라빈 암호와 유사하게 복호화 시 다수의 후보 평문이 발생하지만, 비가환 행렬의 특성상 유일한 평문 행렬을 구별해내는 패딩(Padding) 스킴을 수학적으로 적용할 수 없기 때문이다.

암호문 행렬의 행렬식을 계산하면 평문 행렬의 정보가 Jacobi Symbol 형태로 유출되어, 부분 정보 노출에 의한 평문 복원이 가능하기 때문이다.

암호화에 사용되는 모듈러 n 상의 GL2(Zn) 군(Group)이 타원곡선 이산대수 문제로 환원되어, BSGS 알고리즘으로 다항 시간 내에 암호화 지수를 계산할 수 있기 때문이다.

공개키로 주어지는 행렬 간의 관계와 2 x 2 행렬의 선형적 대수 성질을 이용하면 합성수 n을 소인수분해 하거나 비밀키를 몰라도 평문을 복원하는 선형 연립방적식을 세워 해독할 수 있다.

공개키 α와 β의 관계식에서 각 행렬의 대각합과 행렬식을 비교하면 주어진 합성수 n을 다항 시간 내에 완전히 소인수분해 할 수 있기 때문이다.

난수 생성기로 사용된 Truncated LCG의 내부 상태가 생성된 공개키를 통해 부분적으로 유출된다. 공격자는 숨겨진 내부 상태를 격자로 모델링하여 복원한 뒤, 소수 p의 전체 비트를 직접 계산한다.

소수 생성 시 중국인의 나머지 정리를 적용하는 과정에서 패딩(Padding) 검증이 누락되었다. 공격자는 서명 연산 중 오류를 주입하여 결함이 있는 서명 값을 유발하고, 이 값과 원래의 모듈러 N의 최대공약수를 계산하여 N을 소인수분해한다.

생성된 소수 p가 특정 Primorial M에 대해 $p=mk+(65537^a\ mod\ n)$ 의 특수한 형태를 갖는다. 공격자는 α를 추적하여 부분적인 정보를 얻은 뒤, LLL 격자 축소 기반의 Coppersmith’s method를 적용하여 작은 미지수 k를 도출한다.

비트 연산의 효율성을 극대화하기 위해 선택된 두 소수 p와 q의 차이가 매우 작게 설정되었다. 공격자는 페르마 소인수분해와 연분수 전개를 결합하여 중간값 루트 N 주변을 탐색함으로써 인수를 찾아낸다.

소수 생성 속도를 높이기 위해 p – 1의 모든 소인수가 특정 바운드 B 이하인 B-smooth 특성을 가지도록 강제하였다. 이로 인해 폴라드 p-1 알고리즘을 적용하여 키 크기와 상관없이 다항시간 내에 모듈러 N이 인수분해 된다.