Plano de Gabe Rodriguez para eliminar os durable nonces da Solana impõe prazo de seis meses a custodians

Segundo o Unchained, Gabe Rodriguez, da Anza e desenvolvedor central do software de validação da Solana, protocolou um Documento de Melhoria da Solana (SIMD) em 5 de novembro para aposentar os durable nonces. Um durable nonce é um valor armazenado em uma conta dedicada que substitui um blockhash recente, permitindo que uma transação seja assinada agora e enviada muito depois.

Sob o SIMD-0723, “toda transação precisa de um blockhash recente” assim que a mudança for ativada. Esse blockhash expira após 150 blocos, e a transação não pode mais ser incluída. As instruções do System Program da Solana que inicializam, avançam e atualizam contas de nonce seriam desativadas; as duas que permitem que os proprietários retirem fundos ou reatribuam controle permaneceriam funcionando. As contas existentes não seriam alteradas.

Um commit de 6 de novembro adicionou a linha do tempo: a janela de migração será de, no mínimo, seis meses, contados a partir do protocolo de 5 de novembro, e o rascunho afirma que o recurso “não será ativado na mainnet-beta antes de 5 de maio de 2027”. O status da proposta ainda é Rascunho, e a pull request não tem aprovações. Um bot no repositório lista que são necessárias duas aprovações: uma de um membro da equipe Anza e outra da equipe Firedancer da Jump Crypto, que desenvolve um cliente validador separado.

O rascunho indica que quem assina uma transação agora, mas a transmite após a expiração de 150 blocos, terá que refazer esse processo, destacando custodians e exchanges cujas aprovações em máquinas isoladas podem ultrapassar esse prazo. Michael Gutkin, da Fireblocks, escreveu em março que “a depreciação do durable nonce parece ser a direção correta” (em tradução livre). Ele acrescentou que, se as contas tivessem que ser migradas sem uma ponte de compatibilidade, “12 meses é o mínimo que acreditamos ser viável em escala institucional” (em tradução livre). O SIMD rejeita essa abordagem de ponte e permite, no mínimo, seis meses.

A proposta aponta dois substitutos: o Programmatic Signer da Anza e o Vector da Blueshift. Em ambos, um proprietário delega sua autoridade a um endereço derivado de programa (PDA), que assina aprovações offline e as entrega a um terceiro, ou relayer, e o programa verifica cada assinatura on-chain antes de executar as instruções. Rodriguez, autor do rascunho, realizou 136 commits no repositório do Programmatic Signer até 9 de novembro, mais que qualquer outro contribuinte, segundo os dados de contribuidores do GitHub. O rascunho alerta que “uma submissão falhada não é uma revogação”.

O SIMD cita uma série de bugs, incluindo um incidente em 2022 em que validadores processaram uma transação falha tanto pela rota padrão de blockhash quanto pela rota de nonce, o que paralisou a mainnet por aproximadamente 4,5 horas. Dados de Max Resnick publicados em junho mostraram que transações de nonce representavam cerca de 3,1% das transações em um epoch, mas cerca de 30% das taxas de prioridade. Segundo Resnick, 555 das 103.672 contas que pagaram taxas em transações de nonce representavam 97,5% dessas taxas.

O SIMD não menciona a exchange Drift, mas a própria Drift informou que perdeu cerca de US$ 295,7 milhões em 1º de abril e declarou em seu plano de recuperação que a superfície de ataque do durable-nonce foi “central para a forma como o exploit de 1º de abril foi executado” (em tradução livre). O Unchained cobriu o suposto vínculo norte-coreano e as reivindicações de tokens de recuperação da Drift.

O relógio de seis meses conta a partir da publicação do rascunho, não da prontidão dos substitutos, e o repositório do Programmatic Signer ainda exibia “em construção” em 9 de novembro. Custodians precisarão planejar essa migração junto a outras mudanças recentes do núcleo, como a troca de consenso Alpenglow e o aumento do limite de transação para 4.096 bytes.

A proposta ainda está em fase de rascunho e aguarda as aprovações necessárias, enquanto a comunidade Solana acompanha o desenvolvimento dos substitutos e o impacto nas infraestruturas de custódia.