F5OS-A FIPS 모듈의 버퍼 오버플로우 및 셸 메타문자 주입을 통해 비트코인 개인 키 복구를 가능하게 하는 중요한 HSM 초기화 취약점인 CVE-2025-60013을 분석하는 익스플로잇 및 연구 저장소입니다.
이 논문은 현대 암호화 키 관리 인프라에서 발견된 암호화 취약점을 분석하며, 특히 하드웨어 보안 모듈(HSM)이 타원 곡선 개인 키를 처리할 때 발생하는 아키텍처의 치명적인 결함에 중점을 둡니다. 본 연구는 인증된 암호화 장치에서 충분히 격리되지 않은 RAM 관리를 악용하는 공격 클래스를 다룹니다. 현대 비트코인 암호화 생태계에서 개인 키 보안은 전 세계적으로 수조 달러에 달하는 디지털 자산을 보호하기 위한 기본 요구 사항입니다. 하드웨어 보안 모듈 (HSMs) 은 FIPS 140-2 표준으로 인증되어 하드웨어 수준의 격리와 엄격한 메모리 관리 프로토콜을 통해 암호화 키를 뚫을 수 없게 보호하는 것으로 전통적으로 간주되어 왔습니다. 그러나 F5OS-A FIPS HSM 모듈에서 발견된 치명적인 취약점 CVE-2025-60013 과 Scalar Venom Attack 공격 클래스(스칼라 포이즌(Scalar Poison), 메모리 팬텀 누출 공격(Memory Phantom Leak Attack), 또는 메모리 누출을 통한 개인 키 손상(Private Key Compromise via Memory Leakage)이라고도 함)의 결합은 메모리 관리 결함을 악용하여 비트코인 개인 키를 완전히 손상시킬 가능성을 입증함으로써 이러한 인식을 근본적으로 바꾸었습니다.
Scalar Venom 공격 은 (CWE-415, CWE-401로 분류되며, 더 넓게는 민감 메모리 누출 공격(Sensitive Memory Leak Attack, SMA)으로 분류되는) 메모리 관리 취약점의 중요한 클래스로, 암호화 연산 후 불충분한 정화 및 메모리 스크러빙을 악용하여 공격자가 프로세스의 RAM에서 암호화 스칼라(ECDSA 개인 키)를 추출할 수 있게 합니다. 타원 곡선 이산 로그 문제(ECDLP)를 수학적으로 해결하는 것을 목표로 하는 전통적인 암호해독 공격과 달리, 이 공격은 암호화 라이브러리 구현과 HSM 메모리 관리 프로토콜의 근본적인 아키텍처 결함을 악용하여 암호화 자체를 우회합니다.
이 연구는 CVE-2025-60013 ( F5OS-A FIPS HSM 초기화 취약점 특수 셸 메타문자를 포함한 비밀번호를 사용할 때)과 Scalar Venom Attack 기법을 결합할 때 발생하는 치명적인 공격 체인을 입증합니다. 그 결과 CVE-2025-60013이 중간 수준 취약점(CVSS 5.7)으로 공식 평가되었음에도 불구하고 CVSS 점수 9.5+(치명적)의 심각한 위협 시나리오가 발생합니다. 이러한 결합은 손상된 HSM이 제어하는 수백만 개의 비트코인 주소의 운영 무결성을 훼손하며, 기존의 단일 벡터 악용을 넘어서는 암호화 공격 방식의 패러다임 전환을 의미합니다.
CVE-2025-60013 은 F5 플랫폼용 FIPS 하드웨어 보안 모듈의 초기화 과정에서 발생하는 OS 명령 주입 취약점(CWE-78로 분류)입니다. 이 취약점은 관리자(Admin 또는 Resource Admin 역할) 권한을 가진 사용자가 특수 셸 메타문자를 포함한 비밀번호(예: [불명확], [불명확 ;] |, &[ $불명확], `등)를 사용하여 FIPS HSM 모듈을 초기화하려고 할 때 발생합니다.
취약점의 기술적 메커니즘:
HSM 초기화 코드는 셸 메타문자를 포함한 비밀번호를 처리할 때 입력을 제대로 검증하고 정화(sanitize)하지 않은 채 비밀번호 문자열을 시스템 C 라이브러리 함수에 전달합니다. 취약한 코드는 다음과 같습니다:
// Vulnerable code in HSM initialization procedure
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // VULNERABILITY: buffer overflow + shell interpretation
derive_key_from_password(master_key, password); // creates copies of key
// If initialization fails, memory is not cleared!
// master_key remains in the stack, its copies—in heap
}
심각한 결과: 초기화 프로세스는 부분적으로 손상된 암호화 구조와 함께 메모리에 남아 스택과 힙에 HSM 마스터 키의 여러 "팬텀(phantom)" 복사본을 생성합니다. HSM이 올바르게 초기화되지 않을 수 있지만, 프로세스의 메모리에는 포렌식 분석이 가능한 암호화 아티팩트가 포함됩니다.
공식 분류:
그러나 이 평가는 CVE-2025-60013이 Scalar Venom Attack의 트리거 역할 을 하므로 위협의 실제 규모를 심각하게 과소평가 합니다. 실제 공격 체인 시나리오에서는 CVSS 위협 수준 9.5+(CRITICAL)의 결과가 나타납니다.
CVE-2023-39910 은 개인 키 생성 중 엔트로피 생성의 약점과 관련된 Libbitcoin Explorer 버전 3.x의 심각한 취약점을 설명합니다. 이 취약점은 2023년 Milk Sad 사고로 이어졌으며, 그 당시 900,000개 이상의 비트코인 개인 키 가 복구되어 80만 달러 가 넘는 직접적인 금전적 손실이 발생했습니다. Milk Sad 사고는 암호화 시스템의 메모리 누출 이론에서 실제 운영 재앙으로의 전환을 입증했으며, 컴파일러 최적화, 다중 데이터 복사본, 메모리 정리 보장 부재 등 설명된 모든 메커니즘을 확인했습니다.
CVE-2025-8217 은 프로세스 메모리에서 암호화 키를 복구할 수 있게 하는 메모리 누출 공격을 분류합니다. 이 취약점은 Scalar Venom Attack 클래스와 직접적으로 관련되며, 포렌식 메모리 분석을 통한 비트코인 지갑의 완전한 손상 메커니즘을 설명합니다.
Scalar Venom Attack의 과학적 분류:
학술 연구 문헌에서 Scalar Venom은 여러 공격 범주로 분류됩니다:
