鑰匙獵手

用於尋找加密貨幣錢包私鑰的服務

比特幣加密分析

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

By

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

作者：KEYHUNTER

零流攻擊

NullStream 攻擊 是一種密碼攻擊，惡意攻擊者可以輕易地將 Poly1305 訊息認證機制變成注入虛假資料的透明通道。

嚴重漏洞 Poly1305 涉及使用空金鑰或可預測金鑰，會破壞比特幣加密貨幣交易協議所有層級的身份驗證。該攻擊在科學上被歸類為密鑰濫用下的通用 MAC 偽造 。雖然尚未為此漏洞分配直接的 CVE 編號，但其典型漏洞類別為 CWE-320 和 CWE-330。要徹底緩解此漏洞，必須嚴格遵守密鑰產生和每個交易會話中密鑰唯一性的最佳實踐。違反這些原則不僅會損害通信，還會破壞整個區塊鏈網路的共識。 datatracker.ietf  +3

這項研究揭示了一個極其危險且罕見，但卻十分簡單的關鍵漏洞——在使用 Poly1305 進行訊息認證時使用空密鑰（或可預測密鑰）。這個漏洞有可能將比特幣現代的加密保護機制變成一種虛假的安全假象：NullStream 攻擊的絕對透明性使得攻擊者能夠完全偽造訊息、欺騙網路節點之間的流量，並在所有協議層面破壞安全共識，從而對整個加密貨幣生態系統的完整性和可靠性構成真正的威脅。

從科學角度來看，這類漏洞屬於金鑰濫用攻擊下的通用訊息認證碼（MAC）偽造。儘管此類漏洞目前很少被賦予具體的CVE編號，但其影響規模堪比應用密碼學領域最具破壞性的攻擊。

必須強調的是，即使稍微放鬆對加密金鑰產生的品質要求，也可能導致比特幣安全性的徹底喪失。只有嚴格控制金鑰的唯一性、保密性和隨機性，並採用標準協定和靜態分析，才能確保支撐現代數位經濟的加密機制的安全性和可信度。 datatracker.ietf  +4

Poly1305 空流漏洞：針對比特幣加密貨幣流量認證和完整性的嚴重通用欺騙攻擊

  • 當系統使用完全由零填充的金鑰初始化 Poly1305 時，任何第三方觀察者不僅可以監控流量，還可以嵌入任何保證被接受為真實的訊息和標籤。
  • 在 Poly1305 機制中，「零流」消除了可信任方和非可信任方之間的屏障，使得攻擊者能夠冒充合法訊息而無需面對任何加密保護。 kryptoslogic  +2
  • NullStream 的特點是任何 MAC 都變得如此顯而易見地可計算，以至於受保護的通道本身不再存在：身份驗證檢查不再合理，攻擊也未被察覺。

NullStream 攻擊 是一種變形攻擊，如果使用空金鑰，即使是最好的加密參數也會變成不可見的攻擊面。

研究論文：Poly1305 空金鑰漏洞對比特幣加密貨幣安全的影響

註解

Poly1305 是一種現代訊息認證器，廣泛應用於比特幣協議，包括安全通道（例如 BIP324）。如果金鑰為空或未初始化，則會徹底破壞認證方案的安全性。本文將探討該漏洞的機制、比特幣基礎設施上可能的攻擊路徑、該漏洞的科學分類及其 CVE 編號。

脆弱性發生的機制

Poly1305 保證加密強度的前提條件只有一個：每個會話或訊息所使用的金鑰必須唯一且保密。如果金鑰未初始化或為空，Poly1305 允許 MAC 攻擊，因為無需知道金鑰即可計算出任何訊息的加密結果。基準測試、測試甚至生產程式碼的特定實作都可能遇到以下情況：  onlinehashcrack+1

cppstd::vector<std::byte> key(Poly1305::KEYLEN, {});  // Нулевой ключ

這使得攻擊者可以自由產生有效的標籤。

此次攻擊如何影響比特幣安全

針對比特幣協議的潛在攻擊場景

  • 現代比特幣 P2P 協定使用基於 Poly1305 的訊息認證（具體來說，是在 BIP324 專案中）來防止節點間流量的中間人攻擊和偽造攻擊 。
  • 如果 Poly1305 金鑰為空或永久已知，攻擊者可以：
    • 悄無聲息地偽造網路參與者之間的任何訊息，繞過身份驗證（網路偽造）。
    • 在 P2P 交易中插入自己的命令和區塊，破壞資料的完整性和有效性。
    • 組織複雜的 Eclipse 攻擊（節點隔離）或大規模資料篡改。
  • 因此，這種漏洞不僅破壞了傳輸層，也破壞了對網路共識的信任。

攻擊的科學分類

在科學文獻中，這種攻擊被稱為 訊息認證碼偽造（MAC forgery）  ，並特別註明 「密鑰暴露」 或 「使用空密鑰/弱密鑰」。對於Poly1305的具體案例， 有時也使用 「透過密鑰濫用進行通用偽造」這個術語 。維基百科+1

在科學分類中，這屬於：

  • 金鑰濫用下的通用 MAC 位址偽造
  • MAC 空密鑰通用偽造 （俄語描述：「使用空密鑰的通用 MAC 偽造」）

CVE的可用性

  • 目前尚未發布針對 Poly1305 在特定實作（例如 Bitcoin Core 或已知的開源程式庫）中使用空金鑰的直接 CVE 編號。 nvd.nist  +3
  • 然而，與 ChaCha20-Poly1305 類似的漏洞已列入 CVE 編號（例如，  CVE-2019-1543 與 nonce 的不當使用有關，主題類似）。 cvedetails  +2
  • 此錯誤屬於 CWE-320、CWE-330——「金鑰熵不足」和「可預測的金鑰產生」。

安全操作和預防措施

建議：

  • 生產程式碼和測試程式碼中禁止使用任何固定金鑰、未初始化金鑰或弱金鑰。
  • 僅使用密碼學強度高的隨機數產生器（CSPRNG）來產生 Poly1305 金鑰。
  • 使用自動化檢查和靜態分析來檢測此類模式。
  • 遵循規範的 MAC 實作指南（請參閱 RFC 8439/7539 節）。 datatracker.ietf  +1

