Los desarrolladores de Solana han presentado una propuesta para eliminar los nonces duraderos, el mecanismo que permite que las transacciones firmadas sigan siendo válidas durante períodos prolongados, trasladando la responsabilidad de las salvaguardas de firmas diferidas desde la capa de protocolo a los programas onchain y, por extensión, hacia los custodios que los administran. El borrador, SIMD-0723, fue presentado el 5 de noviembre en el repositorio público de documentos de mejora de Solana y advierte que los sistemas de reemplazo podrían dejar válidas las aprobaciones de transacciones fallidas.

La propuesta sigue a la brecha del 1 de abril en Drift, plataforma de derivados basada en Solana, que causó pérdidas de al menos 270 millones de dólares. El propio borrador cita problemas de larga data en la seguridad de los validadores y en el consenso, sin mencionar directamente a Drift.

El ataque a Drift expuso los riesgos de las transacciones diferidas

Los nonces duraderos permiten que las transferencias firmadas sigan siendo ejecutables sin un blockhash reciente, mientras que las transacciones estándar expiran después de aproximadamente 30 segundos bajo la configuración actual de slots de Solana. Como detalló un informe anterior de CoinCentral, los atacantes utilizaron aprobaciones prefirmadas para apoderarse del control administrativo de Drift. Drift indicó que las aprobaciones aparentemente habían sido tergiversadas, en lugar de señalar un error en sus contratos inteligentes, en su actualización de recuperación del incidente.

En abril, Drift presentó controles multifirma más estrictos, incluyendo dispositivos de firma dedicados y verificación independiente de transacciones, y se comprometió a desactivar los nonces duraderos para sus firmantes.

El borrador de Solana también cita una interrupción de la red en 2022 que duró aproximadamente 4,5 horas, un incidente que involucró un manejo conflictivo de nonces y blockhash.

Los nuevos programas de firma generan preguntas de custodia

SIMD-0723 exigiría que cada transacción incluya un blockhash reciente. Las aprobaciones fuera de línea podrían pasar en cambio por programas que verifiquen las firmas antes de ejecutar las instrucciones. La Solana Foundation identifica el Programmatic Signer de Anza y el Vector de Blueshift como dos candidatos en sus planes de eliminación del nonce duradero, aunque ninguno de los reemplazos ha recibido una designación final, según la hoja de ruta de octubre de la Fundación.

El borrador advierte que una ejecución fallida podría dejar una autorización firmada utilizable. En consecuencia, los custodios no pueden tratar una presentación fallida como una revocación automática; en la práctica, una aprobación fuera de línea o diferida no simplemente expira cuando una transacción falla en la cadena.

El cambio sigue al movimiento de Solana hacia los slots de 200 milisegundos, que acortaron la ventana estándar de aprobación de transacciones. Ese cambio aumenta la necesidad de alternativas cuando las instituciones utilizan dispositivos fuera de línea y aislados (air-gapped).

Fireblocks respaldó previamente la eliminación de los nonces duraderos, pero planteó preocupaciones sobre las migraciones a gran escala. En comentarios de marzo, el proveedor de custodia institucional advirtió que transferir la autoridad de las billeteras a programas podría alterar los arreglos de seguridad del almacenamiento en frío, y cuestionó si los arreglos de custodia basados en contratos inteligentes satisfarían las políticas de seguridad institucional existentes.

La activación depende de las revisiones y la migración

El borrador prohíbe la activación en la mainnet antes del 5 de mayo de 2027 y otorga al menos seis meses para que los operadores afectados migren. Sin embargo, la hoja de ruta de la Fundación inicia su transición de aproximadamente seis meses solo cuando el software de reemplazo esté listo, y todavía no indica una fecha de activación confirmada. Para las instituciones y los operadores de programas, el hito a observar es una designación final entre los candidatos de reemplazo, ya que la hoja de ruta abre la transición de seis meses solo cuando el software de reemplazo esté listo.

La propuesta sigue abierta y requiere aprobaciones tanto de los ingenieros de Anza como de Firedancer. Los cambios de revisión de seguridad de Firedancer ilustran el escrutinio continuo de la infraestructura de validadores de Solana.

Fuente: CoinCentral