Schnorr/MuSig2 Nonce-Forensics: Da Assinatura ao Sistema de Invariantes Matemáticos Observáveis

Schnorr/MuSig2 Nonce-Forensics: Transformando Assinaturas em um Sistema de Invariantes Matemáticos Observáveis

Este artigo não trata de "quebrar o Bitcoin magicamente" ou de um botão sensacional para recuperar chaves privadas. Ele aborda algo diferente: como traduzir rigorosa e matematicamente as assinaturas Schnorr (BIP340) e MuSig2 (BIP327) do formato de "um par de números (r, s)" para um conjunto de restrições afins, uma família de nonces ocultos e funcionais estruturais mensuráveis. A ideia central do sistema é simples na formulação, mas profunda nas consequências: uma assinatura não é uma caixa preta, mas uma equação sobre escalares e pontos, da qual podemos recuperar a família de nonces ocultos como uma função do candidato a segredo e, subsequentemente, estudar a geometria dessa família.

O artigo detalha:

• Como funciona a ponte estrita de adesão ao BIP340 (BIP340 membership bridge).
• Por que o nonce oculto é naturalmente visto como uma função k_i(d') = s_i - e_i d' mod n.
• Como surgem as métricas de compressão (compression) e conectividade (connectivity).
• Como a assinatura parcial do MuSig2 é reduzida a uma forma afim válida pelo protocolo (protocol-valid affine-form).
• Quais resultados já foram confirmados por artefatos do projeto.
• O que exatamente é provado e o que não é afirmado.

Um ambiente de demonstração interativo está disponível no GitHub. Abra o arquivo HTML em qualquer navegador.

1. Por que um Linguagem Diferente para Assinaturas é Necessário?

A forma usual de pensar sobre uma assinatura é: existe uma chave pública, uma mensagem e uma assinatura; a verificação retorna "válido" ou "inválido". A maioria das ferramentas para por aí. No entanto, se o nosso interesse vai além da simples verificação e se estende à análise forense (forensics), isso é insuficiente. Precisamos abordar questões de outra natureza:

• Como separar rigorosamente as assinaturas corretas pelo protocolo de quaisquer sinais espúrios?
• É possível traduzir uma assinatura para uma representação afim normalizada?
• Podemos analisar não uma única assinatura, mas um conjunto de assinaturas de uma mesma chave?
• Podemos investigar a família de nonces induzida por um candidato a segredo, em vez de tentar adivinhar o nonce oculto diretamente?
• Podemos medir essa família através de métricas interpretáveis: colisões, repetição de deltas, massas de prefixo, conectividade local? É aqui que a análise forense de nonces (nonce-forensics) surge como uma disciplina distinta.

2. Álgebra Fundamental: secp256k1, x-only e Canonização Even-Y

O trabalho é realizado no grupo secp256k1. O campo é F_p, onde p = 2^256 - 2^32 - 977. A ordem do grupo é n = 0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEBAAEDCE6AF48A03BBFD25E8CD0364141. A base é G. Todas as equações escalares abaixo são entendidas módulo n. Para o BIP340, o modelo de chave pública x-only e o representante canônico even-Y são cruciais. Se P = d0 G, então no formato x-only, o segredo é efetivamente normalizado:

• d = d0 se y(d0 G) é par.
• d = n - d0 se y(d0 G) é ímpar.

O mesmo se aplica ao nonce: utiliza-se um escalar k tal que o ponto R = kG tenha uma representação even-Y. Isso pode parecer um detalhe técnico, mas na verdade ocorre algo importante: deixamos de trabalhar com o "sinal arbitrário" de um ponto e fixamos uma geometria de representação canônica.

3. BIP340 como Restrição Afim

Para uma mensagem m, uma chave pública x-only P_x e um nonce k, a assinatura BIP340 é definida como:

e = H(m) R = kG r = x(R) s = k * (e + r * d) mod n

Do ponto de vista da criptografia clássica, esta é uma assinatura padrão. Mas do ponto de vista do nonce-forensics, a última igualdade é o objeto chave:

s = k * e + k * r * d mod n

Esta é uma equação afim no nonce oculto k e no segredo d. É essa forma que abre a porta para análises posteriores.