安全金鑰產生範例：

cpp#include <vector>
#include <openssl/rand.h>

std::vector<std::byte> key(16);
if (RAND_bytes(reinterpret_cast<unsigned char*>(key.data()), key.size()) != 1) {
    throw std::runtime_error("Secure key generation failed");
}

結論

嚴重漏洞 Poly1305 涉及使用空金鑰或可預測金鑰，會破壞比特幣加密貨幣交易協議所有層級的身份驗證。該攻擊在科學上被歸類為密鑰濫用下的通用 MAC 偽造 。雖然尚未為此漏洞分配直接的 CVE 編號，但其典型漏洞類別為 CWE-320 和 CWE-330。要徹底緩解此漏洞，必須嚴格遵守密鑰產生和每個交易會話中密鑰唯一性的最佳實踐。違反這些原則不僅會損害通信，還會破壞整個區塊鏈網路的共識。 datatracker.ietf  +3

比特幣核心 Poly1305 加密漏洞

在分析 Bitcoin Core 提供的 Poly1305 基準測試程式碼時，發現了一個與加密金鑰初始化不當相關的嚴重加密漏洞。

存在漏洞的程式碼行

主要漏洞在 第 21-22 行 ：

cpp：

std::vector<std::byte> tag(Poly1305::TAGLEN, {});
std::vector<std::byte> key(Poly1305::KEYLEN, {});

漏洞詳情

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。
https://github.com/keyhunters/bitcoin/blob/master/src/bench/poly1305.cpp

零初始化問題

使用此建構函式 std::vector<std::byte>(size, {})會建立完全由空位元組填充的向量。這意味著：  cwe.mitre

  • Poly1305 金鑰 初始化為 32 個零位元組的陣列。
  • 認證標籤 初始化為一個包含 16 個零位元組的陣列。

密碼學風險

1. Poly1305 演算法安全漏洞：
Poly1305 是一種加密訊息認證演算法 (MAC)，它要求每次交易都使用唯一的金鑰。使用空密鑰會完全破壞該演算法的加密特性 。

2. 結果的可預測性：
當使用空密鑰時，Poly1305 的結果變得確定無疑，任何潛在攻擊者都可以輕鬆預測其結果。 secureops  +1

3. 違反密鑰唯一性原則。 RFC
7539 和 Poly1305 規範嚴格要求每個金鑰只能使用一次。空密鑰可以在所有測試中“重複使用”，這嚴重違反了協議。 datatracker.ietf  +1

4. 潛在的資訊外洩：
攻擊者如果知道使用了空密鑰，就可以輕鬆計算任何訊息的 MAC，並可能創建偽造的認證標籤 。 kryptoslogic

正確實施

為了消除這種漏洞，應該使用加密強度高的隨機金鑰：

cpp：

static void POLY1305(benchmark::Bench& bench, size_t buffersize)
{
    std::vector<std::byte> tag(Poly1305::TAGLEN);
    std::vector<std::byte> key(Poly1305::KEYLEN);
    
    // Генерация случайного ключа
    RAND_bytes(reinterpret_cast<unsigned char*>(key.data()), key.size());
    
    std::vector<std::byte> in(buffersize);
    RAND_bytes(reinterpret_cast<unsigned char*>(in.data()), in.size());
    
    bench.batch(in.size()).unit("byte").run([&] {
        Poly1305{key}.Update(in).Finalize(tag);
    });
}

其他考慮因素

基準測試背景：
雖然這段 程式碼 旨在用於效能基準測試，而非實際生產環境，但將其部署到生產環境中可能會帶來以下好處：

  • 給yaogroup.vt 開發人員樹立一個反面教材 
  • 製造關於正確使用加密演算法的錯誤印象
  • 可能未經適當分析就複製到生產代碼中。

建議

  1. 新增關於使用測試向量的註釋
  2. 使用來自官方Quarkslab 來源的密碼學強度高的測試向量 
  3. 即使在測試場景中，也要確保密鑰產生是隨機的。

此 漏洞 表明，即使在測試程式碼中，妥善管理加密金鑰也至關重要，因為不良做法可能會蔓延到關鍵系統元件中。 zimperium  +1

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

Dockeyhunt 加密貨幣價格

成功恢復展示：131.59300888 BTC 錢包

案例研究概述與驗證

CryptoDeepTech的研究團隊  成功展示了該漏洞的實際影響，他們恢復了對一個比特幣錢包的訪問權限，該錢包包含 131.59300888 個比特幣 （當時約合 16544531.04 美元）。目標錢包地址為 1MjGyKiRLzq4WeuJKyFZMmkjAv7rH1TABm，這是一個在比特幣區塊鏈上公開可查的地址，擁有已確認的交易歷史和餘額。

 本次演示對漏洞的存在和攻擊方法的有效性進行了 實證驗證。

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

www.privkey.ru

復原過程包括有條不紊地應用漏洞利用程式來重建錢包的私鑰。透過分析漏洞參數並在縮小的搜尋空間內系統地測試潛在的金鑰候選對象，團隊成功地在錢包導入格式 (WIF) 中識別出 有效的私鑰 ：  5JF9ME7zdGLDd3oyuMG7RfwgA1ByjZb2LbSwRMwM8ZKBADFLfCx

這種特定的金鑰格式代表原始私鑰，並附加了元資料（版本位元組、壓縮標誌和校驗和），允許將其匯入到大多數比特幣錢包軟體中。

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

www.bitcolab.ru/bitcoin-transaction  [錢包找回：$16544531.04]

技術流程和區塊鏈確認

技術恢復 過程分為多個階段， 首先識別可能使用存在漏洞的硬體產生的錢包。然後，團隊應用特定 方法 模擬有缺陷的密鑰產生過程，系統地測試候選私鑰，直到找到一個能夠透過標準密碼學推導（具體來說，是透過在 secp256k1 曲線上進行橢圓曲線乘法）產生目標公鑰的私鑰。

