Un projet de mise à niveau de Solana supprimerait les nonces durables au plus tôt le 5 mai 2027, obligeant les conservateurs et les plateformes d'échange qui reposent sur des transactions pré-signées à long terme à reconstruire leurs flux de signature.
SIMD-0723, déposé le 5 novembre par Gabe R., développeur Anza, reste un brouillon, non fusionné et non encore accepté. La demande de tirage nécessite l'approbation d'au moins un membre de l'équipe Anza et d'un membre de l'équipe Firedancer avant fusion.
Les nonces durables permettent à une transaction signée de rester valide au-delà de la fenêtre d'expiration normale de 150 blocs de Solana, à condition que sa valeur de nonce stockée n'ait pas changé. Cela permet les approbations sur des ordinateurs conservés hors ligne, ou des processus qui prennent plus de temps que la fenêtre de transaction normale.
Le 5 mai est une date minimale, pas une date de fermeture prévue. La spécification provisoire prévoit une fenêtre de migration de six mois à compter de la publication. Les orientations d’octobre de la Solana Foundation décrivent plutôt le retrait environ six mois après la disponibilité d’un programme de remplacement et ne mentionnent aucune date d’activation.
La fonctionnalité faisait partie de l'attaque du 1er avril contre le protocole de trading Solana Drift. Dans son compte d'incident, Drift a déclaré que les attaquants ont combiné des transactions à nonce durable pré-signées, « permettant une exécution différée », avec des approbations multisig compromises, probablement obtenues par ingénierie sociale ou par mauvaise représentation des transactions. Drift a indiqué que deux transactions pré-signées ont transféré le contrôle administratif, permettant à l'attaquant d'introduire un actif malveillant et de supprimer les limites de retrait.
L'inventaire du 16 avril de Drift estime les actifs volés à environ 295,7 millions de dollars. L'attaque a ensuite conduit à un plan de récupération basé sur des jetons. La raison invoquée par le projet Solana pour la suppression est la répétition de vulnérabilités de sécurité et de consensus des validateurs, ainsi que le spam lié aux nonces.
La signature hors ligne intègre les programmes
Selon la proposition, chaque transaction devrait nécessiter un blockhash récent. Les transactions précédemment signées avec un nonce durable cesseront de fonctionner après l'activation. La création, l'avancement et la mise à niveau des comptes nonce seront désactivés, tandis que les retraits et les changements d'autorité resteront disponibles.
Les noms proposés sont Anza's Programmatic Signer et Blueshift's Vector. Les utilisateurs déplaceraient les autorisations et les fonds de leur compte vers des adresses contrôlées par programme, appelées PDAs. Une clé hors ligne signerait une autorisation en mode hors ligne ; un relais en ligne soumettrait ensuite cette signature dans une nouvelle transaction. Le programme vérifierait la signature et exécuterait les actions approuvées.
La charge de migration va au-delà de la mise à jour du logiciel de transaction. Dans une contribution de mars au débat entre développeurs, Michael Gutkin de Fireblocks a déclaré que l'entreprise gère une infrastructure de signature à travers des millions d'adresses Solana. Il a soutenu la suppression des nonces durables, mais a indiqué qu'une solution de remplacement exigeant une migration complète des comptes sans pont de compatibilité nécessiterait au moins 12 mois à l'échelle institutionnelle.
Les programmes de remplacement modifient également la signification d’un transfert échoué. Le projet prévient que « une soumission échouée n’est pas une révocation » : une autorisation peut rester utilisable après un échec d’exécution, contrairement à une transaction à nonce durable dont le nonce est consommé en cas d’échec.
La documentation de Programmatic Signer indique qu'elle est déployée sur Devnet, avec des audits et des correctifs requis avant son premier déploiement sur mainnet.