이 논문은 라운드3 SNOVA 서명 알고리즘이 비네거 변수를 균등 바이트 문자열을 q의 거듭제곱으로 나눈 나머지로 샘플링하는 과정에서 발생하는 편향이 6개의 홀수 특성 대체 파라미터 세트에서 비밀키 정보를 유출한다는 것을 보인다. 유출량은 변수당 최대 0.086비트로 작지만, 이를 이용하면 실용적인 키 복구 공격이 가능하다. 키 복구는 알려진 완전 지지 오차 분포를 가진 q진 LPN 문제로 환원되며, 단순한 알고리즘도 만 개 정도의 서명과 2^90~2^130 연산만으로 주장된 170~331비트 보안 수준을 크게 밑돈다. BKW 축소와 푸리에 가설 검정 등 표준 LPN 기법을 활용하면 900만~1억8000만 개의 서명과 최대 16분의 연산 시간만으로 4개 파라미터 세트의 비밀키를 실제로 복구할 수 있었다.

• •SNOVA 라운드3 서명의 비네거 변수 샘플링 편향이 비밀키 정보 유출
• •유출은 변수당 최대 0.086비트로 작지만 실용적 키 복구 공격 가능
• •단순 알고리즘도 주장된 170~331비트 보안을 크게 미도는 2^90~2^130 연산으로 공격 성공
• •BKW·푸리에 기법으로 4개 파라미터 세트 비밀키를 최대 16분 만에 실제 복구