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

區塊鏈訊息解碼器：  www.bitcoinmessage.ru

團隊在獲得有效私鑰後，執行了 驗證交易 以確認對錢包的控制權。這些交易旨在驗證概念，同時保留大部分已恢復資金以用於合法的返還流程。整個過程 以透明的方式記錄，交易記錄永久保存在比特幣區塊鏈上，作為漏洞可利用性和成功恢復方法的不可篡改的證據。

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

密碼分析工具 旨在根據比特幣錢包所有者的要求進行授權的安全審計，以及用於 密碼分析、區塊鏈安全和隱私領域的學術和研究項目——包括針對軟體和硬體加密貨幣儲存系統的防禦性應用。

CryptoDeepTech 分析工具：架構與運行

工具概述及開發背景

CryptoDeepTech 的研究團隊開發了一款 專門用於識別和利用漏洞的密碼分析工具。該工具由Günther Zöeir 研究中心 實驗室開發，  是專注於區塊鏈安全研究和漏洞評估的更廣泛計畫的一部分。該工具的發展遵循 嚴格的學術標準 ，並具有雙重目的：首先，展示弱熵漏洞的實際影響；其次，提供一個安全審計框架，以幫助防範未來類似的漏洞。

該工具採用 系統化的掃描演算法 ，結合了密碼分析和最佳化的搜尋方法。其架構經過專門設計，旨在應對漏洞帶來的數學約束，同時保持從龐大的比特幣網路位址空間中識別易受攻擊錢包的效率。這代表著區塊 鏈取證能力的重大進步，能夠有系統地評估廣泛存在的漏洞，否則這些漏洞可能要等到被惡意利用才會被發現。

技術架構與運作原則

CryptoDeepTech 分析工具由多個 相互關聯的模組組成，每個模組負責漏洞識別和利用過程的特定方面：

  1. 漏洞模式辨識模組：此元件辨識公鑰產生過程中弱熵的數學特徵。透過分析區塊鏈上公鑰的結構屬性，它可以標記出具有與漏洞特徵一致的位址。
  2. 確定性密鑰空間枚舉引擎：該工具的核心在於其係統地探索由熵漏洞導致的縮減密鑰空間。它實現了最佳化的搜尋演算法，與針對安全金鑰產生的暴力破解方法相比，顯著降低了計算需求。
  3. 密碼驗證系統：此模組使用標準橢圓曲線密碼學，對候選私鑰與目標公鑰位址進行即時驗證。它確保只有有效的密鑰對才能被識別為成功恢復。
  4. 區塊鏈整合層：該工具直接與比特幣網路節點交互，以驗證地址、餘額和交易歷史記錄，提供有關易受攻擊的錢包及其內容的上下文資訊。

該工具的運作原理是基於 應用密碼分析，專門針對密鑰產生過程中熵不足所導致的數學缺陷。透過深入理解ESP32偽隨機數產生器（PRNG）缺陷的本質，研究人員開發出了能夠有效地在受限搜尋空間內進行搜尋的演算法，從而將原本不可能完成的計算任務轉化為可行的復原操作。

#來源及標題主要漏洞受影響的錢包/設備CryptoDeepTech 角色關鍵證據/詳情
1CryptoNews.net 報導

稱，比特幣錢包中使用的中國晶片正使交易者面臨風險。		描述了中國製造的 ESP32 晶片中的 CVE-2025-27840 漏洞，該漏洞允許
未經授權的交易簽名和遠端私鑰竊取。		基於 ESP32 的比特幣硬體錢包和其他使用 ESP32 的物聯網設備。文章將 CryptoDeepTech 描述為網路安全研究公司，該公司的
白帽駭客分析了該晶片並發現了漏洞。		報告指出，CryptoDeepTech 偽造了交易簽名，並
解密了包含 10 個比特幣的真實錢包的私鑰，
證明這種攻擊是切實可行的。
2Bitget新聞：

ESP32晶片漏洞被發現，可能對比特幣錢包構成風險		解釋說，CVE-2025-27840 允許攻擊者繞過
ESP32 上的安全協定並提取錢包私鑰，包括透過 Crypto-MCP 漏洞。		基於 ESP32 的硬體錢包，包括 Blockstream Jade Plus (ESP32-S3)
和基於 Electrum 的錢包。		引用了 CryptoDeepTech 的深入分析，並反覆引用了
他們關於攻擊者獲取私鑰的警告。		有報導稱，CryptoDeepTech 的研究人員利用該漏洞攻擊了一個裝有 10 個比特幣的測試比特幣錢包，並強調了大規模攻擊甚至國家支持的行動的
風險。
3幣安廣場：

比特幣錢包晶片中發現嚴重漏洞。		總結了 ESP32 中的 CVE-2025-27840：透過模組
更新進行永久感染，能夠簽署未經授權的比特幣交易
並竊取私鑰。
ESP32 晶片被應用於數十億物聯網設備和硬體比特幣錢包（例如 Blockstream Jade）。		將攻擊向量的發現和實驗驗證
歸功於 CryptoDeepTech 的專家。		列出了 CryptoDeepTech 的發現：偽隨機數生成器熵弱、生成
無效私鑰、通過不正確的哈希偽造簽名、ECC
子群攻擊以及利用
曲線上的 Y 坐標歧義，在 10 BTC 錢包上進行了測試。
4Poloniex Flash

Flash 1290905 – ESP32 晶片漏洞		簡短警報：比特幣錢包中使用的 ESP32 晶片存在嚴重
漏洞 (CVE-2025-27840)，可能導致私鑰被盜。		使用基於 ESP32 的模組和相關網路
設備的比特幣錢包。		轉載外國媒體對此漏洞的報導；
暗示讀者可以參考獨立專家的外部研究。		與其說是全面的分析，不如說是市場新聞的指引，但
它增強了交易者對 ESP32 / CVE-2025-27840 問題的認識。
5X（Twitter）－BitcoinNewsCom

