گروهی از پژوهشگران دانشگاه کالیفرنیا در سن‌دیگو نشان دادند که می‌توان با ارسال چندین درخواست به یک ماژول امنیتی سخت‌افزاری (HSM)، امضای RSA با طول 1024 بیت را جعل کرد. در این مورد، کلید خصوصی هرگز از دستگاه استخراج نشد. این نتیجه نشان می‌دهد نگهداری کلید در سخت‌افزاری که در برابر دست‌کاری مقاوم است، به‌تنهایی کافی نیست؛ اگر مهاجم سامانه‌هایی را که مجاز به استفاده از کلید هستند هک کند، همچنان خطری برای متولیان دارایی‌های رمزارزی وجود دارد.

جعل امضایی که کلید هرگز آن را امضا نکرده است

لورا شیا، میرو هالر، آدام سوهل و نادیا هنینگر از دانشگاه کالیفرنیا در سن‌دیگو، به‌همراه امانوئل تومه از مؤسسه ملی پژوهش در علوم و فناوری دیجیتال فرانسه (Inria)، در مقاله IACR ePrint 2026/2131 توضیح می‌دهند که دسترسی موقت به یک اوراکل امضای خام RSA می‌تواند در نهایت امکان جعل آفلاین امضا را برای مهاجم فراهم کند.
این حمله شامل 2^32 درخواست پایه برای امضا بود؛ یعنی کمی بیش از 4.3 میلیارد درخواست که طی پنج ماه تقویمی، در مجموع به 1,380 سال‌هسته پردازشی نیاز داشت. بر اساس محاسبات پژوهشگران در مستندات پروژه، تجزیه همان مدول RSA با طول 1024 بیت حدود 500,000 تا 1,000,000 سال‌هسته زمان می‌برد. بیشتر محاسبات فقط یک‌بار و در مرحله پیش‌محاسبه انجام می‌شود؛ پس از آن، جعل یک امضای انتخابی باید حدود 180 سال‌هسته زمان ببرد.
الگوریتم مورد استفاده نخستین‌بار در سال 2007 ابداع شد. نکته تازه این است که تیم پژوهشی موفق شد حمله‌ای واقعی را اجرا کند؛ همان‌طور که بروس اشنایر در 28 سپتامبر اشاره کرد: «چیزی که تازه است، پیاده‌سازی آن است.» — بروس اشنایر

چرا امضای بدون پدگذاری، ترفند اصلی است

این نوع حمله محدودیت مهمی دارد: به یک اوراکل امضا یا رمزگشایی خام RSA، بدون پدگذاری، نیازمند است. امضاهای استاندارد RSA که از PKCS#1 v1.5 یا RSA-PSS استفاده می‌کنند چنین دسترسی‌ای فراهم نمی‌کنند. بنابراین، نمی‌توان این حمله را حمله‌ای عملی علیه RSA با پیاده‌سازی درست دانست.
به گزارش Decrypt، پژوهشگران حالت تأییدشده FIPS را در HSM غیرفعال کردند و از یک کلید آزمایشی متعلق به خودشان استفاده کردند. در مقاله آمده است که دسترسی به امضای خام ممکن است در رابط‌های برنامه‌نویسی کاربردی HSM و سامانه‌های امضای کور RSA وجود داشته باشد. مقاله همچنین به RFC 9474 اشاره می‌کند که نمونه‌ای از این وضعیت را توضیح می‌دهد: سرور پیام کورشده را امضا می‌کند، بی‌آنکه به پیام اصلی دسترسی داشته باشد.
این پژوهش برای نشان دادن سرعت انباشته‌شدن درخواست‌های هم‌زمان، به رقم 2.3 میلیارد دستگاه فعال اپل استناد می‌کند. اگر هر دستگاه در هر دقیقه یک توکن تولید کند، یک دستگاه به حدود 17 میلیون سال زمان نیاز دارد تا به 2^43 درخواست برسد. اما با در نظر گرفتن مجموع 2.3 میلیارد دستگاه، همین تعداد درخواست در حدود 2.3 روز انجام‌شدنی است.

رابط‌های امضا بخشی از محدوده امنیتی‌اند

برای متولیان دارایی‌های رمزارزی، نگه‌داشتن کلید خصوصی در گاوصندوق امنیت کامل را تضمین نمی‌کند. رابط‌های برنامه‌نویسی کاربردی، فرایندهای تأیید و سامانه‌های خودکاری که از کلید خصوصی استفاده می‌کنند، خودشان خطراتی دارند.
این نگرانی در صنعت نیز بازتاب یافته است. بر اساس نظرسنجی EY در سال 2026، امنیت دارایی‌های دیجیتال و همچنین رویه‌های امضای کلید در فرایند انتخاب متولی اهمیت بسیار بیشتری پیدا کرده‌اند. اقدام نظارتی مشترک ESMA که 8 ژوئیه آغاز شد نیز بر بررسی مدیریت کلید و ذخیره‌سازی، کنترل تراکنش‌ها و واکنش به رخدادها تمرکز دارد.
به گفته پژوهشگران، در RSA با اوراکل امضا، سطح امنیت برای کلیدهای متداول 1024 تا 4096 بیتی، 15 تا 30 بیت کمتر از برآوردهای مبتنی بر دشواری تجزیه است. در این مدل، RSA با طول 4096 بیت حتی امنیتی معادل رمزنگاری 128 بیتی هم فراهم نمی‌کند.

نه بیت‌کوین هک شده و نه اتریوم

این مقاله درباره RSA است. اتریوم از ECDSA مبتنی بر secp256k1 استفاده می‌کند و بیت‌کوین نیز از ECDSA و امضاهای شنور مبتنی بر secp256k1 بهره می‌برد؛ بنابراین، حمله‌ای که در این پژوهش نشان داده شده به سامانه‌های امضای تراکنش آن‌ها مربوط نمی‌شود.
بااین‌حال، خطرات نگه‌داری دارایی‌ها موضوع تازه‌ای نیست. گزارشی از Cryptopolitan در 20 سپتامبر نشان داد که مراجع امضای به‌خطر‌افتاده، حدود 2 میلیون دلار از Fetch.ai و NuNet برداشت کرده‌اند. در آن پرونده، یک فرد کلید را به دست آورده بود؛ اما این گزارش نشان می‌دهد مهاجم می‌تواند بدون دستیابی به خود کلید، اختیار امضا را به دست بگیرد.