Los desarrolladores de Solana están avanzando para eliminar una función técnica que sirvió como principal vía de entrada para un exploit de 270 millones de dólares a principios de este año. La función, conocida como nonce duradero, forma parte de la red desde hace años, pero su capacidad para mantener las transacciones válidas indefinidamente creó una oportunidad para que los atacantes vaciaran el protocolo de trading Drift en abril.
El 5 de noviembre de 2026 se presentó una propuesta formal para retirar la función. Si se aprueba, el cambio obligará a las principales plataformas de intercambio y custodios a revisar por completo cómo gestionan la seguridad de los movimientos de monedas a gran escala. Aunque el cambio busca reforzar la red frente a exploits similares, elimina una herramienta de la que depende un grupo pequeño, pero que paga mucho, de usuarios para gestionar firmas sin conexión.
El exploit de Drift
En abril, atacantes vinculados a grupos afiliados al Estado norcoreano atacaron Drift Protocol, una plataforma de trading descentralizada. Consiguieron llevarse al menos 270 millones de dólares [1]. El robo no se basó en un simple préstamo flash ni en un error típico de contrato inteligente. En su lugar, los atacantes usaron nonces duraderos para eludir los límites de tiempo habituales de las transacciones de Solana.
La mayoría de las transacciones de la red están vinculadas a un hash de bloque reciente. Este actúa como una marca de tiempo. Como Solana ahora procesa bloques cada 200 milisegundos, estas transacciones estándar caducan al cabo de unos 30 segundos [1]. Si una transacción no se procesa dentro de ese plazo, deja de ser válida. Esto impide que se reutilicen firmas antiguas más adelante si cambian las condiciones de la red.
Los atacantes de Drift siguieron otro camino. Obtuvieron aprobaciones firmadas con antelación y dejaron esas transacciones inactivas durante más de una semana [1]. Como estas transacciones utilizaban el mecanismo de nonce duradero, no caducaban. El 1 de abril, los atacantes difundieron las transacciones prefirmadas para vaciar la plataforma [1]. La posibilidad de que una instrucción firmada siga siendo válida durante días o semanas es precisamente lo que la nueva propuesta pretende eliminar.
Aspectos técnicos
El problema central radica en cómo Solana gestiona la caducidad de las transacciones. En circunstancias normales, toda transacción debe llevar una marca de un bloque reciente. Esto garantiza que el estado de la red en el momento de la firma sea relativamente cercano al estado en el momento de la ejecución.
Los nonces duraderos se diseñaron para resolver un problema concreto de los usuarios que no pueden difundir una transacción inmediatamente después de firmarla. Es un requisito habitual para los custodios y las grandes plataformas de intercambio que utilizan firmas en equipos aislados de la red. En estas configuraciones, el ordenador que contiene las claves privadas nunca está conectado a internet. Una persona debe trasladar manualmente los datos de la transacción del equipo desconectado a uno conectado. Si ese proceso tarda más de 30 segundos, una transacción estándar de Solana caducaría antes de llegar siquiera a la red.
Los nonces duraderos sustituyen el hash de bloque estándar por un valor único almacenado en una cuenta específica de la blockchain. Mientras esa cuenta no cambie, la transacción firmada sigue siendo válida. En la práctica, esto da a una transacción una vida útil infinita hasta que se ejecuta o se cambia manualmente el nonce. Aunque esto ofrece flexibilidad para operaciones de alta seguridad, también elimina la protección que ofrece la caducidad a la mayoría de los usuarios frente a exploits que se ejecutan con retraso.
Calendario de la propuesta
La iniciativa para eliminar esta función está encabezada por Gabe Rodriguez, ingeniero de Anza. Anza es la empresa responsable de mantener el software principal de validadores que utiliza la red Solana. Rodriguez presentó la propuesta, conocida como SIMD-0723, el 5 de noviembre de 2026 [1].
La propuesta sostiene que los nonces duraderos han sido fuente de errores e inestabilidad durante años. Además del hackeo de Drift, el documento cita un incidente de 2022 en el que una transacción fallida se procesó simultáneamente por la vía del hash de bloque estándar y por la vía del nonce. Ese error provocó la interrupción de la red principal de Solana durante aproximadamente 4,5 horas [1].
