Solana-Entwurf will ewig gültige Transaktionen abschaffen

Ein Entwickler des Solana-Softwarehauses Anza hat vorgeschlagen, die sogenannten Durable Nonces abzuschaffen, mit denen sich Transaktionen unterschreiben und viel später einreichen lassen. Der Entwurf SIMD-0723 vom 5. November ist noch nicht angenommen, im Hauptnetz würde die Funktion frühestens am 5. Mai 2027 abgeschaltet. Umstellen müssten vor allem Verwahrer und Börsen, die vom Netz getrennt signieren.

Normalerweise verfällt eine Solana-Transaktion schnell. Sie verweist auf einen jüngeren Block, den Blockhash, und wird ungültig, sobald dieser mehr als 150 Blöcke alt ist. Weil Solana inzwischen etwa alle 200 Millisekunden einen Block erzeugt, sind das nach eigener Rechnung rund 30 Sekunden.

Durable Nonces heben diese Frist auf. Statt des Blockhashs trägt die Transaktion einen Wert, der in einem eigenen Nonce-Konto gespeichert ist, und sie bleibt gültig, bis dieser Wert weiterrückt. Firmen können eine Überweisung so auf einem Rechner ohne Internetverbindung unterschreiben lassen und Tage später einreichen. Die Funktion wirkt damit wie ein unterschriebener Scheck ohne Verfallsdatum.

Anza begründet den Schritt mit Pannen seit 2019

Eingereicht hat den Entwurf am 5. November ein Anza-Entwickler, der im Dokument als Gabe R. zeichnet, im Verzeichnis der Solana-Verbesserungsvorschläge auf GitHub. Die Sonderregeln für Durable Nonces hätten “repeatedly caused security vulnerabilities and consensus bugs in validator clients”, heißt es dort, also wiederholt Sicherheitslücken und Konsensfehler in der Software der Validatoren verursacht.

Die Liste im Entwurf beginnt 2019 mit einer Lücke, über die sich mit fehlgeschlagenen Transaktionen Gebühren abziehen ließen. 2022 lief eine fehlgeschlagene Transaktion zugleich über beide Wege, das Hauptnetz stand danach rund viereinhalb Stunden still. Auch in Firedancer, der zweiten Validator-Software, mussten zwischen 2024 und 2026 mehrere Fehler rund um Nonces behoben werden.

Den Hack bei Drift nennt der Entwurf nicht.

Fachmedien wie CoinDesk und Cryptonews bringen den Vorschlag trotzdem mit dem Angriff auf die Handelsplattform vom April in Verbindung. Nach Darstellung von Cryptonews hatten sich die Angreifer Freigaben des Sicherheitsrats von Drift verschafft und die vorab unterschriebenen Transaktionen mehr als eine Woche später eingereicht; erbeutet wurden mindestens 270 Millionen Dollar. Drift schreibt die Tat einer Gruppe aus Nordkorea zu, die Beute wanderte im Oktober durch Tornado Cash.

Verwahrer müssen ihre Offline-Abläufe umbauen

Nach der Umstellung bräuchte jede Transaktion einen aktuellen Blockhash, vorab signierte Nonce-Transaktionen würden abgewiesen. Das trifft laut Entwurf “custodians and exchanges that use air-gapped signing”, also Verwahrer und Börsen mit vom Netz getrennten Signiersystemen, deren Freigaben länger dauern als das Zeitfenster. Als Ersatz nennt der Entwurf Programme wie Programmatic Signer und Blueshift Vector, die eine offline erteilte Unterschrift später in einer gewöhnlichen Transaktion auf der Kette prüfen. Den Schutz vor Wiederholung und Ablauf müssten dann diese Programme leisten, warnt das Dokument.

Guthaben auf bestehenden Nonce-Konten bleiben abhebbar. Nur bei nicht initialisierten Nonce-Konten mit Guthaben kann das Geld dauerhaft gesperrt bleiben, wenn der Schlüssel der Kontoadresse selbst fehlt; diesen Verlust nimmt der Entwurf ausdrücklich in Kauf.

Wer SOL über eine Börse oder eine gewöhnliche Wallet hält, unterschreibt und sendet in einem Zug und fällt damit nicht unter die Änderung. Zu migrieren haben Betroffene mindestens sechs Monate ab der Veröffentlichung am 5. November. SOL kostete am Montag um 12:07 Uhr 85,85 Dollar, 3,7 Prozent weniger als 24 Stunden zuvor (Quelle: CoinGecko).

Auf GitHub trägt SIMD-0723 noch den Status “Draft”, eine Feature-Kennung für die Aktivierung bekommt der Vorschlag erst nach seiner Annahme.