https://time-friend.com/zh/tags/nonce/Recent content in Nonce on Time FriendHugozh-CNSat, 27 Jun 2026 17:29:00 +0000https://time-friend.com/zh/archive/secondfi-ed25519-nonce-signature-leak/Sat, 27 Jun 2026 17:29:00 +0000https://time-friend.com/zh/archive/secondfi-ed25519-nonce-signature-leak/<p>6 月底, Cardano 生态的 SecondFi 钱包(前身是知名的 Yoroi)出事, 圈内一片哗然。没有智能合约被黑, 没有私钥从设备上被偷走, 甚至没有钓鱼——攻击者只是&quot;读&quot;了区块链。短短三天, 374 个钱包约 1600 万 ADA(当时约 240 万美元)被洗劫一空, 官方又紧急把约 1.29 亿 ADA 转移到第三方托管抢救。</p> <p>更反常的是官方的警告: <strong>&ldquo;请不要把助记词恢复到其他 Cardano 钱包&rdquo;</strong>。通常只有助记词泄露才需要换钱包, 这次为什么反过来?</p> <p>因为这次的&quot;伤&quot;, 伤在签名上。</p> <h2 id="签名也会受伤">签名也会&quot;受伤&quot;</h2> <p>Cardano 用的是 Ed25519 签名。要理解它为什么出事, 先看签名是怎么算出来的:</p> <div class="mermaid-wrap"> <pre class="mermaid" role="img" aria-label="Mermaid diagram">flowchart TB A[交易哈希 M] --&gt; C B[密钥材料 kR&lt;br/&gt;保密] --&gt; C C[&#34;nonce r = SHA-512(kR || M)&lt;br/&gt;保密且不可预测&#34;] --&gt; D[签名运算] E[私钥] --&gt; D D --&gt; F[签名 → 永久上链]</pre> </div> <script type="module"> import mermaid from 'https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.esm.min.mjs'; mermaid.initialize({ startOnLoad: false, theme: 'base', themeVariables: { background: '#1d1f21', primaryColor: '#282c34', primaryBorderColor: '#3e4147', primaryTextColor: '#c9cacc', lineColor: '#5a5f66', edgeLabelBackground: '#1d1f21' } }); mermaid.run({ querySelector: 'pre.mermaid' }); </script> <p>签名靠一个&quot;一次性秘密&quot;保护, 在 Ed25519 里叫 <strong>nonce r</strong>: 它必须既保密、又不可预测。正确实现里, r 由密钥材料加交易哈希一起推导出来, 别人算不出 r, 也就没法从公开签名反推私钥。</p>