Según el borrador actual, la función no se desactivaría en la mainnet-beta antes del 5 de mayo de 2027 [1]. Este calendario pretende dar a los usuarios al menos seis meses para migrar sus sistemas. Sin embargo, la Fundación Solana ha indicado que el plazo quizá no empiece hasta que haya un sustituto viable para los nonces duraderos. Si la sustitución se retrasa, la fecha límite final podría aplazarse aún más dentro de 2027.
Para que la propuesta avance, necesita la aprobación técnica de al menos dos partes clave. Un ingeniero de Anza y otro del equipo de Firedancer deben aprobar los cambios antes de que puedan integrarse en el código de la red [1]. Firedancer es el cliente de validador independiente que está desarrollando Jump Crypto, y su aprobación es un requisito estándar para los cambios importantes del protocolo.
Los usuarios afectados
Aunque los nonces duraderos son una función de nicho, representan una parte considerable de la actividad económica de la red. Los datos del investigador Max Resnick muestran que las transacciones con nonce duradero representaron solo alrededor del 3 % del tráfico de Solana durante un período de medición en junio [1]. Sin embargo, esas transacciones generaron el 30 % de todas las comisiones prioritarias pagadas a los validadores durante ese mismo período [1].
Las comisiones prioritarias son las propinas que los usuarios añaden a sus transacciones para que se procesen rápidamente. El hecho de que el 3 % del tráfico pague el 30 % de las comisiones sugiere que quienes usan nonces duraderos suelen ser grandes actores institucionales o sistemas automatizados que priorizan la rapidez y la fiabilidad por encima del costo.
Los datos también muestran que este uso está muy concentrado. Solo 555 cuentas individuales fueron responsables del 97,5 % de todas las transacciones con nonce duradero [1]. Parte de esta actividad se atribuye al «spam de nonce duradero», en el que los usuarios aprovechan la función para saturar la red con transacciones persistentes. El resto del grupo está compuesto principalmente por los custodios y las plataformas de intercambio que dependen de las firmas en equipos aislados de la red. Cuando se retire la función, estas 555 cuentas tendrán que encontrar una nueva forma de operar.
Alternativas futuras
La retirada de los nonces duraderos no significa que las firmas en equipos aislados de la red vayan a ser imposibles en Solana. En cambio, se está impulsando a los desarrolladores a utilizar programas en la cadena para gestionar las firmas. La propuesta plantea dos opciones principales: Programmatic Signer de Anza y Vector de Blueshift [1].
Estos programas actúan como intermediarios. En lugar de que una transacción sea válida por sí sola, se envía a un programa que comprueba una firma sin conexión según reglas específicas almacenadas en la blockchain. Esto permite ampliar el plazo para firmar sin dejar la red expuesta a los mismos tipos de errores de bloqueo de cuentas asociados a los nonces.
Sin embargo, estos nuevos métodos conllevan sus propios riesgos. El borrador de la propuesta advierte que un intento de ejecución fallido en estos nuevos programas puede dejar una autorización utilizable [1]. En el sistema antiguo, si una transacción fallaba, por lo general se consumía el nonce o caducaba el hash de bloque. Con las sustituciones propuestas, un envío fallido no equivale a una revocación. Una mesa de custodia que ve que una transferencia falla no puede dar por sentado que la aprobación haya quedado anulada. Puede que tenga que tomar medidas adicionales para garantizar que la firma no se pueda reutilizar.
La Fundación Solana anunció anteriormente en octubre un plan para retirar gradualmente la función, pero SIMD-0723 aporta las primeras fechas concretas para la transición. La propuesta está actualmente a la espera de una revisión técnica por parte de los equipos de Anza y Firedancer.
Fuentes
1. CoinDesk, Solana se dispone a eliminar la función de transacciones utilizada en el hackeo de Drift de 270 millones de dólares, https://www.coindesk.com/tech/2026/11/09/solana-moves-to-scrap-the-transaction-feature-used-in-the-usd270-million-drift-hack
Gráficos y lista completa de fuentes: https://amk.news/article/solana-to-scrap-transaction-feature-after-270m-drift-hack