Un avance de actualización de Solana eliminaría los nonces duraderos no antes del 5 de mayo de 2027, obligando a los custodios y exchanges que dependen de transacciones prefirmadas de larga duración a reconstruir sus flujos de firma.
SIMD-0723, presentado el 5 de noviembre por el desarrollador de Anza Gabe R., sigue siendo un borrador, sin fusionar y aún no aceptado. La solicitud de extracción requiere la aprobación de al menos un miembro del equipo de Anza y un miembro del equipo de Firedancer antes de fusionarse.
Los nonces duraderos permiten que una transacción firmada siga siendo válida más allá de la ventana de expiración normal de 150 bloques de Solana, siempre que su valor de nonce almacenado no haya cambiado. Esto facilita las aprobaciones en computadoras mantenidas fuera de línea o procesos que tardan más que la ventana normal de transacción.
El 5 de mayo es la fecha más temprana, no un apagón programado. La especificación preliminar contempla un período de migración de seis meses desde la publicación. La guía de octubre de la Fundación Solana, en cambio, describe la eliminación aproximadamente seis meses después de que un programa de reemplazo esté listo y no enumera ninguna fecha de activación.
La función formaba parte del ataque del 1 de abril al protocolo de trading de Solana, Drift. En su incident account, Drift indicó que los atacantes combinaron transacciones de nonce duradero previamente firmadas, “que permiten la ejecución diferida”, con aprobaciones multisig comprometidas, posiblemente obtenidas mediante ingeniería social o representación falsa de transacciones. Drift afirmó que dos transacciones previamente firmadas transfirieron el control administrativo, permitiendo al atacante introducir un activo malicioso y eliminar los límites de retirada.
El balance del 16 de abril de Drift estimó los activos robados en aproximadamente $295.7 millones. El ataque llevó posteriormente a un plan de recuperación basado en tokens. La justificación indicada en el borrador de Solana para la eliminación son vulnerabilidades repetidas de seguridad y consenso de los validadores, así como spam relacionado con nonces.
La firma offline se incorpora a los programas
Bajo la propuesta, cada transacción requeriría un blockhash reciente. Las transacciones con nonce duradero previamente firmadas dejarán de funcionar tras la activación. Se deshabilitarán la creación, el avance y la actualización de cuentas de nonce, mientras que los retiros y los cambios de autoridad seguirán disponibles.
Los nombres propuestos son el Firmante Programático de Anza y Vector de Blueshift. Los usuarios trasladarían las autoridades y fondos de la cuenta a direcciones controladas por programas, conocidas como PDAs. Una clave en frío firmaría una autorización fuera de línea; un relayer en línea la enviaría luego dentro de una transacción nueva. El programa verificaría la firma y ejecutaría las acciones aprobadas.
La carga de migración va más allá de actualizar el software de transacciones. En una contribución de marzo a la discusión de desarrolladores, Michael Gutkin de Fireblocks dijo que la empresa gestionaba la infraestructura de firma en millones de direcciones de Solana. Apoyó eliminar los nonces duraderos, pero dijo que un reemplazo que requiriera migración completa de la cuenta sin un puente de compatibilidad necesitaría al menos 12 meses a escala institucional.
Los programas de reemplazo también cambian el significado de una transferencia fallida. El borrador advierte que “una presentación fallida no es una revocación”: una autorización puede seguir siendo utilizable después de que la ejecución falle, a diferencia de una transacción con nonce duradero cuyo nonce se consume en caso de fallo.
La documentación de Programmatic Signer indica que está desplegado en Devnet, con auditorías y correcciones requeridas antes de su primer despliegue en mainnet.