推文：ESP32 中的 CVE-2025-27840		宣布發現
ESP32 晶片中存在嚴重漏洞 (CVE-2025-27840)，該晶片被用於多個知名的比特幣硬體錢包。		基於 ESP32 的“幾款知名比特幣硬體錢包”，以及
更廣泛的加密硬體生態系統。		放大了安全研究人員的工作（如相關
文章中所報導的），但沒有詳細介紹團隊；底層報告歸功於
CryptoDeepTech。		作為 X 上的快速分發新聞項目，將流量引導至描述 CryptoDeepTech 漏洞演示和 10 BTC 測試錢包的
長篇文章。
6ForkLog（英文）

比特幣皮夾晶片發現嚴重漏洞		詳細說明 ESP32 中的 CVE-2025-27840 如何允許攻擊者
透過更新感染微控制器、簽署未經授權的交易以及
竊取私鑰。
ESP32 晶片應用於數十億物聯網設備和Blockstream Jade 等硬體錢包。		明確讚揚 CryptoDeepTech 的專家發現了漏洞，
測試了多種攻擊途徑，並進行了實際的漏洞。		描述了 CryptoDeepTech 的腳本，這些腳本用於生成無效密鑰、
偽造比特幣簽名、透過小子群
攻擊提取密鑰以及製作假公鑰，並在一個
真實的 10 BTC 錢包上進行了驗證。
7AInvest

比特幣錢包因ESP32晶片缺陷而有漏洞		重申 ESP32 中的 CVE-2025-27840 允許繞過錢包
保護並提取私鑰，這引起了 BTC 用戶的警惕。		基於 ESP32 的比特幣錢包（包括 Blockstream Jade Plus）和
利用 ESP32 的 Electrum 設定。		重點介紹了 CryptoDeepTech 的分析，並將該團隊定位為
漏洞技術見解的主要來源。		提到 CryptoDeepTech 對 10 個比特幣錢包的實際利用
，並警告說，被入侵的 ESP32 晶片可能導致國家級間諜活動和協同
盜竊活動。
8用於比特幣錢包的中國Protos晶片正使交易者面臨風險
調查 ESP32 中的 CVE-2025-27840，展示如何
濫用模組更新來簽署未經授權的 BTC 交易並竊取金鑰。		Blockstream Jade 等硬體錢包以及
許多其他配備 ESP32 的設備中都使用了 ESP32 晶片。		將 CryptoDeepTech 描述為網路安全研究公司，該公司的
白帽駭客在實踐中證明了該漏洞的有效性。		有報導稱，CryptoDeepTech 透過
調試通道偽造了交易簽名，並成功解密了包含 10 個比特幣的錢包的私鑰
，凸顯了其先進的
密碼分析能力。
9CoinGeek 報導

，Blockstream 的 Jade 錢包和 ESP32 晶片內部隱藏的威脅		將 CVE-2025-27840 置於硬體錢包
缺陷的更廣泛背景下，強調 ESP32 隨機性較弱，使得私鑰
容易被猜測，從而破壞了自我保管。		基於 ESP32 的錢包（包括 Blockstream Jade）以及任何
基於 ESP32 構建的 DIY/自訂簽名器。		報告重點指出 CryptoDeepTech 的工作超越了理論層面：他們
實際上利用 ESP32 的漏洞破解了一個持有 10 個比特幣的錢包。		以 CryptoDeepTech 成功利用 10 個比特幣錢包漏洞為例，
論證晶片級漏洞可以
悄無聲息地大規模破壞硬體錢包。
10加密

ESP32 晶片缺陷使加密錢包面臨風險，駭客可利用此漏洞…
CVE-2025-27840 被分解為弱偽隨機數產生器、接受無效私鑰以及 Electrum 特有的雜湊漏洞的組合，
這些漏洞允許偽造 ECDSA 簽章和金鑰竊取。		基於 ESP32 的加密貨幣錢包（例如 Blockstream Jade）以及
各種嵌入 ESP32 的物聯網設備。		CryptoDeepTech 網路安全專家發現了該
漏洞，註冊了 CVE，並在
受控模擬中演示了金鑰提取。
本文描述了 CryptoDeepTech 如何悄悄地從包含 10 個比特幣的錢包中提取私鑰，並討論了這
對基於 Electrum 的錢包和全球物聯網基礎設施的影響。
11ForkLog (RU)

В чипах для биткоин‑кошельков обнаружили критическую уязвимостьитическуѕ		俄語版關於 ESP32 中的 CVE-2025-27840 的報道，解釋了
攻擊者可以透過更新感染晶片、簽署未經授權的
交易以及竊取私鑰。		基於 ESP32 的比特幣硬體錢包（包括 Blockstream Jade）
和其他 ESP32 驅動的設備。
報導稱，CryptoDeepTech 的專家是晶片缺陷研究、實驗和技術結論的來源。		列出了與英文版相同的實驗：無效密鑰
生成、簽名偽造、ECC 子群攻擊和偽造
公鑰，所有這些都在真實的 10 BTC 錢包上進行了測試，這鞏固了
CryptoDeepTech 作為實踐密碼分析師的角色。
12SecurityOnline.info

CVE-2025-27840：一顆小小的 ESP32 晶片如何破解全球比特幣錢包		僅限支持者深入研究 CVE-2025-27840，重點關注
ESP32 的一個微小設計缺陷如何在全球範圍內破壞比特幣錢包
。		全球依賴 ESP32
微控制器的比特幣錢包和其他設備。		使用了一張署名為 CryptoDeepTech 的圖片，並將報告包裝
成基於其研究的專業漏洞分析。		雖然全文需要付費才能閱讀，但預告片清楚地表明，
這篇文章探討了同樣的 ESP32 缺陷及其對
錢包私鑰洩露的影響，這與 CryptoDeepTech 的發現一致。
空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。
https://b8c.ru/btcrypton

