Solana 開發人員已提交一項提案，計劃淘汰持久 nonce——即讓已簽名交易在較長時間內保持有效的機制——將延遲簽名的防護責任從協議層轉移至鏈上程式，並進一步轉移至管理這些程式的託管機構。這份草案 SIMD-0723 於 11 月 5 日提交至 Solana 的公共改進文件儲存庫，並警告替代系統可能使失敗的交易授權仍然有效。

該提案是在基於 Solana 的衍生品平台 Drift 於 4 月 1 日遭入侵之後提出，該事件造成至少 2.7 億美元損失。草案本身引用的是長期存在的驗證者安全與共識問題，而非直接點名 Drift。

Drift 攻擊揭露延遲交易的風險

持久 nonce 允許已簽名的轉帳在沒有新區塊雜湊的情況下仍可執行，而在 Solana 目前的 slot 設定下，標準交易則在大約 30 秒後過期。正如 CoinCentral 此前的一份報導所述，攻擊者利用預先簽名的授權奪取了 Drift 的管理控制權。Drift 在其事件復原更新中表示，這些授權顯然遭到了偽冒使用，而非其智慧型合約存在錯誤。

今年 4 月，Drift 列出了更強的多重簽名控制措施，包括專用簽名設備與獨立的交易驗證，並承諾為其簽署者停用持久 nonce。

這份 Solana 草案還引用了 2022 年一次持續約 4.5 小時的網路中斷事件，該事件涉及 nonce 與區塊雜湊處理之間的衝突。

新簽名程式引發託管疑問

SIMD-0723 將要求每筆交易都包含最新的區塊雜湊。離線授權則可改為透過在執行指令前驗證簽名的程式進行處理。Solana 基金會在其持久 nonce 淘汰計劃中將 Anza 的 Programmatic Signer 與 Blueshift 的 Vector 列為兩個候選方案，但根據基金會 10 月的路線圖，兩者均尚未獲得最終指定。

草案警告，執行失敗可能使已簽名的授權仍然可用。因此，託管機構不能將提交失敗視為自動撤銷——實際上，當交易在鏈上失敗時，離線或延遲的授權並不會因此自動失效。

這一轉變是在 Solana 轉向 200 毫秒 slot 之後出現，此舉縮短了標準交易的授權窗口。當機構使用離線的隔離設備時，此變化增加了對替代方案的需求。

Fireblocks 此前支持淘汰持久 nonce，但對大規模遷移表達了疑慮。這家機構託管服務商在 3 月的評論中警告，將錢包權限轉移至程式可能改變冷儲存的安全安排，並質疑智慧型合約託管安排是否符合現有的機構安全政策。

啟用取決於審查與遷移

草案禁止在 2027 年 5 月 5 日之前於主網啟用，並為受影響的營運者提供至少六個月的遷移時間。不過，基金會的路線圖要到替代軟體準備就緒後才開始約六個月的過渡期，且尚未列出確定的啟用日期。對機構與程式營運者而言，需要關注的里程碑是候選替代方案的最終指定，因為路線圖只有在替代軟體準備就緒後才會開啟六個月的過渡期。

該提案目前仍處於開放狀態，需要 Anza 與 Firedancer 工程師雙方的批准。Firedancer 獨立的安全審查變更顯示出對 Solana 驗證者基礎設施的持續審視。

來源:CoinCentral