วิเคราะห์: การเปลี่ยนระบบ nonce ของ Solana จะคงการอนุมัติไว้ได้หลังธุรกรรมล้มเหลว

แผนของมูลนิธิ Solana ในเดือนตุลาคมเสนอให้แทนที่ durable nonce ด้วยโปรแกรมผู้ลงนามบนเชน ซึ่งตรวจสอบลายเซ็นออฟไลน์และดำเนินการตามคำสั่งที่ได้รับอนุมัติ ที่อยู่ซึ่งสร้างจากโปรแกรม หรือ PDA จะควบคุมบัญชีที่ได้รับผลกระทบ ขณะที่กุญแจเดิมใช้อนุมัติการดำเนินการ และผู้ดำเนินการออนไลน์อีกฝ่ายส่งธุรกรรมพร้อมชำระค่าธรรมเนียมเครือข่าย

ตลาดซื้อขาย ผู้รับฝากสินทรัพย์ และผู้ดูแลคลังสินทรัพย์จะต้องย้ายสินทรัพย์หรือสิทธิ์ ทำให้แอปพลิเคชันรองรับเส้นทางการดำเนินการแบบใหม่ และขอความเห็นชอบจากทีมบริหารความเสี่ยง

durable nonce ยังใช้งานได้ และมูลนิธิยังไม่ได้กำหนดวันที่ถอดระบบหรือเลือกระหว่าง Programmatic Signer ของ Anza กับ Vector ของ Blueshift กรอบเวลาย้ายระบบราว 6 เดือนขึ้นอยู่กับการมีระบบทดแทนที่เหมาะสม พร้อมใช้งาน ผ่านการตรวจสอบ และทำงานบน mainnet durable nonce ช่วยให้อนุมัติแบบออฟไลน์และเผยแพร่ธุรกรรมในภายหลังได้ โดยใช้ nonce ที่จัดเก็บไว้แทน blockhash ล่าสุดซึ่งหมดอายุอย่างรวดเร็ว การอัปเกรดสล็อตแยกต่างหากของ Solana ที่ใช้เวลา 200ms เข้าสู่ขั้นตอนสุดท้ายบน mainnet เมื่อวันที่ 9 ตุลาคม ช่วยลดเวลาการอนุมัติตามปกติ แม้การหมดอายุจะขึ้นอยู่กับการสร้างบล็อก ไม่ใช่ตัวจับเวลาที่รับประกันได้

ภายใต้ Programmatic Signer กุญแจออฟไลน์จะลงนามในข้อความอนุญาต ซึ่ง relayer นำส่งในธุรกรรมที่ใช้ blockhash ใหม่เพื่อให้ตรวจสอบและดำเนินการผ่านที่อยู่ที่สร้างขึ้น PDA ไม่มีกุญแจส่วนตัว และได้อำนาจจากการตรวจสอบการอนุมัติของกุญแจเดิม โดยต้องโอนสินทรัพย์หรือสิทธิ์แยกต่างหาก คู่มือการย้ายระบบระบุถึงการย้าย SOL เหรียญโทเคน สิทธิ์สร้างเหรียญหรือระงับการโอน และอำนาจ staker อำนาจถอน หรือทั้งสองอย่างของบัญชี stake ไปยังที่อยู่ที่สร้างขึ้น มูลนิธิเสนอให้ดำเนินการส่งมอบสิทธิ์เหล่านี้แยกกันในช่วงที่ durable nonce รุ่นเดิมยังใช้งานได้ โดยรายการบัญชีของคลังสินทรัพย์แต่ละแห่งและสิทธิ์ของกุญแจที่มีอยู่จะเป็นตัวกำหนดการเปลี่ยนแปลงที่จำเป็น บัญชี SOL ที่สร้างขึ้นของ Programmatic Signer อยู่ภายใต้การดูแลของ System และสามารถส่ง SOL ผ่านการโอนทั่วไปที่ได้รับอนุมัติ อย่างไรก็ตาม Vector สร้างบัญชีที่โปรแกรมเป็นผู้ดูแล และปล่อย SOL ผ่านการถอนหรือการปิดบัญชีที่ได้รับอนุญาต

