Solana開発者は、署名済みトランザクションを長期間有効なままにできる仕組みであるDurable Nonceを廃止し、遅延署名の安全策に対する責任をプロトコル層からオンチェーンプログラム、ひいてはそれを管理するカストディアンへ移行する提案を提出しました。草案「SIMD-0723」は11月5日にSolanaの公開改善ドキュメントリポジトリに提出され、代替システムが失敗したトランザクションの承認を有効なまま残す可能性があると警告しています。

この提案は、4月1日に発生したSolanaベースのデリバティブプラットフォームDriftへの侵入を受けてのもので、少なくとも2億7000万ドルの損失が生じました。ただし草案自体は、Driftを直接名指しするのではなく、長年のバリデータのセキュリティとコンセンサスに関する問題を引用しています。

Drift攻撃が浮き彫りにした遅延トランザクションのリスク

Durable Nonceは新鮮なブロックハッシュなしで署名済みの送金を実行可能なままにできる一方、標準的なトランザクションはSolanaの現在のスロット設定では約30秒で失効します。CoinCentralの以前の報道が詳述したように、攻撃者は事前署名された承認を利用してDriftの管理権限を奪取しました。Driftはインシデント復旧の最新情報の中で、スマートコントラクトのバグではなく、承認が明らかに偽られていたと説明しています。

4月、Driftは専用署名デバイスや独立したトランザクション検証を含む、より強固なマルチシグ制御を提示し、自社の署名者に対してDurable Nonceを無効化することを約束しました。

Solanaの草案はまた、約4.5時間続いた2022年のネットワーク障害も引用しています。このインシデントには、Nonceとブロックハッシュの処理の矛盾が関わっていました。

新しい署名プログラムが生むカストディの問題

SIMD-0723は、すべてのトランザクションに最近のブロックハッシュを含めることを求めます。オフラインの承認は代わりに、命令を実行する前に署名を検証するプログラムを経由できる可能性があります。Solana Foundationはdurable nonce廃止計画の中で、AnzaのProgrammatic SignerとBlueshiftのVectorを2つの候補として挙げていますが、Foundationの10月のロードマップによれば、どちらの代替も最終指定を受けていません。

草案は、実行に失敗しても署名済みの承認が使用可能なまま残る可能性があると警告しています。その結果、カストディアンは送信の失敗を自動的な取り消しとして扱うことはできません。実際、オフラインまたは遅延された承認は、トランザクションがオンチェーンで失敗しても単純に失効するわけではありません。

この変化は、標準的なトランザクション承認ウィンドウを短縮した、200ミリ秒スロットへのSolanaの移行に続くものです。この変更により、機関がオフラインのエアギャップデバイスを使用する際の代替手段の必要性が高まっています。

Fireblocksは以前からDurable Nonceの廃止を支持していましたが、大規模な移行について懸念を表明していました。3月のコメントで、この機関向けカストディプロバイダーは、ウォレットの権限をプログラムに移すことでコールドストレージのセキュリティ体制が変わる可能性があると警告し、スマートコントラクトによるカストディ体制が既存の機関のセキュリティポリシーを満たすかどうかにも疑問を呈しました。

有効化はレビューと移行にかかっている

草案は、2027年5月5日より前のメインネット有効化を禁止しており、影響を受ける運営者には少なくとも6か月の移行期間を設けています。しかしFoundationのロードマップは、約6か月の移行を代替ソフトウェアの準備が整ってから開始するとしており、確定した有効化日はまだ示されていません。機関やプログラム運営者にとって注目すべき節目は、代替候補の中からの最終指定です。ロードマップは代替ソフトウェアの準備が整って初めて6か月の移行を開始するためです。

この提案は現在もオープンな状態で、AnzaとFiredancerの双方のエンジニアによる承認を必要としています。Firedancerの別のセキュリティレビューの変更は、Solanaのバリデータインフラへの継続的な精査を物語っています。

出典:CoinCentral