Solana откажется от функции транзакций, использованной при взломе Drift на $270 млн

Разработчики Solana хотят отказаться от функции, позволяющей подписанной транзакции оставаться неотправленной неделями, — механизма, на который опирались злоумышленники, чтобы вывести как минимум $270 млн из торгового протокола Drift в апреле.

Каждая обычная транзакция Solana несёт метку, привязанную к недавнему блоку, так называемый blockhash, из-за чего срок её действия истекает примерно через 30 секунд, поскольку сеть обрабатывает блоки за 200 миллисекунд. В этом случае механизм, известный как durable nonce, заменяет метку на ту, которая никогда не устаревает, поэтому транзакция, подписанная сегодня, всё ещё может пройти в следующем месяце.

Кастодианы и биржи нуждаются в этом буферном окне, потому что их одобрения происходят на изолированных от сети машинах — этот термин обозначает компьютеры, отключённые от интернета, — где отправка подписи в сеть может занять больше 30 секунд.

Это также подошло злоумышленникам Drift, которые заранее получили подписанные одобрения и оставили эти транзакции более чем на неделю, прежде чем использовать их для опустошения торговой платформы 1 апреля. Позже Drift возложил вину за атаку на группу, связанную с северокорейским государством.

Предложение удалить эту функцию, SIMD-0723, было подано 5 ноября Гейбом Родригесом из Anza, компании, стоящей за основным программным обеспечением валидатора Solana.

«После активации каждой транзакции потребуется свежий blockhash», — говорится в нём. В предложении не упоминается Drift, но оно обосновывает свою позицию многолетними ошибками, включая инцидент 2022 года, когда «неудачная транзакция была обработана как через путь blockhash, так и через путь nonce, остановив основную сеть примерно на 4,5 часа».

Черновик также впервые называет дату плана, о котором Solana Foundation объявила в октябре.

«Функция не будет активирована в mainnet-beta до 2027-05-05», — говорится в нём, что даёт пользователям «как минимум шесть месяцев на миграцию, считая с момента публикации этого предложения 2026-11-05». Собственная страница фонда об отказе от функции всё ещё гласит «Дата не установлена» и запускает шестимесячный отсчёт только после того, как будет готова замена, что может сдвинуть крайний срок позже.

Что изменится

Основные изменения затронут небольшую группу. Транзакции с durable nonce составили около 3% трафика Solana за один июньский период измерений, но на них пришлось 30% всех приоритетных комиссий — чаевых, которые пользователи добавляют, чтобы их обработали первыми.

Всего 555 аккаунтов отправили 97,5% из них, согласно данным исследователя Макса Резника.

В публикации Резника не говорится, кто управляет этими аккаунтами, но функция описывается как «используемая для спама durable nonce». В предложении кастодианы названы отдельной затронутой группой.

«Сюда входят кастодианы и биржи, использующие подписание на изолированных машинах, где одобрение занимает больше этого окна», — сказано в нём.

Их заменой станет ончейн-программа, проверяющая офлайн-подпись, при этом в качестве вариантов названы Programmatic Signer от Anza и Vector от Blueshift. Эти программы несут собственные риски, и в черновике предупреждается, что «неудачное выполнение может оставить авторизацию пригодной для использования, поэтому неудачная отправка не является отзывом». Кастодиальный отдел, видящий, что перевод не прошёл, не может считать, что лежащее в его основе одобрение утратило силу.

Предложению всё ещё требуется одобрение как минимум одного инженера из Anza и одного из Firedancer, конкурирующего программного обеспечения валидатора, созданного Jump, прежде чем оно может быть объединено.