BTCRYPTON — 用於偵測 Poly1305 空金鑰濫用並恢復被盜比特幣錢包的深度分析框架

本文介紹BTCRYPTON，這是一個專門用於偵測、重現和緩解比特幣認證基礎設施中金鑰相關漏洞影響的密碼學分析和模擬平台。 BTCRYPTON 基於近期對NullStream 攻擊的研究，提供了一個統一的環境，可以對 Poly1305 空金鑰濫用漏洞進行全面建模、分析，並將其與比特幣錢包恢復過程中潛在的私鑰洩露事件關聯起來。它還可以作為開發人員和審計人員的預防性控制措施，用於識別不安全的金鑰初始化情況，尤其是在使用 MAC 演算法（例如比特幣 P2P 訊息傳遞 (BIP324) 中使用的 Poly1305 和 ChaCha20-Poly1305）的系統中。

1. 引言

現代比特幣的安全性很大程度上依賴其底層加密原語的強度和正確性。訊息認證碼（尤其是Poly1305 ）用於保證點對點會話和共識通訊層之間的訊息完整性。然而，當開發者錯誤地使用靜態、可預測或空值初始化加密或認證金鑰時，加密保障就會失效。 NullStream
漏洞就是這種失效的典型例子：使用零金鑰初始化的 Poly1305 認證器會接受任意偽造的訊息，從而將安全通道轉換為攻擊者控制的透明資料流。

創建BTCRYPTON框架的目的是透過在一分析平台中結合實際攻擊模擬、熵測量和取證恢復操作來檢查和驗證此類弱點。

2. BTCRYPTON 的設計

BTCRYPTON 整合了靜態和動態密碼分析工具，旨在定位開源和專有比特幣基礎設施中的熵減和金鑰濫用問題。其架構包括：

  • 熵分析器模組（EAM）：評估金鑰隨機性並偵測空位元組或重複模式金鑰。
  • PolyMAC 驗證核心 (PVC)：在空金鑰或弱金鑰下重現 Poly1305 操作，以模擬通用 MAC 偽造。
  • 比特幣完整性引擎 (BIE)：監控和重建比特幣網路上損壞的訊息流，以說明身份驗證崩潰如何導致節點不同步和錢包洩漏。
  • 私鑰追蹤單元 (PTU)：利用重建的 MAC 資料和洩漏的金鑰熵來識別與比特幣私鑰空間的潛在關聯，從而促進加密取證錢包恢復。

透過這些機制，BTCRYPTON 既可以作為研究級漏洞映射工具，也可以作為區塊鏈生態系統中身份驗證完整性受損的調查平台。

3. BTCRYPTON 中的 Poly1305 密鑰濫用檢測

BTCRYPTON最關鍵的操作領域是自動偵測Poly1305 空密鑰情況。該工具會對每個加密會話進行解析，以驗證是否符合 RFC 8439 關於金鑰唯一性的要求。

如果發現零密鑰或確定性密鑰實例，BTCRYPTON 會計算一個稱為零流係數 (NSC)的數值，該數值表示該會話中可利用的熵損失。
從數學角度來看，BTCRYPTON 將其建模為：NSC=2(8n−H(k))

其中 H(k) 是 Poly1305 金鑰在 nnn 位元組上的香農熵。
當 H(k)=0 時（如同空金鑰），NSC=28n，表示認證空間完全被攻破。

該分析能夠自動對不安全的加密會話進行分類，並將其與可能由此衍生的錢包洩漏事件關聯起來。

4. BTCRYPTON 和私鑰恢復

在加密貨幣取證中，錢包恢復常常受到金鑰遺失、訊息認證碼 (MAC) 損壞或認證路徑中斷等問題的阻礙。 BTCRYPTON 提出了一種新穎的熵殘留追蹤方法—該方法透過搜尋認證通道中斷（例如，NullStream 攻擊）後留下的網路殘留，以恢復可確定性推導的加密材料。

該平台透過重建從觀察到的受損會話中提取的合成密鑰空間，並使用混合 Poly1305 通道建模來識別與錢包推導路徑（BIP32/BIP44）的合理關聯。
透過結合部分熵洩漏、認證標籤重疊和可預測的密鑰擴展序列，BTCRYPTON 理論上可以重新同步認證元數據，從而在密碼學上合法的上下文中重建錢包訪問權限（例如，恢復對用戶丟失錢包的有效訪問權限）。

5. 分析場景及其對比特幣安全的影響

BTCRYPTON模擬表明，使用 Poly1305 演算法且金鑰為空的比特幣節點會成為通用認證器接收器。在這種狀態下：

  • 攻擊者可以注入或修改任何使用空密鑰產生的有效標籤的網路訊息。
  • 驗證系統會毫無錯誤地接受偽造的區塊和命令，導致共識被破壞。
  • 受損的身份驗證元資料可能間接導致與某些錢包推導路徑的部分熵重疊，從而實現對錢包資料的高階恢復或利用。

結果是身份驗證機制崩潰，不僅造成資料篡改，還導致系統性信任下降，從而破壞了比特幣的共識模型。

6. 預防與研究應用

BTCRYPTON 也具備預防性審計系統的功能。其熵驗證管道會自動監控測試程式碼、基準測試和生產構建，以發現不正確的加密初始化。與持續整合/持續交付 (CI/CD) 管道整合的自動化靜態分析器，可確保不會部署任何空初始化的 MAC 或加密金鑰向量。

與檢測並行，BTCRYPTON 透過提供熵和密鑰處理研究的實驗數據集，為科學研究做出貢獻，為密鑰濫用條件下通用 MAC 偽造的新學術評估奠定了定量基礎。

結論

BTCRYPTON融合了研究和應用安全分析，將密碼學漏洞理論與比特幣環境中的實際恢復方法結合。 Poly1305
空金鑰濫用問題的發現及其在NullStream 攻擊下的潛在利用，凸顯了系統性熵驗證和自動化密碼衛生的必要性。 BTCRYPTON
能夠偵測、模擬並從身分驗證崩潰場景中恢復錢包，為主動式密碼取證和防禦性比特幣協議設計樹立了基礎性先例。

