Разработчики Solana предложили отменить функцию, использованную при взломе Drift на сумму не менее 270 млн долларов

Разработчики Solana хотят отменить механизм durable nonce, который злоумышленники использовали, чтобы похитить не менее 270 млн долларов у торгового протокола Drift в апреле. Гейб Родригес из Anza представил предложение об отмене механизма — SIMD-0723 — 5 ноября. Anza разрабатывает основное программное обеспечение валидаторов Solana.

Обычные транзакции Solana содержат недавний хеш блока — ссылку на недавно созданный блок, которая ограничивает срок действия транзакции. Сейчас блоки Solana формируются каждые 200 миллисекунд, поэтому транзакции истекают примерно через 30 секунд. Механизм durable nonce заменяет истекающую ссылку на неограниченно действительную, что позволяет отправить подписанную транзакцию спустя несколько недель. Кастодианам и биржам нужны более длительные окна для одобрения, поскольку подписание на изолированных от интернета компьютерах может занимать более 30 секунд.

Злоумышленники, атаковавшие Drift, заранее получили подписи и выждали более недели, прежде чем 1 апреля отправить транзакции для вывода средств с платформы. Позже Drift связал атаку с группой, аффилированной с властями Северной Кореи.

SIMD-0723 обяжет включать недавний хеш блока во все транзакции после активации. В предложении Drift не упоминается: вместо этого в нем говорится об ошибках, возникавших на протяжении нескольких лет. В проекте описан сбой 2022 года, при котором транзакция прошла одновременно по путям обработки с хешем блока и с nonce, из-за чего основная сеть остановилась примерно на 4,5 часа.

В проекте к плану отмены механизма, объявленному Фондом Solana в октябре, добавлена самая ранняя дата активации. В нем говорится, что активация в mainnet-beta не может состояться раньше 5 мая 2027 года. Согласно проекту, пользователям предоставляется не менее шести месяцев на переход, начиная с публикации предложения 5 ноября 2026 года. Однако на странице Фонда, посвященной выводу механизма из эксплуатации, дата не указана: там сказано, что шестимесячный срок миграции начинается только после появления замены. Это условие может отложить отмену механизма на срок позже указанной в проекте самой ранней даты.

Изменение затронет прежде всего небольшую группу пользователей. За один период измерений в июне на транзакции с durable nonce приходилось около 3 % трафика Solana, но они приносили 30 % всех приоритетных комиссий. Приоритетные комиссии — это дополнительные платежи, которые пользователи вносят, чтобы транзакции обрабатывались раньше. Согласно данным исследователя Макса Резника, 555 аккаунтов отправили 97,5 % транзакций с durable nonce. Резник не назвал владельцев этих аккаунтов и описал использование механизма как спам транзакциями с durable nonce. В предложении отдельно указано, что изменения затронут кастодианов и биржи, использующие изолированное от интернета подписание.

Этим пользователям потребуется ончейн-программа для проверки подписей, созданных в автономном режиме. В предложении в качестве возможных замен названы Programmatic Signer от Anza и Vector от Blueshift. Однако в проекте предупреждается, что при неудачном исполнении разрешение может остаться действительным, то есть неудачная отправка транзакции не отменяет одобрение. Поэтому подразделение, отвечающее за хранение активов, не сможет считать неудачный перевод доказательством того, что соответствующее разрешение больше нельзя использовать.

Для принятия предложения перед его внесением в кодовую базу потребуется одобрение как минимум одного инженера Anza и как минимум одного инженера Firedancer. Jump разрабатывает Firedancer — конкурирующую реализацию программного обеспечения валидаторов.