Deweloperzy Solany złożyli propozycję wycofania durable nonce — mechanizmu, który pozwala podpisanym transakcjom pozostawać ważnymi przez dłuższy czas — przenosząc odpowiedzialność za zabezpieczenia opóźnionych podpisów z warstwy protokołu do programów onchain, a w konsekwencji na podmioty powiernicze, które nimi zarządzają. Projekt, SIMD-0723, został zgłoszony 5 listopada w publicznym repozytorium dokumentów ulepszeń Solany i ostrzega, że systemy zastępcze mogą pozostawić zatwierdzenia nieudanych transakcji ważnymi.

Propozycja następuje po włamaniu z 1 kwietnia na działającą w Solanie platformę instrumentów pochodnych Drift, które przyniosło straty co najmniej 270 mln dolarów. Sam projekt powołuje się na wieloletnie problemy z bezpieczeństwem walidatorów i konsensusem, nie wymieniając bezpośrednio Driftu.

Atak na Drift ujawnił ryzyko opóźnionych transakcji

Durable nonce pozwalają podpisanym transferom pozostać wykonalnymi bez świeżego blockhashu, podczas gdy standardowe transakcje wygasają po około 30 sekundach przy obecnych ustawieniach slotów Solany. Jak szczegółowo opisał wcześniejszy raport CoinCentral, atakujący wykorzystali uprzednio podpisane upoważnienia, by przejąć kontrolę administracyjną nad Driftem. Drift stwierdził w swoim komunikacie o odzyskiwaniu po incydencie, że upoważnienia zostały najwyraźniej błędnie przedstawione, a nie wskazywał na błąd w swoich inteligentnych kontraktach.

W kwietniu Drift zapowiedział silniejsze kontrole wielopodpisowe, w tym dedykowane urządzenia podpisujące i niezależną weryfikację transakcji, i zobowiązał się do wyłączenia durable nonce dla swoich podpisujących.

Projekt Solany powołuje się również na przerwę w działaniu sieci z 2022 roku trwającą około 4,5 godziny — incydent związany ze sprzecznym obsługiwaniem nonce i blockhashu.

Nowe programy podpisujące rodzą pytania o powiernictwo

SIMD-0723 wymagałby, aby każda transakcja zawierała świeży blockhash. Zamiast tego zatwierdzenia offline mogłyby przechodzić przez programy weryfikujące podpisy przed wykonaniem instrukcji. Fundacja Solana wskazuje Programmatic Signer od Anzy i Vector od Blueshiftu jako dwóch kandydatów w swoich plikach wycofania durable nonce, choć żaden z zamienników nie uzyskał jeszcze ostatecznego wyznaczenia, według roadmapy Fundacji z października.

Projekt ostrzega, że nieudane wykonanie może pozostawić podpisaną autoryzację użyteczną. W konsekwencji podmioty powiernicze nie mogą traktować nieudanego przesłania jako automatycznego odwołania — w praktyce zatwierdzenie offline lub opóźnione nie wygasa po prostu wtedy, gdy transakcja kończy się niepowodzeniem onchain.

Zmiana następuje po kroku Solany w stronę slotów 200-milisekundowych, które skróciły standardowe okno zatwierdzania transakcji. Ta zmiana zwiększa potrzebę alternatyw, gdy instytucje korzystają z urządzeń offline, odizolowanych od sieci.

Fireblocks wcześniej popierał wycofanie durable nonce, ale wyraził obawy dotyczące migracji na dużą skalę. W komentarzach z marca dostawca powiernictwa instytucjonalnego ostrzegał, że przeniesienie uprawnień portfela do programów mogłoby zmienić ustalenia bezpieczeństwa zimnego przechowywania, i kwestionował, czy powiernictwo oparte na inteligentnych kontraktach spełni istniejące instytucjonalne polityki bezpieczeństwa.

Aktywacja zależy od przeglądów i migracji

Projekt zakazuje aktywacji na mainnecie przed 5 maja 2027 roku i przewiduje co najmniej sześć miesięcy na migrację dotkniętych operatorów. Roadmapa Fundacji jednak rozpoczyna około sześciomiesięczną transformację dopiero, gdy oprogramowanie zamienników będzie gotowe, i nadal nie wskazuje potwierdzonej daty aktywacji. Dla instytucji i operatorów programów kamieniem milowym do obserwacji jest ostateczne wyznaczenie spośród kandydatów na zamienniki, ponieważ roadmapa otwiera sześciomiesięczną transformację dopiero po gotowości oprogramowania zastępczego.

Propozycja pozostaje otwarta i wymaga zatwierdzeń zarówno od inżynierów Anzy, jak i Firedancera. Osobne zmiany w przeglądzie bezpieczeństwa Firedancera ilustrują trwającą kontrolę infrastruktury walidatorów Solany.

Źródło: CoinCentral