Les développeurs de Solana ont déposé une proposition visant à retirer les nonces durables, le mécanisme qui permet aux transactions signées de rester valides pendant des périodes prolongées, transférant la responsabilité des protections contre les signatures différées de la couche protocole vers les programmes onchain et, par extension, vers les dépositaires qui les gèrent. Le projet, SIMD-0723, a été soumis le 5 novembre dans le dépôt public de documents d'amélioration de Solana et prévient que les systèmes de remplacement pourraient laisser les approbations de transactions échouées valables.

La proposition fait suite à la violation du 1er avril de la plateforme de dérivés basée sur Solana, Drift, qui a entraîné des pertes d'au moins 270 millions de dollars. Le projet lui-même cite des problèmes de sécurité des validateurs et de consensus de longue date plutôt que de nommer directement Drift.

L'attaque contre Drift a exposé les risques des transactions différées

Les nonces durables permettent aux transferts signés de rester exécutables sans blockhash récent, tandis que les transactions standard expirent après environ 30 secondes selon les paramètres de slots actuels de Solana. Comme l'a détaillé un précédent rapport de CoinCentral, des attaquants ont utilisé des approbations pré-signées pour s'emparer du contrôle administratif de Drift. Drift a indiqué que les approbations avaient apparemment été dénaturées, plutôt que de pointer vers un bug de ses smart contracts, dans sa mise à jour de récupération d'incident.

En avril, Drift a présenté des contrôles multisignature renforcés, incluant des dispositifs de signature dédiés et une vérification indépendante des transactions, et s'est engagé à désactiver les nonces durables pour ses signataires.

Le projet de Solana cite également une panne du réseau en 2022 ayant duré environ 4,5 heures, un incident impliquant des traitements conflictuels des nonces et des blockhash.

Les nouveaux programmes de signature soulèvent des questions de garde

SIMD-0723 exigerait que chaque transaction inclue un blockhash récent. Les approbations hors ligne pourraient plutôt passer par des programmes qui vérifient les signatures avant d'exécuter les instructions. La Fondation Solana identifie le Programmatic Signer d'Anza et Vector de Blueshift comme deux candidates dans ses plans de retrait des nonces durables, bien qu'aucune solution de remplacement n'ait reçu de désignation finale, selon la feuille de route d'octobre de la Fondation.

Le projet prévient qu'une exécution échouée peut laisser une autorisation signée utilisable. Par conséquent, les dépositaires ne peuvent pas considérer une soumission infructueuse comme une révocation automatique — en pratique, une approbation hors ligne ou différée n'expire pas simplement lorsqu'une transaction échoue onchain.

Ce changement fait suite à la transition de Solana vers des slots de 200 millisecondes, qui a raccourci la fenêtre d'approbation standard des transactions. Ce changement accroît le besoin d'alternatives lorsque les institutions utilisent des dispositifs hors ligne, isolés du réseau (air-gapped).

Fireblocks avait précédemment soutenu le retrait des nonces durables mais a soulevé des préoccupations concernant les migrations à grande échelle. Dans des commentaires en mars, le prestataire de garde institutionnelle a averti que le transfert de l'autorité du portefeuille vers des programmes pourrait modifier les dispositions de sécurité du stockage à froid, et s'est interrogé sur la conformité des dispositions de garde par smart contracts avec les politiques de sécurité institutionnelles existantes.

L'activation dépend des revues et de la migration

Le projet interdit toute activation sur le mainnet avant le 5 mai 2027 et prévoit au moins six mois pour que les opérateurs concernés effectuent leur migration. La feuille de route de la Fondation, cependant, ne débute sa transition d'environ six mois qu'une fois le logiciel de remplacement prêt, et ne mentionne toujours aucune date d'activation confirmée. Pour les institutions et les opérateurs de programmes, l'étape à surveiller est une désignation finale parmi les solutions candidates, puisque la feuille de route n'ouvre la transition de six mois qu'une fois le logiciel de remplacement prêt.

La proposition reste ouverte et nécessite les approbations des ingénieurs d'Anza et de Firedancer. Les changements de revue de sécurité distincts de Firedancer illustrent l'examen permanent de l'infrastructure de validateurs de Solana.

Source : CoinCentral