• C2 (Relações lineares): Nonces seguem um padrão linear previsível ($k_i = \alpha_i k_0 + \beta_i$). Os autores formulam um sistema de equações lineares para resolver as incógnitas $x$ e $k_0$.
• C3 (Colisões entre carteiras): Duas chaves privadas diferentes ($d_A, d_B$) assinam com o mesmo nonce $k$. O artigo demonstra que duas tais colisões fornecem exatamente o suficiente de equações lineares independentes para resolver ambas as chaves privadas simultaneamente. Isso é formulado como um problema de matriz:
  $$\begin{bmatrix} s_{B1}r_1 & -s_{A1}r_1 \\ s_{B2}r_2 & -s_{A2}r_2 \end{bmatrix} \begin{bmatrix} d_A \\ d_B \end{bmatrix} \equiv \begin{bmatrix} s_{A1}e_{B1} - s_{B1}e_{A1} \\ s_{A2}e_{B2} - s_{B2}e_{A2} \end{bmatrix} \pmod n$$

2. Análise Empírica

Os autores desenvolveram ferramentas Python personalizadas para escanear dados on-chain dos blocos da Polygon. Eles visaram especificamente registros de transações associados à atividade de MEV para detectar:

• Valores constantes de $k$.
• Padrões de reutilização sequencial.
• Colisões de nonce entre carteiras.

Resultados Principais

• Evidência de Exploração: A análise confirmou a existência de "Colisão 1" e "Colisão 2" na rede Polygon, onde endereços de carteira distintos compartilharam nonces idênticos.
• Recuperação de Chaves: Os autores utilizaram com sucesso sua formulação de sistema linear para recuperar as chaves privadas das carteiras comprometidas a partir dos dados públicos da blockchain.
• Risco em Cascata: O estudo confirma que comprometer uma carteira via colisão de nonce expõe todas as outras carteiras que compartilharam um nonce com ela, criando uma cadeia de risco em todo o ecossistema.
• Causa Raiz: A vulnerabilidade é atribuída diretamente ao trade-off entre segurança criptográfica e os requisitos de latência subsegundo dos leilões de lances selados, levando os buscadores a sacrificar entropia por velocidade.

Significado e Alegações

O artigo posiciona-se tanto como um alerta quanto como um kit de ferramentas de diagnóstico. Suas principais contribuições são:

1. Demonstração da "Reação em Cadeia": Destaca como um único erro de implementação (reutilização de nonce) em um ambiente competitivo pode comprometer múltiplas contas simultaneamente, expandindo a superfície de ataque além da análise de chave única.
2. Kit de Ferramentas Matemático: Fornece uma formulação compacta de sistema linear que reduz o problema complexo de recuperação de chaves à resolução de pequenos sistemas de equações lineares, tornando o ataque acessível a observadores passivos.
3. Validação do Mundo Real: Ao contrário de estudos teóricos, este trabalho apresenta evidências concretas desses padrões ocorrendo em uma blockchain de produção (Polygon), provando que pressões de latência induzidas pelo protocolo podem levar a falhas criptográficas catastróficas.

Os autores concluem que, embora a vulnerabilidade seja bem compreendida na literatura criptográfica, ela persiste na produção devido a erros de implementação impulsionados por demandas de desempenho. Eles defendem a geração determinística de nonces (RFC 6979), monitoramento contínuo de valores $r$ repetidos e uma mudança nos padrões da indústria para priorizar a segurança do nonce em detrimento de ganhos de latência em microssegundos. O artigo afirma explicitamente que seus scripts de análise serão tornados públicos para facilitar pesquisas e ferramentas futuras.