Solana-ontwikkelaars hebben een voorstel ingediend om durable nonces af te schaffen — het mechanisme dat ondertekende transacties gedurende langere periodes geldig laat blijven — waarmee de verantwoordelijkheid voor beveiliging bij vertraagde handtekeningen verschuift van de protocol-laag naar onchain-programma's en daarmee ook naar de custodians die deze beheren. Het ontwerp, SIMD-0723, werd op 5 november ingediend in Solana's openbare repository voor verbeteringsdocumenten en waarschuwt dat vervangende systemen mislukte transactiegoedkeuringen geldig kunnen laten.

Het voorstel volgt op de inbreuk van 1 april bij het op Solana gebaseerde derivatenplatform Drift, die verliezen van ten minste $270 miljoen veroorzaakte. Het ontwerp zelf verwijst naar langlopende problemen met validatorbeveiliging en consensus, in plaats van Drift bij naam te noemen.

Drift-aanval legde risico's van vertraagde transacties bloot

Durable nonces laten ondertekende overboelingen uitvoerbaar blijven zonder een verse blockhash, terwijl standaardtransacties onder Solana's huidige slot-instellingen na ongeveer 30 seconden verlopen. Zoals een eerder bericht van CoinCentral beschreef, gebruikten aanvallende vooraf ondertekende goedkeuringen om de administratieve controle over Drift over te nemen. Drift meldde in zijn update over incidentherstel dat de goedkeuringen kennelijk verkeerd waren voorgesteld, zonder te wijzen op een bug in de smart contracts.

In april kondigde Drift sterkere multisignature-controles aan, waaronder speciale ondertekeningstoestellen en onafhankelijke transactieverificatie, en zegde toe durable nonces voor zijn ondertekenaars uit te schakelen.

Het Solana-ontwerp verwijst ook naar een netwerkstoring in 2022 die ongeveer 4,5 uur duurde, een incident dat samenhing met conflicterende afhandeling van nonces en blockhashes.

Nieuwe signer-programma's roepen custody-vragen op

SIMD-0723 zou vereisen dat elke transactie een recente blockhash bevat. Offline goedkeuringen zouden in plaats daarvan via programma's kunnen lopen die handtekeningen verifiëren voordat instructies worden uitgevoerd. De Solana Foundation identificeert Anza's Programmatic Signer en Blueshift's Vector als twee kandidaten in zijn plannen voor het afschaffen van durable nonces, al heeft geen van beide vervangers een definitieve aanduiding ontvangen, volgens de roadmap van de Foundation van oktober.

Het ontwerp waarschuwt dat mislukte uitvoering een ondertekende autorisatie bruikbaar kan laten. Custodians kunnen een niet-geslaagde indiening daarom niet als automatische intrekking beschouwen — in de praktijk verloopt een offline of vertraagde goedkeuring niet zomaar wanneer een transactie onchain mislukt.

De verschuiving volgt op Solana's overstap naar 200-milliseconden slots, die het standaardvenster voor transactiegoedkeuring verkortte. Die verandering vergroot de behoefte aan alternatieven wanneer instellingen offline, air-gapped toestellen gebruiken.

Fireblocks steunde eerder het afschaffen van durable nonces, maar uitte zorgen over grootschalige migraties. In maart waarschuwde de institutionele custody-aanbieder dat het overdragen van wallet-autoriteit naar programma's de beveiligingsregelingen voor cold storage zou kunnen wijzigen, en vroeg zich af of smart-contract-custodyregelingen zouden voldoen aan bestaande institutionele beveiligingsbeleidsregels.

Activering hangt af van reviews en migratie

Het ontwerp verbiedt mainnet-activering vóór 5 mei 2027 en biedt getroffen exploitanten ten minste zes maanden om te migreren. De roadmap van de Foundation begint de geschatte zesmaandse overgang echter pas zodra de vervangende software klaar is, en vermeldt nog steeds geen bevestigde activeringsdatum. Voor instellingen en programma-exploitanten is de mijlpaal om in de gaten te houden een definitieve aanduiding onder de vervangerskandidaten, aangezien de roadmap de zesmaandse overgang pas opent zodra de vervangende software klaar is.

Het voorstel staat nog open en vereist goedkeuring van zowel Anza- als Firedancer-engineers. De aparte wijzigingen in securityreview van Firedancer illustreren de voortdurende controle op Solana's validator-infrastructuur.

Bron: CoinCentral