Solana 开发者已提交一项提案，拟淘汰持久 nonce——这一机制使已签名交易能在较长时间内保持有效——并将延迟签名保护的责任从协议层转移至链上程序，进而转移到管理这些程序的托管方。该草案 SIMD-0723 于 11 月 5 日提交至 Solana 的公开改进文档仓库，并警告称替代系统可能使失败的交易授权仍然有效。

该提案 follows 基于 Solana 的衍生品平台 Drift 在 4 月 1 日遭遇的攻击事件，该事件造成至少 2.7 亿美元的损失。草案本身引用的是长期存在的验证者安全与共识问题，而非直接点名 Drift。

Drift 攻击暴露了延迟交易风险

持久 nonce 使已签名的转账在没有新 blockhash 的情况下仍可执行，而在 Solana 当前的 slot 设置下，标准交易约在 30 秒后过期。正如 CoinCentral 此前的报道 所详述，攻击者利用预签名授权夺取了 Drift 的管理控制权。Drift 在其 事件恢复更新 中表示，这些授权显然遭到了滥用陈述，而非其智能合约存在漏洞。

4 月，Drift 概述了更强的多重签名控制措施，包括专用签名设备和独立的交易验证，并承诺为其签名者禁用持久 nonce。

Solana 草案还引用了 2022 年一次持续约 4.5 小时的网络中断，该事件涉及 nonce 与 blockhash 处理的冲突。

新签名程序引发托管问题

SIMD-0723 将要求每笔交易都包含一个较新的 blockhash。离线授权则可通过在执行指令前验证签名的程序进行处理。Solana 基金会在其 持久 nonce 弃用计划 中将 Anza 的 Programmatic Signer 和 Blueshift 的 Vector 列为两个候选方案，但根据基金会 10 月的路线图，两个替代方案均未获得最终指定。

草案警告称，执行失败可能使已签名授权仍然可用。因此，托管方不能将提交失败视为自动撤销——实际上，当交易在链上失败时，离线或延迟授权并不会简单地失效。

这一转变 follows Solana 向 200 毫秒 slot 迈进的举措，后者缩短了标准交易授权窗口。当机构使用离线、物理隔离设备时，这一变化增加了对替代方案的需求。

Fireblocks 此前支持淘汰持久 nonce，但对大规模迁移表示担忧。在 3 月的评论中，这家机构托管服务商警告称，将钱包权限转移至程序可能改变冷存储安全安排，并质疑智能合约托管安排能否满足现有机构安全政策。

激活取决于审查与迁移

草案禁止在 2027 年 5 月 5 日之前激活主网，并为受影响的运营商提供至少六个月的迁移期。然而，基金会的路线图只有在替代软件就绪后才启动约六个月的过渡期，且仍未列出确认的激活日期。对于机构和程序运营商而言，需要关注的关键节点是替代候选方案的最终指定，因为路线图只有在替代软件就绪后才会开启六个月的过渡期。

该提案仍处于开放状态，需要获得 Anza 和 Firedancer 工程师双方的批准。Firedancer 单独的 安全审查变更 显示出对 Solana 验证者基础设施的持续审视。

来源：CoinCentral