Solanas SIMD-0723-Vorschlag würde dauerhafte Nonces abschaffen und das Custody-Risiko zu Onchain-Programmen verlagern
Wichtige Erkenntnisse
- •Solana-Entwickler reichten am 5. November den Vorschlag SIMD-0723 ein, um dauerhafte Nonces abzuschaffen und von jeder Transaktion einen aktuellen Blockhash zu verlangen, wodurch Schutzmechanismen für verzögerte Signaturen in Onchain-Programme verlagert werden.
- •Der Vorschlag folgt auf die Sicherheitsverletzung vom 1. April bei dem auf Solana basierenden Derivate-Handelsplatz Drift, bei der Angreifer vorab signierte Freigaben nutzten, um die administrative Kontrolle zu übernehmen, was Verluste von mindestens 270 Millionen US-Dollar verursachte.
- •Der Entwurf warnt, dass eine onchain fehlgeschlagene Transaktion ihre signierte Autorisierung dennoch nutzbar lassen kann, sodass Verwahrer eine erfolglose Übermittlung nicht als automatischen Widerruf behandeln können.
- •Anzas Programmatic Signer und Blueshifts Vector werden als Ersatzkandidaten genannt, doch keiner wurde endgültig benannt, und der etwa sechsmonatige Übergang beginnt erst, wenn die Ersatzsoftware bereit ist.
- •Die Aktivierung im Mainnet ist vor dem 5. Mai 2027 ausgeschlossen, mit mindestens sechs Monaten für die Migration der Betreiber, und der offene Vorschlag erfordert Zustimmungen von Anza- und Firedancer-Entwicklern.
Solana-Entwickler haben einen Vorschlag eingereicht, um dauerhafte Nonces abzuschaffen – den Mechanismus, der signierte Transaktionen über längere Zeiträume gültig hält – und damit die Verantwortung für Schutzmechanismen bei verzögerten Signaturen von der Protokollebene in Onchain-Programme und letztlich zu den diese verwaltenden Verwahrern zu verlagern. Der Entwurf, SIMD-0723, wurde am 5. November im öffentlichen Verbesserungsdokumente-Repository von Solana eingereicht und warnt, dass Ersatzsysteme gescheiterte Transaktionsfreigaben gültig lassen könnten.
Der Vorschlag folgt auf die Sicherheitsverletzung vom 1. April bei dem auf Solana basierenden Derivate-Handelsplatz Drift, die Verluste von mindestens 270 Millionen US-Dollar verursachte. Der Entwurf selbst verweist auf langjährige Probleme bei der Validator-Sicherheit und im Konsens, ohne Drift direkt zu nennen.
Drift-Angriff legte Risiken verzögerter Transaktionen offen
Dauerhafte Nonces ermöglichen es, dass signierte Überweisungen ohne aktuellen Blockhash ausführbar bleiben, während Standardtransaktionen unter Solanas aktuellen Slot-Einstellungen nach etwa 30 Sekunden ablaufen. Wie ein früherer CoinCentral-Bericht darlegte, nutzten Angreifer vorab signierte Freigaben, um die administrative Kontrolle über Drift zu übernehmen. Drift erklärte in seinem Vorfall-Wiederherstellungsupdate, die Freigaben seien offenbar missbräuchlich dargestellt worden, und verwies nicht auf einen Fehler in seinen Smart Contracts.
Im April kündigte Drift stärkere Multisignatur-Kontrollen an, darunter dedizierte Signaturgeräte und unabhängige Transaktionsverifizierung, und verpflichtete sich, dauerhafte Nonces für seine Signaturgeber zu deaktivieren.
Der Solana-Entwurf verweist zudem auf einen Netzwerkausfall im Jahr 2022 von etwa 4,5 Stunden Dauer, bei dem es zu konkurrierender Verarbeitung von Nonce und Blockhash kam.
Neue Signaturprogramme werfen Custody-Fragen auf
SIMD-0723 würde verlangen, dass jede Transaktion einen aktuellen Blockhash enthält. Offline-Freigaben könnten stattdessen über Programme laufen, die Signaturen vor der Ausführung von Anweisungen verifizieren. Die Solana Foundation nennt Anzas Programmatic Signer und Blueshifts Vector als zwei Kandidaten in ihren Plänen zur Abschaffung dauerhafter Nonces, wobei laut der Roadmap der Foundation vom Oktober noch keiner der Ersatzlösungen endgültig benannt wurde.
Der Entwurf warnt, dass eine fehlgeschlagene Ausführung eine signierte Autorisierung nutzbar lassen kann. Verwahrer können daher eine erfolglose Übermittlung nicht als automatischen Widerruf behandeln – praktisch läuft eine Offline- oder verzögerte Freigabe nicht einfach ab, wenn eine Transaktion onchain scheitert.
Die Verlagerung folgt auf Solanas Wechsel zu 200-Millisekunden-Slots, der das Standardzeitfenster für die Transaktionsfreigabe verkürzte. Diese Änderung erhöht den Bedarf an Alternativen, wenn Institutionen Offline- und luftisolierte Geräte verwenden.
Fireblocks unterstützte zuvor die Abschaffung dauerhafter Nonces, äußerte aber Bedenken hinsichtlich groß angelegter Migrationen. In März-Kommentaren warnte der institutionelle Verwahrer, dass die Übertragung der Wallet-Kontrolle in Programme die Sicherheitsregelungen für Cold Storage verändern könnte, und hinterfragte, ob Smart-Contract-Custody-Regelungen bestehende institutionelle Sicherheitsrichtlinien erfüllen würden.
Aktivierung hängt von Prüfungen und Migration ab
Der Entwurf untersagt die Aktivierung im Mainnet vor dem 5. Mai 2027 und räumt betroffenen Betreibern mindestens sechs Monate für die Migration ein. Die Roadmap der Foundation beginnt ihren etwa sechsmonatigen Übergang jedoch erst, wenn die Ersatzsoftware bereit ist, und listet weiterhin kein bestätigtes Aktivierungsdatum auf. Für Institutionen und Programmbetreiber ist der entscheidende Meilenstein die endgültige Benennung eines der Ersatzkandidaten, da die Roadmap den sechsmonatigen Übergang erst öffnet, wenn die Ersatzsoftware bereit ist.
Der Vorschlag ist noch offen und erfordert Zustimmungen sowohl von Anza- als auch von Firedancer-Entwicklern. Firedancers separate Änderungen aus der Sicherheitsprüfung veranschaulichen die laufende Prüfung von Solanas Validator-Infrastruktur.
Quelle: CoinCentral
