Solana eliminará la función de transacción usada en el hackeo de 270 millones de dólares a Drift

Los desarrolladores de Solana quieren retirar una función que permite que una transacción firmada permanezca sin enviarse durante semanas, el mecanismo del que dependieron los atacantes para drenar al menos 270 millones de dólares del protocolo de trading Drift en abril.

Toda transacción normal de Solana lleva un sello vinculado a un bloque reciente, llamado blockhash, que la hace expirar después de unos 30 segundos ahora que la red ejecuta bloques de 200 milisegundos. En ese sentido, un mecanismo conocido como nonce duradero sustituye los sellos por uno que nunca caduca, de modo que una transacción firmada hoy puede ejecutarse el mes que viene.

Los custodios y exchanges necesitan esta ventana de margen porque sus aprobaciones se realizan en máquinas aisladas, un término para ordenadores que se mantienen desconectados de internet, donde enviar una firma a la red puede tardar más de 30 segundos.

También les vino bien a los atacantes de Drift, que consiguieron aprobaciones firmadas por adelantado y dejaron esas transacciones en espera durante más de una semana antes de usarlas para vaciar la plataforma de trading el 1 de abril. Drift atribuyó posteriormente el ataque a un grupo afiliado al Estado norcoreano.

La propuesta para eliminar la función, SIMD-0723, fue presentada el 5 de noviembre por Gabe Rodriguez de Anza, la empresa detrás del software principal de validación de Solana.

“Tras la activación, toda transacción necesita un blockhash reciente”, dice. La propuesta no menciona a Drift, sino que basa su argumentación en años de errores, incluido un incidente de 2022 en el que “una transacción fallida se procesó tanto por la vía del blockhash como por la del nonce, deteniendo la red principal durante unas 4,5 horas”.

El borrador también pone la primera fecha a un plan que la Fundación Solana anunció en octubre.

“La función no se activará en mainnet-beta antes del 2027-05-05”, dice, dando a los usuarios “al menos seis meses para migrar, contados desde la publicación de esta propuesta el 2026-11-05”. La propia página de desaprobación de la Fundación sigue diciendo “Sin fecha establecida” y solo inicia el plazo de seis meses una vez que haya un reemplazo listo, lo que podría retrasar el corte.

Qué cambia

Un grupo reducido notaría la mayor parte del cambio. Las transacciones con nonce duradero representaron alrededor del 3% del tráfico de Solana en un periodo de medición de junio, pero pagaron el 30% de todas las tarifas de prioridad, las propinas que los usuarios añaden para que se procesen primero.

Solo 555 cuentas enviaron el 97,5% de ellas, según datos del investigador Max Resnick.

La publicación de Resnick no dice quién gestiona esas cuentas, y describe la función como “cooptada para el spam de nonces duraderos”. La propuesta menciona a los custodios como un grupo afectado aparte.

“Esto incluye a custodios y exchanges que usan firma aislada, donde las aprobaciones tardan más que esa ventana”, decía.

Su reemplazo sería un programa on-chain que verifique una firma offline, con Programmatic Signer de Anza y Vector de Blueshift como opciones mencionadas. Esos programas conllevan sus propios riesgos, y el borrador advierte de que “una ejecución fallida puede dejar una autorización utilizable, por lo que un envío fallido no es una revocación”. Una mesa de custodia que vea fallar una transferencia no puede asumir que la aprobación subyacente ha muerto.

La propuesta aún necesita la aprobación de al menos un ingeniero de Anza y uno de Firedancer, el software validador rival construido por Jump, antes de poder fusionarse.