Gli sviluppatori di Solana hanno presentato una proposta per ritirare i durable nonce, il meccanismo che consente alle transazioni firmate di restare valide per periodi prolungati, spostando la responsabilità delle protezioni per le firme ritardate dal livello di protocollo ai programmi onchain e, per estensione, ai custodi che li gestiscono. La bozza, SIMD-0723, è stata depositata il 5 novembre nel repository pubblico dei documenti di miglioramento di Solana e avverte che i sistemi sostitutivi potrebbero lasciare valide le approvazioni di transazioni fallite.

La proposta segue la violazione del 1 aprile di Drift, piattaforma di derivati basata su Solana, che ha causato perdite di almeno 270 milioni di dollari. La bozza stessa cita problemi di lunga data relativi alla sicurezza dei validatori e al consenso, senza nominare direttamente Drift.

L'attacco a Drift ha esposto i rischi delle transazioni ritardate

I durable nonce consentono ai trasferimenti firmati di rimanere eseguibili senza un blockhash recente, mentre le transazioni standard scadono dopo circa 30 secondi con le attuali impostazioni degli slot di Solana. Come dettagliato in un precedente report di CoinCentral, gli aggressori hanno utilizzato approvazioni pre-firmate per acquisire il controllo amministrativo di Drift. Drift ha dichiarato, nel suo aggiornamento sul ripristino dell'incidente, che le approvazioni erano state apparentemente rappresentate in modo fuorviante, anziché indicare un bug nei suoi smart contract.

Ad aprile, Drift ha delineato controlli multisignature più rigorosi, tra cui dispositivi di firma dedicati e verifica indipendente delle transazioni, e si è impegnata a disattivare i durable nonce per i propri firmatari.

La bozza di Solana cita anche un'interruzione della rete nel 2022 della durata di circa 4,5 ore, un incidente che ha coinvolto una gestione conflittuale di nonce e blockhash.

I nuovi programmi di firma creano domande sulla custodia

SIMD-0723 richiederebbe che ogni transazione includa un blockhash recente. Le approvazioni offline potrebbero invece passare attraverso programmi che verificano le firme prima di eseguire le istruzioni. La Solana Foundation identifica il Programmatic Signer di Anza e Vector di Blueshift come due candidati nei suoi piani di dismissione dei durable nonce, anche se nessuna delle alternative ha ricevuto una designazione finale, secondo la roadmap di ottobre della Foundation.

La bozza avverte che un'esecuzione fallita può lasciare un'autorizzazione firmata utilizzabile. Di conseguenza, i custodi non possono considerare un invio non riuscito come una revoca automatica — in pratica, un'approvazione offline o ritardata non scade semplicemente quando una transazione fallisce onchain.

La svolta segue il passaggio di Solana verso slot di 200 millisecondi, che ha abbreviato la finestra di approvazione standard delle transazioni. Questa modifica aumenta la necessità di alternative quando le istituzioni utilizzano dispositivi offline e air-gapped.

Fireblocks aveva precedentemente sostenuto il ritiro dei durable nonce ma ha sollevato preoccupazioni sulle migrazioni su larga scala. In commenti di marzo, il fornitore di custodia istituzionale ha avvertito che il trasferimento dell'autorità dei wallet nei programmi potrebbe alterare gli accordi di sicurezza del cold storage, e ha messo in dubbio che gli accordi di custodia basati su smart contract soddisfino le politiche di sicurezza istituzionali esistenti.

L'attivazione dipende dalle revisioni e dalla migrazione

La bozza vieta l'attivazione sulla mainnet prima del 5 maggio 2027 e prevede almeno sei mesi per la migrazione degli operatori interessati. La roadmap della Foundation, tuttavia, avvia la transizione di circa sei mesi solo quando il software sostitutivo sarà pronto, e non indica ancora una data di attivazione confermata. Per le istituzioni e gli operatori dei programmi, il traguardo da monitorare è una designazione finale tra i candidati sostitutivi, poiché la roadmap apre la transizione di sei mesi solo quando il software sostitutivo è pronto.

La proposta rimane aperta e richiede le approvazioni degli ingegneri sia di Anza che di Firedancer. Le separate modifiche alla revisione di sicurezza di Firedancer illustrano il costante scrutinio dell'infrastruttura dei validatori di Solana.

Fonte: CoinCentral