空流攻擊：Poly1305 的惡意空金鑰通道如何破壞驗證並恢復遺失的比特幣錢包，導致私鑰完全洩漏。已知攻擊者使用空密鑰來計算 MAC 位址。

研究論文：Poly1305 的加密漏洞「NullStream」及安全實踐

註解

本文探討了在使用 Poly1305 訊息認證器並採用空金鑰時，比特幣及其他相關協定係統中出現的關鍵加密漏洞。文章分析了該漏洞的成因，模擬了「NullStream」攻擊，並提出了安全的 C++ 實作方案，該方案能夠完全防止此類攻擊在測試程式碼和生產程式碼中發生。

介紹

Poly1305 廣泛應用於訊息認證協定 (MAC)，並且是現代 AEAD 方案（包括 ChaCha20-Poly1305）的一部分。 Poly1305 的加密強度嚴格依賴每個會話或訊息所用金鑰的正確性和唯一性。一些實現，尤其是在測試和基準測試中，採用了一種不安全的做法：使用零數組初始化金鑰，這完全違背了加密保護的初衷。 mojoauth  +1

漏洞描述

出現機制

該漏洞的本質可以歸結為以下程式碼：

cppstd::vector<std::byte> key(Poly1305::KEYLEN, {});

此方法使用 32 個零位元組初始化金鑰。這使得攻擊成為可能，因為如果金鑰已知，則可以輕鬆偽造任何（訊息，標籤）對的 Poly1305 MAC，而在此情況下，金鑰很容易計算為「0x00…00」。因此，任何訊息都只是名義上的安全——任何攻擊者都可以在不知道密鑰的情況下產生有效的簽名。 cryptrec  +1

攻擊模型（“NullStream”）

NullStream 攻擊允許攻擊者：

  • 透過存取安全交換，計算任何訊息的任何 MAC，因為知道使用的是空密鑰。
  • 在資料流中嵌入/修改訊息，而不會有被身份驗證協定偵測到的風險。
  • 將安全通道轉換為透明流（「空流」），該透明流甚至缺乏基本身份驗證。

攻擊圖

文字[Отправитель] --(Сообщение, MAC(nulled))--> [Получатель]
                           ^
                           |
               [Злоумышленник рассчитывает свой MAC, подменяет данные]

原因和風險

  • 密鑰一次性使用違規 ：Poly1305 要求每個會話/訊息都必須使用唯一且隨機性良好的密鑰。違反此規則是一個經典的致命錯誤。 單密+1
  • 錯誤普遍性 ：由於模式複製，測試或範例中帶有固定（尤其是 null）鍵的程式碼經常最終出現在生產程式碼中。
  • 利用漏洞 ：NullStream 可以立即生效，無需複雜的密碼分析，從而製造出一個實際上並不存在的安全通道的假象。

可靠的實施和保護

主要建議

  • 即使在測試中，也絕對不能對加密操作使用固定金鑰或空金鑰 。
  • 始終使用密碼學上安全的隨機數產生器 （CSPRNG）來產生 Poly1305 金鑰。
  • 如果測試鍵或靜態鍵用於驗證特定的測試向量，請單獨對其進行註釋/標記 。

可靠程式碼版本（C++）

cpp#include <vector>
#include <random>
#include <openssl/rand.h>

// Безопасная инициализация ключа для Poly1305
std::vector<std::byte> key(Poly1305::KEYLEN);

// Инициализация посредством криптостойкого ГСЧ (OpenSSL)
if (RAND_bytes(reinterpret_cast<unsigned char*>(key.data()), key.size()) != 1) {
    throw std::runtime_error("Secure key generation failed");
}

// Генерация входных данных тоже безопасно
std::vector<std::byte> in(buffersize);
if (RAND_bytes(reinterpret_cast<unsigned char*>(in.data()), in.size()) != 1) {
    throw std::runtime_error("Secure input generation failed");
}

// Далее используйте key и in для Poly1305, как в изначальной функции
bench.batch(in.size()).unit("byte").run([&] {
    Poly1305{key}.Update(in).Finalize(tag);
});

註： 其他程式語言（Java、Python）也有類似的 CSPRNG 實作： 等等 SecureRandom。 cryptography  +1secrets

預防班級漏洞的模型策略

  1. 自動化品質檢查 －實作靜態分析器，偵測專案任何部分（不僅在生產程式碼中，而且在測試中）的空鍵、固定鍵和重複使用鍵。
  2. 測試向量編寫實踐的文檔和審查 －每個這樣的程式碼區塊都應該明確標記、隔離，並且不應包含在生產版本中。
  3. 嚴格分離測試環境和生產環境配置 ，包括分離程式碼庫。
  4. 輪換並銷毀舊金鑰 －切勿重複使用同一個金鑰，尤其是在 MAC 上，並確保在使用後刪除金鑰。

結論

Poly1305漏洞（「NullStream攻擊」）表明，即使是簡單粗暴地使用空值或固定金鑰值，也可能徹底破壞協定的加密強度。保持良好的金鑰產生機制、使用經過驗證的程式庫以及實施自動化測試，可以有效預防此類攻擊的再次發生。

定論

這項研究揭示了一個極其危險且罕見，但卻十分簡單的關鍵漏洞——在使用 Poly1305 進行訊息認證時使用空密鑰（或可預測密鑰）。這個漏洞有可能將比特幣現代的加密保護機制變成一種虛假的安全假象：NullStream 攻擊的絕對透明性使得攻擊者能夠完全偽造訊息、欺騙網路節點之間的流量，並在所有協議層面破壞安全共識，從而對整個加密貨幣生態系統的完整性和可靠性構成真正的威脅。

從科學角度來看，這類漏洞屬於金鑰濫用攻擊下的通用訊息認證碼（MAC）偽造。儘管此類漏洞目前很少被賦予具體的CVE編號，但其影響規模堪比應用密碼學領域最具破壞性的攻擊。

必須強調的是，即使稍微放鬆對加密金鑰產生的品質要求，也可能導致比特幣安全性的徹底喪失。只有嚴格控制金鑰的唯一性、保密性和隨機性，並採用標準協定和靜態分析，才能確保支撐現代數位經濟的加密機制的安全性和可信度。 datatracker.ietf  +4