4. Ponte Estrita de Adesão ao BIP340 (BIP340 Membership Bridge)

A verificação de assinatura no sistema é construída não como uma chamada de verify e esquecimento, mas como uma transição normalizadora. O ponto é recuperado:

R^* = rG e = H(m) s' = s mod n d_candidate = (s' * r^-1 - e) mod n P_candidate = d_candidate * G

Uma assinatura pertence à variedade BIP340 se e somente se as seguintes condições são satisfeitas simultaneamente:

• 0 <= r < p
• 0 <= s < n
• R^* != O (onde O é o ponto no infinito)
• y(R^*) é par (even)
• x(R^*) = r

Esta é a ponte de adesão (membership bridge).

Para que serve?

Ela resolve três tarefas de uma vez:

1. Separação de Falhas Diagnosticáveis: Distingue uma assinatura válida de uma inválida não por um simples bit de verdade, mas por uma razão de falha diagnosticável: r_out_of_field, s_out_of_range, r_star_is_infinity, r_star_odd_y, r_star_x_mismatch.
2. Normalização Geométrica: Traduz a string (r, s, P, m) para um ponto R^*, ou seja, uma forma geometricamente normalizada.
3. Proteção contra Sinais Falsos: Garante que análises forenses subsequentes não sejam afetadas por artefatos de parsing ou strings lixo, pois todas as métricas são calculadas apenas em strings que passaram pela ponte. Isso é crucial.

5. A Ideia Central: Nonce Oculto como Função do Candidato a Segredo

Da equação s = k * (e + r * d) mod n, segue naturalmente a definição:

k_i(d') = s_i - e_i d' mod n

Aqui, d' não é o segredo verdadeiro, mas um candidato. Se d' = d, então k_i(d') se torna o nonce canônico verdadeiro da string. Se d' != d, a família k_i(d') se torna uma construção pseudoaleatória com deslocamento afim. É daqui que surge toda a camada de nonce-forensics.

Reinterpretação Importante:

Normalmente, a tarefa é formulada como: "é possível recuperar o segredo d?". Uma formulação mais correta e poderosa é: "existe um funcional F tal que F({k_i(d)}) difere significativamente de F({k_i(d')}) para candidatos falsos?". Isso muda a discussão de slogans para propriedades matemáticas mensuráveis.

6. Por que uma Única Assinatura Diz Pouco?

Com uma única assinatura, todos os candidatos a segredo parecem semelhantes: apenas um número módulo n. No entanto, se considerarmos um conjunto de assinaturas da mesma chave pública x-only, para cada d' obtemos uma família inteira. É sobre esse conjunto que podemos medir:

• Número de colisões.
• Número de deltas diferentes.
• Densidade de prefixos altos.
• Clusters locais.
• Repetição paridade-simétrica.

Portanto, o centro do sistema não é uma assinatura individual, mas a geometria da família de nonces ocultos.

7. Modelo de Compressão: Como Medir a Compactação da Família

A compressão responde à pergunta: a família K(d') se torna mais compacta ao substituir um candidato a segredo específico?

• Número de Nonces Distintos: Mede a diversidade dos nonces gerados.
• Número de Colisões: Se houver cenários de reutilização (reuse), um d correto diminui U_k e aumenta C_k.
• Deltas Consecutivos: Analisa as diferenças entre nonces sequenciais.
• Número de Deltas Distintos: Mede a variedade das diferenças.
• Número de Deltas Repetidos: Em cenários de escada (ladder), um d correto diminui o número de deltas distintos.
• Métricas de Prefixo: Para um número de bits b, definimos métricas como U_pref_b. Candidatos corretos tendem a reduzir o número de prefixos altos distintos se os nonces tiverem um viés de prefixo (prefix bias).

Interpretação: Compressão não é uma "pontuação mágica", mas um conjunto de hipóteses transparentes: reutilização leva a colisões; escada leva à repetição de deltas; nonce curto leva a baixa entropia de prefixo alto; viés de prefixo leva a diversidade anômala de prefixos.

8. Modelo de Conectividade: Geometria Local em Vez de Agregados Globais

Enquanto a compressão olha para a compactação global, a conectividade examina a forma local da família.