เอกสารข้อความของ Programmatic Signer ระบุว่าลายเซ็นออฟไลน์ผูกกับผู้ดำเนินการ บัญชี nonce และข้อความดำเนินการที่ฝังอยู่ จึงป้องกันไม่ให้ relayer แก้ไขไบต์ที่ได้รับอนุญาตเหล่านั้นได้ relayer สามารถเลือกผู้ชำระค่าธรรมเนียมและ blockhash ของธุรกรรมชั้นนอก รวมทั้งเพิ่มคำสั่งก่อนหรือหลังการส่งได้ ส่วน Vector ผูกกับบัฟเฟอร์คำสั่งระดับบนสุด ซึ่งรวมข้อมูลและบัญชีสำหรับการเรียกโปรแกรมอื่นที่ได้รับอนุมัติ จึงป้องกันการแทรก ลบ หรือสลับลำดับคำสั่งที่อยู่โดยรอบในภายหลัง Programmatic Signer อนุญาตให้จัดบริบทการดำเนินการรอบการกระทำที่ได้รับอนุมัติได้ ขณะที่ Vector กำหนดให้อนุมัติลำดับคำสั่งโดยรอบไว้ล่วงหน้า ทั้งสองระบบไม่ได้ให้อำนาจผู้ชำระค่าธรรมเนียมแก้ไขการกระทำที่ลงนามแล้ว

ธุรกรรม durable nonce ในปัจจุบันจะใช้ nonce เมื่อการตรวจสอบผ่านแต่การดำเนินการล้มเหลว Programmatic Signer จะบันทึกการเลื่อน nonce และการเปลี่ยนแปลงของแอปพลิเคชันพร้อมกัน หรือย้อนกลับทั้งสองอย่าง Vector ระบุว่ามีความสามารถในการลองใหม่เช่นเดียวกัน หมายความว่าการส่งธุรกรรมที่ล้มเหลวอาจทำให้การอนุมัติยังนำไปดำเนินการได้ในภายหลัง ตราบใดที่ nonce ไม่เปลี่ยนแปลงและไม่มีการบังคับใช้กำหนดเวลา Vector เตือนว่า relayer อาจระงับธุรกรรมไว้จนกว่าเงื่อนไขจะเปลี่ยน หรืออาจมีการนำลายเซ็นที่เปิดเผยระหว่างความพยายามที่ล้มเหลวไปดำเนินการในภายหลังได้ คำสั่งที่ลงนามแล้วสามารถกำหนดเวลาหมดอายุเพื่อปฏิเสธการดำเนินการหลังพ้นกำหนด การเพิกถอนต้องอาศัยการเลื่อน nonce ที่ได้รับอนุญาตแยกต่างหากและบันทึกสำเร็จ การปฏิเสธเพราะพ้นกำหนดจะไม่ใช้ nonce หากการเปลี่ยนแปลง nonce ถูกย้อนกลับพร้อมธุรกรรมที่ล้มเหลว

เหตุผลของมูลนิธิคือการทำให้การจัดการของผู้ตรวจสอบความถูกต้องง่ายขึ้น เนื่องจาก durable nonce ต้องใช้กฎป้องกันการเล่นซ้ำแบบพิเศษ ทำให้การดำเนินการแบบไม่พร้อมกันซับซ้อน และทำให้กรองธุรกรรมที่ไม่ถูกต้องได้ยากขึ้น การย้ายการอนุมัติและสถานะป้องกันการเล่นซ้ำไปไว้ในโปรแกรมทั่วไปจะทำให้ผู้ตรวจสอบความถูกต้องประมวลผลธุรกรรม blockhash ปกติ ขณะที่แอปพลิเคชันรับการกระทำที่อนุมัติผ่านการเรียกข้ามโปรแกรม หรือ CPI แอปพลิเคชันที่กำหนดให้การกระทำต้องอยู่ระดับบนสุดอาจปฏิเสธเส้นทางนี้ได้ และการตรวจสอบที่จำกัดอยู่กับคำสั่งชำระคืนหรือคำสั่งตรวจสอบลายเซ็นระดับบนสุดอาจมองไม่เห็นการกระทำที่ซ้อนอยู่ภายในโปรแกรมผู้ลงนาม การเพิ่มความลึกของการเรียกไม่อาจแก้กฎที่ปฏิเสธตำแหน่งของการเรียกหรือไม่สามารถตรวจสอบคำสั่งที่ซ้อนอยู่ได้ มูลนิธิเสนอให้รองรับโปรแกรมผู้ลงนามที่รู้จัก หรือจัดให้มีเส้นทางดำเนินการอีกแบบหนึ่ง การที่แอปพลิเคชันยอมรับลายเซ็น PDA เป็นคนละเรื่องกับความถูกต้องทางวิทยาการเข้ารหัสของการอนุมัติออฟไลน์

