Tim peneliti dari UC San Diego, Amerika Serikat, dan Inria, Institut Penelitian Ilmu Komputer Prancis, memalsukan tanda tangan digital pada Hardware Security Module (HSM). Mereka merekonstruksi fungsi stempel tanda tangan dari alat pengaman fisik ini tanpa pernah mengekstrak kunci privat yang ada di dalamnya. Temuan ini terbit dalam makalah ilmiah di IACR Cryptology ePrint Archive pada 20 September.
Riset ini menjadi uji stres bagi penyedia kustodi kripto institusional, seperti BitGo dan entitas enterprise lainnya. Kustodi tingkat institusi selama ini mengandalkan perangkat keras HSM yang kebal dari kerusakan fisik, dengan satu tujuan utama: memastikan kunci privat pelanggan tidak pernah terekspos ke lingkungan eksternal sama sekali.
Yang membuat temuan ini menonjol bukan tameng fisiknya yang hancur, melainkan celah matematis di balik sistemnya.
Mengirim Empat Miliar Angka Acak
Para peneliti mengawali langkahnya dengan menonaktifkan mode FIPS, sebuah pengaturan sertifikasi keamanan bawaan pada modul. Langkah ini membiarkan perangkat HSM mau menandatangani angka mentah tanpa format baku, berbekal akses dari sebuah kunci pengujian khusus.
Setelah pengaturannya mati, mereka mengirim permintaan masif ke modul pelindung itu. Peneliti menyodorkan sekitar empat miliar angka acak pilihan dan meminta perangkat menandatanganinya satu per satu. Setiap respons yang keluar dari modul kemudian melewati proses analisis matematis. Uji analitis atas jutaan data pancingan ini memberi tim peneliti jalan untuk membangun ulang fungsi stempel tanda tangan seutuhnya dari luar.
Algoritma kriptografi RSA menjadi target dari manuver ini. Standar keamanan yang dirumuskan pada 1977 oleh Ron Rivest, Leonard Adleman, dan Adi Shamir ini bertumpu pada sulitnya memfaktorkan perkalian dua bilangan prima besar. Lewat teknik ini, peneliti melompati proteksi fisik tanpa mencongkel isi kuncinya sedikit pun.
📌 Baca JugaZano Putar Balik Blockchain Sebulan Penuh Demi Selamatkan Pasokan - Tapi Transaksi Lintas Rantai Terlanjur Menggantung
Dampak bagi Bitcoin dan Ethereum
Bagi para pemegang kripto utama, kerentanan ini tidak menembus batas dompet mereka. Blockchain besar seperti Bitcoin dan Ethereum memakai algoritma tanda tangan kurva eliptik (ECDSA) dan Schnorr, bukan kriptografi RSA. Pemisahan algoritma ini memastikan sistem jaringan utama kebal dari metode manipulasi tanda tangan alat berbasis RSA.
Walau aset di jaringan utama lepas dari bahaya, eksperimen ini menjadi peringatan bagi industri penjaga kripto global. Penyedia kustodi tidak bisa lagi mengandalkan perlindungan dinding fisik semata, karena retasan nyatanya bisa tembus lewat miliaran kueri matematis.
Dilansir dari Decrypt.
Baca juga: Bitget Kebobolan $351 Juta Tanpa Kunci Privat - CEO Tuding Peretas Korea Utara
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
