Um upgrade em rascunho do Solana removerá os nonces duráveis não antes de 5 de maio de 2027, forçando custodiantes e exchanges que dependem de transações pré-assinadas de longa duração a reconstruir seus fluxos de assinatura.
SIMD-0723, apresentado em 5 de novembro pelo desenvolvedor da Anza Gabe R., permanece como rascunho, não mesclado e ainda não aceito. O pull request requer aprovação de pelo menos um membro da equipe Anza e um membro da equipe Firedancer antes da mesclagem.
Nonces duráveis permitem que uma transação assinada permaneça válida além da janela de expiração normal de 150 blocos do Solana, desde que o valor do nonce armazenado não tenha sido alterado. Isso suporta aprovações em computadores mantidos off-line ou processos que levam mais tempo do que a janela normal de transação.
5 de maio é a data mais precoce, não um desligamento programado. A especificação rascunho conta com uma janela de migração de seis meses a partir da publicação. A orientação do Fundo Solana em outubro descreve, em vez disso, a remoção aproximadamente seis meses após um programa de substituição estar pronto e não lista nenhuma data de ativação.
O recurso fazia parte do ataque de 1º de abril ao protocolo de negociação Solana Drift. Em seu incident account, a Drift afirmou que os atacantes combinaram transações de nonce durável pré-assinadas, “permitindo execução atrasada”, com aprovações de multisig comprometidas, provavelmente obtidas por meio de engenharia social ou representação incorreta de transações. A Drift disse que duas transações pré-assinadas transferiram o controle administrativo, permitindo que o atacante introduzisse um ativo malicioso e removesse os limites de saque.
O lançamento contábil de 16 de abril da Drift estimou os ativos roubados em cerca de US$ 295,7 milhões. O ataque levou posteriormente a um plano de recuperação baseado em tokens. A justificativa declarada pelo rascunho da Solana para a remoção são falhas repetidas de segurança e consenso dos validadores, bem como spam relacionado a nonces.
Assinatura offline passa para programas
Sob a proposta, cada transação exigiria um blockhash recente. As transações de nonce durável previamente assinadas deixariam de funcionar após a ativação. A criação, avanço e atualização de contas de nonce seriam desativadas, enquanto saques e alterações de autoridade permaneceriam disponíveis.
Os nomes propostos são Anza's Programmatic Signer e Blueshift's Vector como substitutos. Os usuários moveriam as autoridades e os fundos da conta para endereços controlados por programa, conhecidos como PDAs. Uma chave fria assinaria uma autorização offline; um relayer online então a submeteria dentro de uma nova transação. O programa verificaria a assinatura e executaria as ações aprovadas.
A carga de migração vai além da atualização do software de transações. Em uma contribuição de março para a discussão entre desenvolvedores, Michael Gutkin da Fireblocks disse que a empresa gerencia infraestrutura de assinatura em milhões de endereços Solana. Ele apoiou a remoção de nonces duráveis, mas afirmou que uma substituição que exija migração completa da conta sem uma ponte de compatibilidade exigiria pelo menos 12 meses em escala institucional.
Os programas de substituição também alteram o significado de uma transferência mal-sucedida. O rascunho alerta que “uma submissão mal-sucedida não é uma revogação”: uma autorização pode permanecer utilizável após a execução falhar, ao contrário de uma transação com nonce durável, cujo nonce é consumido em caso de falha.
Documentação do Programmatic Signer afirma que está implantado no Devnet, com auditorias e correções necessárias antes de sua primeira implantação no mainnet.