เมื่อเปิดใช้ CPI Guard ของ Token-2022 การโอนและการเผาโทเคนผ่าน CPI ต้องใช้อำนาจของผู้รับมอบสิทธิ์ ห้ามการอนุมัติผ่าน CPI และห้ามเปลี่ยนเจ้าของแม้ไม่ได้ใช้ CPI ผู้รับมอบสิทธิ์ถาวรได้รับข้อยกเว้นสำหรับการโอนและการเผาโทเคน ส่วนเส้นทางการโอนที่อาจใช้ผู้รับมอบสิทธิ์ต้องพิจารณาสิทธิ์และนโยบายการดูแลสินทรัพย์แยกต่างหาก ในการหารือเมื่อวันที่ 4 มีนาคม ผู้เข้าร่วมที่แนะนำตัวว่าเป็นไมเคิลจาก Fireblocks สนับสนุนการเลิกใช้ nonce แต่คัดค้านภาระด้านการย้ายระบบ การพึ่งพาสัญญา และความเข้ากันได้กับ DeFi ที่เกิดจาก CPI Passthrough ไมเคิลสนับสนุน transaction envelope โดยมองว่า Sudo เป็นอีกทางเลือก แทนเส้นทางลงนามที่ใช้ CPI ตามข้อเสนอ แกรนต์ซึ่งระบุว่าทำงานที่ Unit 410 กล่าวในวันเดียวกันว่า โปรแกรมผู้ลงนามขนาดเล็กที่ตรวจสอบได้อาจทำให้การย้ายอำนาจเป็นที่ยอมรับได้ แกรนต์ปฏิเสธการย้ายสินทรัพย์ไปยังผู้ลงนามออนไลน์ชั่วคราว แม้จะทำแบบอะตอมิกก็ตาม เพราะภายใต้รูปแบบที่ไม่รับฝากสินทรัพย์ของ Unit 410 เงินทุนต้องยังคงเชื่อมโยงกับ cold storage

เอกสารของ Programmatic Signer รายงานว่ามีการติดตั้งบน devnet และอยู่ระหว่างการตรวจสอบ โดยกำหนดให้แก้ไขปัญหาก่อนเปิดตัว v1 และก่อนติดตั้งบน mainnet พร้อมเตือนว่าอินเทอร์เฟซอาจเปลี่ยนแปลง เอกสารการใช้งานของ Programmatic Signer ระบุว่าการจำลองธุรกรรมและการส่งผ่าน relayer จะพร้อมใช้งานในภายหลัง ขณะที่คู่มือการย้ายระบบยังระบุว่าการดำเนินการหลายอย่างไม่เสร็จสมบูรณ์ Vector เผยแพร่โค้ดและรหัสโปรแกรม แต่ README ของ Vector ไม่ระบุสถานะการตรวจสอบหรือการติดตั้งบน mainnet ชุดเอกสารเริ่มต้นใช้งานโปรโตคอลปัจจุบันของ Fireblocks ระบุว่ามีการเพิ่ม durable nonce โดยอัตโนมัติสำหรับการผสานรวม WalletConnect ที่เลือกไว้ รวมถึง Jupiter และ Kamino โดยกำหนดช่วงเวลาใช้งานเริ่มต้น 15 นาทีซึ่งผู้ให้บริการเป็นผู้จัดการ และระบบทดแทนจะต้องรองรับเงื่อนไขดังกล่าว