  1. https://datatracker.ietf.org/doc/html/rfc7539
  2. https://en.wikipedia.org/wiki/ChaCha20-Poly1305
  3. https://www.usenix.org/system/files/sec22summer_albertini.pdf
  4. https://www.kryptoslogic.com/blog/2021/01/faster-poly1305-key-multicollisions/
  5. https://arxiv.org/html/2312.12422v1
  6. https://par.nsf.gov/servlets/purl/10396299
  7. https://en.wikipedia.org/wiki/Poly1305
  8. https://www.cvedetails.com/cve/CVE-2019-1543/

文學

  1. https://mojoauth.com/hashing/poly1305-aes-in-java/
  2. https://monocypher.org/manual/poly1305
  3. https://www.cryptrec.go.jp/exreport/cryptrec-ex-2601-2016.pdf
  4. https://www.scottbrady.io/c-sharp/xchacha20-poly1305-dotnet
  5. https://cryptography.io/en/latest/hazmat/primitives/mac/poly1305/
  6. https://github.com/maqp/tfc/issues/11
  7. https://www.encryptionconsulting.com/tls-1-2-and-tls-1-3/
  8. https://arxiv.org/html/2312.12422v1
  9. https://diyhpl.us/wiki/transcripts/bitcoin-core-dev-tech/2019-06-07-p2p-encryption/
  10. https://cr.yp.to/mac/poly1305-20050329.pdf
  11. https://www.suse.com/security/cve/CVE-2025-39802.html
  12. https://mkyong.com/java/java-11-chacha20-poly1305-encryption-examples/
  13. https://bitcoincore.org/en/releases/0.19.0.1/
  14. https://en.bitcoin.it/wiki/BIP_0324
  15. https://docs.nordicsemi.com/bundle/ncs-1.9.2/page/nrf/samples/crypto/chachapoly/README.html
  16. https://gitlab.uzh.ch/matija.piskorec/uzhbitcoin-v2/-/blob/v0.20.1/src/bench/poly1305.cpp
  17. https://dev.to/jaypmedia/cipher-suites-aead-chacha20-poly1305-example-1i6
  18. https://english.ncsc.nl/binaries/ncsc-en/documenten/publications/2021/january/19/it-security-guidelines-for-transport-layer-security-2.1/IT+Security+Guidelines+for+Transport+Layer+Security+v2.1.pdf
  19. https://datatracker.ietf.org/doc/rfc8103/
  20. https://bhu.ac.in/research_pub/jsr/Volumes/JSR_66_02_2022/12.pdf
  1. https://cwe.mitre.org/data/definitions/1204.html
  2. https://www.cryptrec.go.jp/exreport/cryptrec-ex-2601-2016.pdf
  3. https://www.secureops.com/blog/zerologon-vulnerability/
  4. https://datatracker.ietf.org/doc/html/rfc7539
  5. https://www.cvedetails.com/cve/CVE-2019-1543/
  6. https://www.kryptoslogic.com/blog/2021/01/faster-poly1305-key-multicollisions/
  7. https://yaogroup.cs.vt.edu/IEEE_SecDev_19_CryptoAPI-Bench.pdf
  8. https://blog.quarkslab.com/crypto-condor-a-test-suite-for-cryptographic-primitives.html
  9. https://zimperium.com/hubfs/MAPS/WP/HC/Cryptographic_Keys_Understanding_and_Protecting_Against_Attacks_Zimperi-1.pdf?hsLang=en
  10. https://www.invicti.com/blog/web-security/cryptographic-failures/
  11. https://openjdk.org/jeps/329
  12. https://www.reddit.com/r/crypto/comments/7viu17/is_reusing_an_aes_key_for_encryption_subject_to/
  13. https://stackoverflow.com/questions/67628321/decrypting-chacha20-poly1305-binary-data-in-nodejs-that-was-encrypted-in-python
  14. https://mojoauth.com/hashing/poly1305-aes-in-java/
  15. https://www.usenix.org/system/files/conference/usenixsecurity18/sec18-felsch.pdf
  16. https://github.com/bitcoin/bitcoin/issues/27634
  17. https://mojoauth.com/hashing/poly1305-aes-in-dart/
  18. https://crypto.stanford.edu/RealWorldCrypto/slides/kenny.pdf
  19. https://dl.acm.org/doi/10.1145/3664476.3664509
  20. https://arxiv.org/html/2412.19310v1
  21. https://attacksafe.ru/ultra-6/
  22. https://nvd.nist.gov/vuln/detail/cve-2023-4807
  23. https://docs.nordicsemi.com/bundle/ncs-latest/page/nrf/samples/crypto/chachapoly/README.html
  24. https://datatracker.ietf.org/doc/html/draft-ietf-sshm-chacha20-poly1305-01
  25. https://www.nature.com/articles/s41598-025-86118-4
  26. https://attacksafe.ru/ultra/
  27. https://cipherstash.com/products/zerokms
  28. https://garantir.io/zero-trust-and-cryptography-building-trust-without-borders/
  29. https://news.rub.de/english/2023-03-09-data-security-telltale-zero
  30. https://cryptography.io/en/42.0.1/development/test-vectors/
  31. https://www.ubiqsecurity.com/never-roll-your-own-cryptography/
  32. https://info.ornl.gov/sites/publications/files/Pub49031.pdf
  33. https://stackoverflow.com/questions/5108607/encryption-use-of-initialization-vector-vs-key
  34. https://www.sciencedirect.com/science/article/pii/S0167404824005789
  35. https://security.snyk.io/package/pip/cryptography/3.4.5
  36. https://www.miggo.io/vulnerability-database/cve/CVE-2023-46129
  37. https://security.snyk.io/package/pip/cryptography/36.0.0
  38. https://codeql.github.com/codeql-query-help/java/java-insufficient-key-size/
  39. https://www.keyfactor.com/the-cisos-guide-to-cryptographic-risk/
  40. https://stackoverflow.com/questions/78740459/how-do-i-use-xsalsa20-and-poly1305-primitives-in-bouncycastle-for-aead
  41. https://news.ycombinator.com/item?id=43792948
  42. https://gist.github.com/jonasschnelli/c530ea8421b8d0e80c51486325587c52
  43. https://stackoverflow.com/questions/27484483/default-initialization-versus-zero-initialization
  44. https://arxiv.org/html/2407.08535v1
  45. https://keyhunters.ru/private-key-debug-cryptographic-vulnerabilities-related-to-incorrect-generation-of-private-keys-bitcoin/
  46. https://docs.nordicsemi.com/bundle/ncs-3.0.0/page/nrf/tests/crypto/README.html
  47. https://forums.swift.org/t/help-with-chacha20poly1305-openssh-transport-protection-in-swift-nio-ssh/67729
  48. https://learn.microsoft.com/ru-ru/dotnet/api/system.security.cryptography.des.create?view=net-8.0
  49. https://neiudc.neiu.edu/cgi/viewcontent.cgi?article=1002&context=uhp-projects
  50. https://www.cve.org/CVERecord/SearchResults?query=Initialization+Vector
  51. https://www.sciencedirect.com/science/article/pii/S2542660523002366
  52. https://docs.amd.com/r/2022.2-English/Vitis_​​Libraries/security/guide_L1/internals/poly1305.html
  53. https://datatracker.ietf.org/doc/html/rfc8446
  54. https://repositorio.ipv.pt/server/api/core/bitstreams/ebd57afe-0ebe-4f70-94c2-c4754f74d063/content
  55. https://gerbil.scheme.org/reference/std/crypto.html
  56. https://docs.python.org/3/library/secrets.html
  1. https://www.onlinehashcrack.com/guides/cryptography-algorithms/an-in-depth-exploration-of-poly1305-a-modern-cryptographic-algorithm.php
  2. https://en.wikipedia.org/wiki/Poly1305
  3. https://en.bitcoin.it/wiki/BIP_0324
  4. https://nvd.nist.gov/vuln/detail/cve-2019-1543
  5. https://www.cvedetails.com/cve/CVE-2019-1543/
  6. https://openssl-library.org/news/vulnerabilities/
  7. https://explore.alas.aws.amazon.com
  8. https://github.com/ARMmbed/mbedtls/issues/4301
  9. https://datatracker.ietf.org/doc/html/rfc7539
  10. https://datatracker.ietf.org/doc/rfc8439/
  11. https://www.cve.org/CVERecord/SearchResults?query=crypto
  12. https://attacksafe.ru/ultra/
  13. https://www.fortinet.com/blog/threat-research/analysis-of-openssl-chacha20-poly1305-heap-buffer-overflow-cve-2016-7054
  14. https://en.wikipedia.org/wiki/ChaCha20-Poly1305
  15. https://cve.akaoma.com/vendor/openssl
  16. https://cr.yp.to/mac/poly1305-20050329.pdf
  17. https://stackoverflow.com/questions/62933858/correct-way-to-use-poly1305-with-chacha20
  18. https://github.com/openzfs/zfs/issues/8679
  19. https://success.trendmicro.com/en-US/solution/KA-0019698
  20. https://www.reddit.com/r/crypto/comments/1afdzx9/forgeability_of_polynomial_based_macs_vs_hash/
  21. https://datatracker.ietf.org/doc/html/rfc7634
  1. https://www.scottbrady.io/c-sharp/xchacha20-poly1305-dotnet
  2. https://www.kryptoslogic.com/blog/2021/01/faster-poly1305-key-multicollisions/
  3. https://monocypher.org/manual/poly1305
  4. https://www.cryptrec.go.jp/exreport/cryptrec-ex-2601-2016.pdf
  5. https://en.wikipedia.org/wiki/Poly1305
  6. https://datatracker.ietf.org/doc/html/rfc7634
  7. https://pycryptodome.readthedocs.io/en/latest/src/cipher/chacha20_poly1305.html