• Duas Folhas de Assinatura: São construídas duas ramificações (por exemplo, baseadas em paridade) para capturar estruturas locais que poderiam ser mascaradas por simetrias globais.
• Modos de Vizinhança: Quatro modos de vizinhança (++, --, +-, -+) são considerados para analisar a relação entre pontos próximos.
• Métrica de Suporte de Delta Local: Uma métrica max_local_delta_support é introduzida para quantificar a repetição de diferenças locais.
• Massa de Delta Repetida: total_repeated_delta_mass mede a frequência com que uma diferença local específica ocorre.
• Suporte de Prefixo: Métricas como max_prefix128_support quantificam a persistência de prefixos em diferentes níveis de granularidade.

Interpretação: Conectividade é útil quando a estrutura se manifesta não como uma colisão grosseira, mas como deslocamentos locais repetidos, clusters de vizinhos próximos, folhas de prefixo estáveis ou simetrias entre as ramificações.

9. Por que MuSig2 Requer Matemática Separada?

O BIP340 tem uma forma simples. No MuSig2, a estrutura interna é ocultada pela agregação na assinatura final on-chain. Portanto, a mesma análise direta não pode ser aplicada à assinatura final. É necessário um input diferente: as assinaturas parciais (partial signatures) mais o contexto da sessão (session context). Esta é a transição fundamental: para o MuSig2, a análise forense deve operar nas assinaturas parciais válidas pelo protocolo com o contexto completo da sessão, não na assinatura final.

10. Linearização Afim Válida pelo Protocolo MuSig2

Para um participante usando dois nonces brutos (k1_raw, k2_raw) e pontos públicos correspondentes, o contexto completo da sessão permite recuperar a chave agregada (Q), o nonce agregado (R), o coeficiente do nonce (b), o desafio (e), o coeficiente de agregação de chave (a) e os fatores de paridade (g, gacc). A paridade da chave agregada (g) e do nonce agregado (par_nonce) são calculadas. Os componentes efetivos do nonce e o coeficiente efetivo do segredo são derivados. A assinatura parcial do participante, então, assume uma forma afim central: s_i = k_eff * (a * g * gacc * d_eff + b) mod n.

Isso significa que a assinatura parcial do MuSig2 permite uma linearização afim válida pelo protocolo, compatível com a mesma linguagem forense da assinatura BIP340. Subsequentemente, um análogo MuSig2 da família de nonces ocultos pode ser definido, e as mesmas classes de funcionais (compressão, suporte de prefixo, conectividade, classificação por grupo) podem ser aplicadas.

11. Dedup e Disciplina de Cegueira Estéril: Por que Não São Apenas "Brinquedos Gerados"?

Investigações desse tipo podem ser facilmente comprometidas por um reforço artificial do sinal. Por isso, a camada de disciplina de dados é crucial.

• Dedup por Pares de Nonce Brutos: Se duas strings contêm o mesmo par de nonces brutos, elas não são observações independentes. O corpo de auditoria pública de assinaturas parciais considera o número de strings, mensagens distintas, coeficientes c_i, k_eff e pares de nonces brutos. Isso protege a pesquisa de um falso "aumento de sinal".
• Separação de Público e Verdade: Cada caso cego (blind case) é dividido em uma camada pública (apenas campos observáveis) e um manifesto de verdade (truth manifest) (referencial fechado para verificação externa). A camada pública não contém campos secretos, tornando o benchmark estéril em termos de vazamento de valores verdadeiros.

12. O Que Já Foi Confirmado por Artefatos

Os resultados apresentados são aqueles refletidos em relatórios e corpos de teste do projeto:

• Vetores Oficiais BIP340: A ponte de adesão (membership bridge) concorda com os vetores oficiais, separando corretamente assinaturas válidas e inválidas.
• Assinaturas Reais de Key-Path Taproot: Assinaturas de transações reais foram escaneadas, verificadas e passaram pela ponte de adesão, sem falsos positivos em testes de estresse local.
• Corpo Holdout Mainnet: A ponte funciona em um grande corpo de dados real, com todas as assinaturas verificadas passando pela ponte.
• Famílias de Controle BIP340 Positivas: O sistema é calibrado para detectar pelo menos quatro tipos diferentes de hipóteses de vazamento (leakage-hypotheses).
• Famílias de Controle MuSig2 Válidas pelo Protocolo: A camada MuSig2 possui controles próprios válidos pelo protocolo, não sendo apenas uma extensão verbal do BIP340.
• Corpo de Auditoria MuSig2 Dedup-Público: Um corpo de auditoria pequeno, mas disciplinado, limpo de repetições artificiais.
• Geração Estéril de Casos Cegos: A disciplina experimental é formalizada, com casos cegos que são verificados, passam pela ponte e são estéreis em termos de vazamento de segredos.
• Camada de Integridade e Verificação Cega: Relatórios de integridade confirmam que os casos públicos são limpos e a verificação cega demonstra sucessos em casos válidos pelo protocolo.

13. O Que Tudo Isso Realmente Prova?

Neste estágio, o sistema prova:

• Geometria Estrita da Assinatura: Assinaturas BIP340 podem ser traduzidas para uma geometria estrita (R^*) e verificadas quanto à adesão a uma variedade even-Y/x-match.
• Análise de Família de Nonces: O nonce oculto pode ser analisado como uma família, não como uma única incógnita, fornecendo uma linguagem unificada para hipóteses de nonces fracos (weak nonces).
• Redução Afim Válida pelo Protocolo MuSig2: Assinaturas parciais MuSig2 admitem uma redução afim válida pelo protocolo, unificando BIP340 e MuSig2 em uma classe comum de objetos: restrições afins.
• Estrutura Mensurável: A estrutura observável da família de nonces ocultos é mensurável através de funcionais de compressão e conectividade.
• Experimentos Estéreis: A disciplina cega, separação de verdade, dedup e escaneamento de integridade são valores independentes do projeto.

14. Por Que Isso é Importante na Prática?

As ferramentas criptográficas clássicas respondem "a assinatura é válida?". Este sistema responde: "qual geometria a família de nonces ocultos cria, se olharmos para a assinatura como uma restrição afim e não como um artefato opaco?". Disso decorrem modos aplicados:

• Auditoria forense de sistemas de assinatura.
• Análise de cenários de nonces fracos.
• Verificação da disciplina de trabalho com nonces no MuSig2.
• Construção de corpos de calibração e cegos.
• Avaliação experimental de hipóteses de vazamento em dados sintéticos, oficiais e do mundo real.

O valor do sistema não reside em um único "solver milagroso", mas em criar uma plataforma de pesquisa de hipóteses.

15. A Fórmula Mais Curta de Todo o Sistema

Se comprimirmos tudo em uma única linha:

Camada BIP340 -> Camada Forense (Sobre a família: calculam-se funcionais de compressão, suporte de prefixo, conectividade local) -> Camada MuSig2

Este é o quadro fundamental do sistema.

16. Conclusão

O principal resultado reside na combinação de:

• Geometria estrita de adesão ao BIP340 (BIP340 membership-geometry).
• Reconstrução afim de nonces ocultos como função do candidato a segredo.
• Funcionais interpretáveis de compressão/conectividade.
• Linearização afim válida pelo protocolo MuSig2.
• Disciplina cega estéril ciente de dedup (dedup-aware sterile blind discipline).

O projeto deixa de ser um conjunto de anotações e se torna um sistema criptográfico de pesquisa. O cético pode não aceitar a camada de solver fechada (o que é normal, pois não foi revelada), mas rejeitar o quadro matemático é mais difícil, pois ele se baseia em álgebra concreta, correção de protocolo e artefatos mensuráveis. Em suma, a tese do artigo é: a assinatura Schnorr/MuSig2 não é apenas um objeto de verificação. É uma estrutura afim que, após normalização e análise de grupo, se transforma em uma geometria observável de nonces ocultos. Essa mudança de linguagem – de "verificar a assinatura" para "medir a família de nonces ocultos" – constitui o conteúdo principal de toda a teoria.

Para uma discussão séria sobre assinaturas, isso é suficiente para debater não em nível de impressões, mas em nível de modelo.