Rancangan pembaruan Solana akan menghapus durable nonces paling awal pada 5 Mei 2027, memaksa penyedia layanan penyimpanan dan bursa yang bergantung pada transaksi pra-tandatangani jangka panjang untuk membangun ulang alur penandatanganan mereka.
SIMD-0723, yang diajukan pada 5 November oleh pengembang Anza Gabe R., tetap berupa draf, belum digabung, dan belum diterima. Permintaan tarik memerlukan persetujuan dari setidaknya satu anggota tim Anza dan satu anggota tim Firedancer sebelum digabung.
Nonces tahan lama memungkinkan transaksi yang ditandatangani tetap valid di luar jendela kedaluwarsa normal Solana sebanyak 150 blok, selama nilai nonce yang disimpan belum berubah. Ini mendukung persetujuan pada komputer yang tetap offline, atau proses yang memakan waktu lebih lama dari jendela transaksi normal.
5 Mei adalah tanggal paling awal, bukan penutupan yang dijadwalkan. draft spesifikasi mencakup jendela migrasi enam bulan sejak publikasi. Panduan Oktober dari Solana Foundation justru menggambarkan penghapusan sekitar enam bulan setelah program pengganti siap dan tidak mencantumkan tanggal aktivasi.
Fitur ini merupakan bagian dari serangan pada 1 April terhadap protokol perdagangan Solana, Drift. Dalam incident account nya, Drift menyatakan bahwa penyerang menggabungkan transaksi durable nonce yang sudah ditandatangani sebelumnya, “memungkinkan eksekusi tertunda,” dengan persetujuan multisig yang telah dikompromikan, kemungkinan diperoleh melalui rekayasa sosial atau penyajian transaksi yang salah. Drift mengatakan dua transaksi yang sudah ditandatangani sebelumnya mentransfer kendali administratif, memungkinkan penyerang memperkenalkan aset jahat dan menghapus batas penarikan.
Akuntansi 16 April Drift menempatkan aset yang dicuri sekitar $295,7 juta. Serangan tersebut selanjutnya memicu rencana pemulihan berbasis token. Alasan yang dinyatakan dalam draf Solana untuk penghapusan adalah ulanginya kelemahan keamanan validator dan konsensus, serta spam terkait nonce.
Pengesahan Offline Masuk ke Program
Di bawah usulan tersebut, setiap transaksi memerlukan blockhash terbaru. Transaksi durable-nonce yang sebelumnya ditandatangani akan berhenti berfungsi setelah aktivasi. Pembuatan, pengembangan, dan peningkatan akun nonce akan dinonaktifkan, sementara penarikan dan perubahan otoritas tetap tersedia.
Nama-nama draf adalah Anza's Programmatic Signer dan Blueshift's Vector sebagai pengganti. Pengguna akan memindahkan otoritas akun dan dana ke alamat yang dikendalikan program, dikenal sebagai PDAs. Kunci dingin akan menandatangani otorisasi secara offline; relayer online kemudian akan mengirimkannya dalam transaksi baru. Program akan memverifikasi tanda tangan dan mengeksekusi tindakan yang disetujui.
Beban migrasi melampaui pembaruan perangkat lunak transaksi. Dalam kontribusi Maret terhadap diskusi pengembang, Michael Gutkin dari Fireblocks mengatakan perusahaan mengelola infrastruktur penandatanganan di jutaan alamat Solana. Ia mendukung penghapusan durable nonces tetapi mengatakan pengganti yang memerlukan migrasi akun penuh tanpa jembatan kompatibilitas akan membutuhkan setidaknya 12 bulan pada skala institusional.
Program penggantian juga mengubah arti dari transfer yang gagal. Draf tersebut memperingatkan bahwa “pengiriman yang gagal bukanlah pencabutan”: otorisasi dapat tetap dapat digunakan setelah eksekusi gagal, berbeda dengan transaksi durable-nonce yang nonce-nya dikonsumsi saat gagal.
Dokumentasi Programmatic Signer menyatakan bahwa ia telah dideploy di Devnet, dengan audit dan perbaikan diperlukan sebelum deploy pertamanya di mainnet.