Gli sviluppatori di Solana propongono di rimuovere una funzionalità usata per sottrarre almeno 270 milioni di dollari a Drift

Gli sviluppatori di Solana vogliono rimuovere il nonce duraturo (durable nonce), una funzionalità usata dagli aggressori per sottrarre almeno 270 milioni di dollari al protocollo di trading Drift ad aprile. Gabe Rodriguez, di Anza, ha presentato il 5 novembre la proposta di rimozione SIMD-0723. Anza sviluppa il principale software di validazione di Solana.

Le normali transazioni Solana includono un blockhash recente, un riferimento a un blocco recente che limita la durata di validità della transazione. I blocchi di Solana, che vengono prodotti ogni 200 millisecondi, fanno sì che le transazioni scadano dopo circa 30 secondi. Il nonce duraturo sostituisce il riferimento in scadenza con uno che resta valido a tempo indeterminato, consentendo di inviare una transazione firmata anche settimane dopo. Custodi e piattaforme di scambio hanno bisogno di finestre di approvazione più lunghe perché la firma su computer isolati dalla rete, che restano scollegati da Internet, può richiedere più di 30 secondi.

Gli aggressori di Drift hanno ottenuto in anticipo le firme e hanno aspettato più di una settimana prima di inviare le transazioni che hanno svuotato la piattaforma il 1° aprile. In seguito Drift ha attribuito l'attacco a un gruppo affiliato allo Stato nordcoreano.

La SIMD-0723 richiederebbe che tutte le transazioni includano un blockhash recente dopo l'attivazione. La proposta non menziona Drift e cita invece bug risalenti a diversi anni fa. La bozza cita un malfunzionamento del 2022 in cui una transazione è stata elaborata sia tramite il percorso del blockhash sia tramite quello del nonce, bloccando la mainnet per circa 4,5 ore.

La bozza aggiunge una data di attivazione minima al piano di rimozione annunciato dalla Solana Foundation a ottobre. La proposta afferma che l'attivazione sulla mainnet-beta non può avvenire prima del 5 maggio 2027. La bozza concede agli utenti almeno sei mesi per migrare, a partire dalla pubblicazione della proposta, il 5 novembre 2026. Tuttavia, la pagina della Foundation sulla dismissione non indica una data e afferma che il periodo di migrazione di sei mesi inizia solo quando sarà disponibile una soluzione sostitutiva. Questa condizione potrebbe rinviare la rimozione oltre la prima data prevista dalla bozza.

La modifica riguarderebbe soprattutto un piccolo gruppo di utenti. In un periodo di misurazione a giugno, le transazioni con nonce duraturo rappresentavano circa il 3% del traffico di Solana, ma generavano il 30% delle commissioni prioritarie totali. Le commissioni prioritarie sono pagamenti aggiuntivi effettuati dagli utenti per ottenere un'elaborazione più rapida. I dati del ricercatore Max Resnick mostrano che 555 account hanno inviato il 97,5% delle transazioni con nonce duraturo. Resnick non ha identificato chi gestisce tali account e ha descritto la funzionalità come utilizzata per inviare spam con nonce duraturi. La proposta individua separatamente tra gli utenti interessati i custodi e le piattaforme di scambio che usano la firma su computer isolati dalla rete.

Questi utenti avrebbero bisogno di un programma onchain per verificare le firme offline. La proposta indica Programmatic Signer di Anza e Vector di Blueshift come possibili alternative. La bozza avverte però che un'esecuzione non riuscita può lasciare valida un'autorizzazione: un invio fallito, quindi, non revoca l'approvazione. Un reparto di custodia non potrebbe perciò considerare un trasferimento fallito come prova che l'autorizzazione sottostante non sia più utilizzabile.

La proposta richiede l'approvazione di almeno un ingegnere di Anza e di almeno un ingegnere di Firedancer prima della sua integrazione. Jump sviluppa Firedancer, un'implementazione concorrente del software di validazione.