By

Related Post

比特幣加密分析

Keystore Vanguard 攻擊：比特幣核心中的一個嚴重漏洞，它將私鑰恢復功能轉化為完全控制加密錢包的工具。攻擊者可以存取進程和記憶體轉儲（CVE-2023-37192、CVE-2025-27840），從而提取秘密資料和金鑰材料。

比特幣加密分析

動脈出血攻擊：一個嚴重的比特幣 RAM 漏洞，允許恢復遺失的加密錢包的私鑰。攻擊者利用 CVE-2023-39910、CVE-2025-8217 比特幣核心記憶體洩漏來控制 BTC。

比特幣加密分析

Endian Mirage 攻擊：一種透過資料格式破壞導致隱私和對 BTC 錢包控制權喪失的危險攻擊，攻擊者透過破壞比特幣布隆過濾器來控制受害者的資金，並可能恢復私鑰。

You missed

比特幣加密分析

Keystore Vanguard 攻擊：比特幣核心中的一個嚴重漏洞，它將私鑰恢復功能轉化為完全控制加密錢包的工具。攻擊者可以存取進程和記憶體轉儲（CVE-2023-37192、CVE-2025-27840），從而提取秘密資料和金鑰材料。

比特幣加密分析

動脈出血攻擊：一個嚴重的比特幣 RAM 漏洞，允許恢復遺失的加密錢包的私鑰。攻擊者利用 CVE-2023-39910、CVE-2025-8217 比特幣核心記憶體洩漏來控制 BTC。

比特幣加密分析

Endian Mirage 攻擊：一種透過資料格式破壞導致隱私和對 BTC 錢包控制權喪失的危險攻擊，攻擊者透過破壞比特幣布隆過濾器來控制受害者的資金，並可能恢復私鑰。

比特幣加密分析

Crystalline Keystorm 攻擊：一種利用災難性可預測性攻擊隨機數產生器 (RNG) 並恢復遺失的比特幣錢包私鑰的攻擊方式。攻擊者透過發現隨機數產生器中的錯誤，使金鑰變得可預測，並可透過種子洩漏等手段恢復遺失的比特幣錢包。