Solana เตรียมยกเลิกฟีเจอร์ธุรกรรมที่ใช้ในการแฮ็ก Drift มูลค่า 270 ล้านดอลลาร์

นักพัฒนาของ Solana ต้องการยกเลิกฟีเจอร์ที่อนุญาตให้ธุรกรรมที่ลงนามแล้วคงอยู่โดยไม่ถูกส่งเป็นเวลาหลายสัปดาห์ ซึ่งเป็นกลไกที่ผู้โจมตีใช้ในการดูดเงินอย่างน้อย 270 ล้านดอลลาร์จากโปรโตคอลการซื้อขาย Drift ในเดือนเมษายน

ธุรกรรมปกติของ Solana ทุกรายการจะมีตราประทับที่ผูกกับบล็อกล่าสุด เรียกว่า blockhash ซึ่งทำให้ธุรกรรมหมดอายุหลังจากประมาณ 30 วินาที เนื่องจากปัจจุบันเครือข่ายรันบล็อกทุก 200 มิลลิวินาที ในกรณีนี้ กลไกที่เรียกว่า durable nonce จะแทนที่ตราประทับด้วยค่าที่ไม่มีวันหมดอายุ ดังนั้นธุรกรรมที่ลงนามในวันนี้ยังสามารถดำเนินการได้ในเดือนหน้า

ผู้ดูแลสินทรัพย์และกระดานเทรดจำเป็นต้องมีช่วงเวลาบัฟเฟอร์นี้ เนื่องจากการอนุมัติของพวกเขาเกิดขึ้นบนเครื่องแยกเครือข่าย (air-gapped machines) ซึ่งเป็นคำที่ใช้เรียกคอมพิวเตอร์ที่ไม่ได้เชื่อมต่ออินเทอร์เน็ต ซึ่งการส่งลายเซ็นไปยังเครือข่ายอาจใช้เวลานานกว่า 30 วินาที

กลไกนี้ยังเหมาะกับผู้โจมตี Drift ที่ได้รับการอนุมัติล่วงหน้าและปล่อยให้ธุรกรรมเหล่านั้นค้างอยู่นานกว่าหนึ่งสัปดาห์ก่อนนำมาใช้เพื่อเทเงินออกจากแพลตฟอร์มการซื้อขายเมื่อวันที่ 1 เมษายน ต่อมา Drift กล่าวโทษการโจมตีนี้ว่าเป็นฝีมือของกลุ่มที่เกี่ยวข้องกับรัฐบาลเกาหลีเหนือ

ข้อเสนอให้ลบฟีเจอร์นี้คือ SIMD-0723 ยื่นเมื่อวันที่ 5 พฤศจิกายน โดย Gabe Rodriguez จาก Anza บริษัทที่อยู่เบื้องหลังซอฟต์แวร์ validator หลักของ Solana

“หลังจากการเปิดใช้งาน ธุรกรรมทุกรายการต้องใช้ blockhash ล่าสุด” ข้อเสนอระบุ ข้อเสนอนี้ไม่ได้กล่าวถึง Drift แต่ใช้เหตุผลจากบั๊กหลายปี รวมถึงเหตุการณ์ในปี 2022 ที่ “ธุรกรรมที่ล้มเหลวถูกประมวลผลผ่านทั้งเส้นทาง blockhash และ nonce ทำให้ mainnet หยุดทำงานประมาณ 4.5 ชั่วโมง”

ร่างข้อเสนอยังระบุวันแรกสำหรับแผนที่มูลนิธิ Solana ประกาศในเดือนตุลาคม

“ฟีเจอร์นี้จะไม่ถูกเปิดใช้งานบน mainnet-beta ก่อนวันที่ 2027-05-05” ข้อเสนอระบุ โดยให้เวลาแก่ผู้ใช้ “อย่างน้อยหกเดือนในการย้ายระบบ นับจากการเผยแพร่ข้อเสนอนี้เมื่อวันที่ 2026-11-05” หน้า deprecation ของมูลนิธิเองยังคงระบุว่า “ยังไม่กำหนดวัน” และเริ่มนับเวลาหกเดือนเมื่อมีสิ่งทดแทนพร้อมแล้วเท่านั้น ซึ่งอาจเลื่อนกำหนดเส้นตายออกไปอีก

สิ่งที่เปลี่ยนแปลง

กลุ่มเล็กๆ จะได้รับผลกระทบมากที่สุด ธุรกรรม durable nonce คิดเป็นประมาณ 3% ของปริมาณการใช้งาน Solana ในช่วงการวัดหนึ่งเดือนมิถุนายน แต่จ่ายค่าธรรมเนียมลำดับความสำคัญถึง 30% ซึ่งเป็นทิปที่ผู้ใช้เพิ่มเพื่อให้ได้รับการประมวลผลก่อน

มีเพียง 555 บัญชีที่ส่งธุรกรรมเหล่านี้ถึง 97.5% ตามข้อมูลจากนักวิจัย Max Resnick

โพสต์ของ Resnick ไม่ได้ระบุว่าใครเป็นเจ้าของบัญชีเหล่านั้น และอธิบายว่าฟีเจอร์นี้ถูก “นำไปใช้ในทางที่ผิดสำหรับ durable nonce spam” ข้อเสนอระบุว่าผู้ดูแลสินทรัพย์เป็นกลุ่มที่ได้รับผลกระทบอีกกลุ่มหนึ่ง

“ซึ่งรวมถึงผู้ดูแลสินทรัพย์และกระดานเทรดที่ใช้การลงนามแบบ air-gapped ซึ่งการอนุมัติใช้เวลานานกว่าหน้าต่างนั้น” ข้อเสนอระบุ

สิ่งทดแทนคือโปรแกรมออนเชนที่ตรวจสอบลายเซ็นออฟไลน์ โดยมี Programmatic Signer ของ Anza และ Vector ของ Blueshift เป็นตัวเลือก โปรแกรมเหล่านั้นมีความเสี่ยงของตัวเอง และร่างข้อเสนอเตือนว่า “การดำเนินการที่ล้มเหลวอาจทำให้การอนุญาตยังคงใช้งานได้ ดังนั้นการส่งที่ล้มเหลวไม่ใช่การเพิกถอน” ฝ่ายดูแลสินทรัพย์ที่เห็นการโอนล้มเหลวไม่สามารถสรุปได้ว่าการอนุมัติเบื้องหลังนั้นถูกยกเลิกแล้ว

ข้อเสนอนี้ยังต้องได้รับการอนุมัติจากวิศวกรอย่างน้อยหนึ่งคนที่ Anza และหนึ่งคนที่ Firedancer ซึ่งเป็นซอฟต์แวร์ validator คู่แข่งที่สร้างโดย Jump ก่อนที่จะรวมเข้าด้วยกันได้