Desenvolvedores da Solana propõem remover recurso usado em ataque de pelo menos US$ 270 milhões contra a Drift

Desenvolvedores da Solana querem remover o nonce durável, um recurso usado por atacantes para roubar pelo menos US$ 270 milhões do protocolo de negociação Drift em abril. Gabe Rodriguez, da Anza, apresentou a proposta de remoção, SIMD-0723, em 5 de novembro. A Anza desenvolve o principal software validador da Solana.

As transações comuns da Solana incluem um hash de bloco recente, uma referência a um bloco recente que limita por quanto tempo uma transação permanece válida. Os blocos de 200 milissegundos da Solana fazem com que as transações expirem após cerca de 30 segundos. O nonce durável substitui a referência com prazo de validade por outra que permanece válida indefinidamente, permitindo que uma transação assinada seja enviada semanas depois. Custodiantes e exchanges precisam de janelas de aprovação mais longas porque a assinatura em computadores isolados, que permanecem desconectados da internet, pode levar mais de 30 segundos.

Os atacantes da Drift obtiveram assinaturas antecipadamente e esperaram mais de uma semana antes de enviar as transações para esvaziar a plataforma em 1º de abril. Posteriormente, a Drift atribuiu o ataque a um grupo ligado ao Estado norte-coreano.

A SIMD-0723 exigiria que todas as transações incluíssem um hash de bloco recente após a ativação. A proposta não menciona a Drift e cita, em vez disso, bugs ocorridos ao longo de vários anos. O rascunho cita uma falha de 2022 em que uma transação foi processada tanto pelo caminho de hash de bloco quanto pelo de nonce, paralisando a mainnet por cerca de 4,5 horas.

O rascunho acrescenta uma data mínima para a ativação ao plano de remoção que a Solana Foundation anunciou em outubro. A proposta diz que a ativação na mainnet-beta não poderá ocorrer antes de 5 de maio de 2027. O rascunho dá aos usuários pelo menos seis meses para migrar, contados da publicação da proposta, em 5 de novembro de 2026. No entanto, a página de descontinuação da Foundation não informa uma data e diz que o período de migração de seis meses só começa quando uma substituição estiver disponível. Essa condição pode adiar a remoção para além da data mínima prevista no rascunho.

A mudança afetaria principalmente um pequeno grupo de usuários. Em um período de medição em junho, transações com nonce durável representaram cerca de 3% do tráfego da Solana, mas geraram 30% do total de taxas prioritárias. Taxas prioritárias são pagamentos adicionais feitos pelos usuários para obter processamento mais rápido. Dados do pesquisador Max Resnick mostram que 555 contas enviaram 97,5% das transações com nonce durável. Resnick não identificou os responsáveis por essas contas e descreveu o recurso como usado para spam de nonce durável. A proposta também identifica como usuários afetados os custodiantes e as exchanges que usam assinatura em computadores isolados.

Esses usuários precisariam, em vez disso, de um programa on-chain para verificar assinaturas offline. A proposta aponta o Programmatic Signer, da Anza, e o Vector, da Blueshift, como possíveis substitutos. No entanto, o rascunho alerta que uma execução malsucedida pode deixar uma autorização válida, ou seja, o envio de uma transação que falha não revoga a aprovação. Portanto, uma equipe de custódia não poderia considerar uma transferência malsucedida como prova de que a autorização subjacente deixou de poder ser usada.

A proposta exige a aprovação de pelo menos um engenheiro da Anza e de pelo menos um engenheiro da Firedancer antes de ser incorporada. A Jump desenvolve a Firedancer, uma implementação concorrente de software validador.