Solana va supprimer une fonctionnalité de transaction après le piratage de Drift, qui a coûté 270 millions de dollars

Les développeurs de Solana s’apprêtent à supprimer une fonctionnalité technique qui a constitué le principal point d’entrée d’un exploit de 270 millions de dollars survenu plus tôt cette année. Cette fonctionnalité, appelée « nonces durables », fait partie du réseau depuis des années, mais comme elle permettait de garder des transactions valides indéfiniment, elle a offert aux attaquants l’occasion de vider le protocole de trading Drift en avril.
Une proposition officielle visant à supprimer cette fonctionnalité a été déposée le 5 novembre 2026. Si elle est approuvée, ce changement obligera les grandes plateformes d’échange et les dépositaires à revoir entièrement la façon dont ils assurent la sécurité des transferts de cryptomonnaies à grande échelle. Bien que cette mesure vise à renforcer le réseau contre des exploits similaires, elle supprime un outil dont dépend un petit groupe d’utilisateurs, mais qui dépense beaucoup, pour gérer les signatures hors ligne.
L’exploitation de Drift
En avril, des attaquants liés à des groupes affiliés à l’État nord-coréen ont ciblé Drift Protocol, une plateforme de trading décentralisée. Ils sont repartis avec au moins 270 millions de dollars [1]. Le vol ne reposait ni sur un simple prêt éclair ni sur une faille classique dans un contrat intelligent. Les attaquants ont plutôt utilisé des nonces durables pour contourner les limites de temps habituelles imposées aux transactions Solana.
La plupart des transactions sur le réseau sont associées à un hachage de bloc récent. Celui-ci sert d’horodatage. Comme Solana traite désormais les blocs toutes les 200 millisecondes, ces transactions standard expirent au bout d’environ 30 secondes [1]. Si une transaction n’est pas traitée dans ce délai, elle devient invalide. Cela empêche la réutilisation ultérieure d’anciennes signatures si les conditions du réseau changent.
Les attaquants de Drift ont emprunté une autre voie. Ils ont obtenu des approbations signées à l’avance et ont laissé ces transactions inactives pendant plus d’une semaine [1]. Comme elles utilisaient le mécanisme des nonces durables, elles n’ont pas expiré. Le 1er avril, les attaquants ont diffusé les transactions pré-signées pour vider la plateforme [1]. La possibilité qu’une instruction signée reste valide pendant des jours ou des semaines est précisément ce que la nouvelle proposition cherche à supprimer.
Fonctionnement technique
Le cœur du problème réside dans la façon dont Solana gère l’expiration des transactions. Dans des circonstances normales, chaque transaction doit contenir une empreinte provenant d’un bloc récent. Cela garantit que l’état du réseau au moment de la signature est relativement proche de celui au moment de l’exécution.
Les nonces durables ont été conçus pour résoudre un problème particulier rencontré par les utilisateurs qui ne peuvent pas diffuser une transaction immédiatement après l’avoir signée. C’est une exigence courante pour les dépositaires et les grandes plateformes d’échange qui utilisent la signature hors ligne. Dans ces configurations, l’ordinateur qui détient les clés privées n’est jamais connecté à Internet. Une personne doit transférer manuellement les données de la transaction de la machine hors ligne vers une machine connectée. Si cette opération prend plus de 30 secondes, une transaction Solana standard expirerait avant même d’atteindre le réseau.
Les nonces durables remplacent le hachage de bloc standard par une valeur unique enregistrée dans un compte spécifique de la blockchain. Tant que ce compte reste inchangé, la transaction signée demeure valide. Cela confère de fait à une transaction une durée de validité illimitée, jusqu’à ce qu’elle soit exécutée ou que le nonce soit modifié manuellement. Si cette fonctionnalité offre de la flexibilité pour les opérations hautement sécurisées, elle supprime aussi le filet de sécurité que constitue l’expiration et qui protège la plupart des utilisateurs contre les exploits différés.
Calendrier de la proposition
L’initiative visant à supprimer cette fonctionnalité est menée par Gabe Rodriguez, ingénieur chez Anza. Anza est l’entreprise chargée de maintenir le logiciel principal de validation utilisé par le réseau Solana. Rodriguez a déposé la proposition, connue sous le nom de SIMD-0723, le 5 novembre 2026 [1].
La proposition soutient que les nonces durables sont depuis des années une source de bogues et d’instabilité. Outre le piratage de Drift, le document cite un incident survenu en 2022, au cours duquel une transaction échouée a été traitée simultanément par la voie du hachage de bloc standard et celle du nonce. Cette erreur a provoqué l’arrêt du réseau principal de Solana pendant environ 4,5 heures [1].
Selon la version actuelle du projet, la fonctionnalité ne serait pas désactivée sur le réseau principal bêta avant le 5 mai 2027 [1]. Ce calendrier vise à donner aux utilisateurs au moins six mois pour migrer leurs systèmes. La Solana Foundation a toutefois indiqué que le compte à rebours pourrait ne commencer qu’une fois qu’un remplacement viable des nonces durables sera pleinement prêt. Si le remplacement tarde, la date limite définitive pourrait être repoussée plus loin en 2027.
Pour aller de l’avant, la proposition doit obtenir l’approbation technique d’au moins deux parties clés. Un ingénieur d’Anza et un ingénieur de l’équipe Firedancer doivent approuver les changements avant qu’ils puissent être intégrés au code du réseau [1]. Firedancer est un client de validation indépendant développé par Jump Crypto, et son approbation est une exigence standard pour les changements majeurs de protocole.
Les utilisateurs concernés
Bien que les nonces durables soient une fonctionnalité de niche, ils représentent une part importante de l’activité économique du réseau. Les données du chercheur Max Resnick montrent que les transactions utilisant des nonces durables ne représentaient qu’environ 3 % du trafic de Solana pendant une période de mesure en juin [1]. Elles étaient toutefois à l’origine de 30 % de l’ensemble des frais prioritaires versés aux validateurs durant cette même période [1].
Les frais prioritaires sont les pourboires que les utilisateurs ajoutent à leurs transactions pour qu’elles soient traitées rapidement. Le fait que 3 % du trafic génère 30 % des frais laisse penser que les utilisateurs de nonces durables sont souvent de grands acteurs institutionnels ou des systèmes automatisés qui privilégient la rapidité et la fiabilité au coût.
Les données montrent également que cette utilisation est très concentrée. À eux seuls, 555 comptes individuels étaient responsables de 97,5 % de toutes les transactions utilisant des nonces durables [1]. Une partie de cette activité est attribuée au « spam par nonce durable », dans lequel des utilisateurs exploitent cette fonctionnalité pour inonder le réseau de transactions persistantes. Le reste du groupe se compose principalement de dépositaires et de plateformes d’échange qui s’appuient sur la signature hors ligne. À la suppression de cette fonctionnalité, ces 555 comptes devront trouver une nouvelle façon de fonctionner.
Solutions de remplacement
La suppression des nonces durables ne signifie pas que la signature hors ligne deviendra impossible sur Solana. Les développeurs sont plutôt incités à utiliser des programmes on-chain pour gérer les signatures. La proposition suggère deux options principales : Programmatic Signer d’Anza et Vector de Blueshift [1].
Ces programmes servent d’intermédiaires. Au lieu d’être valide par elle-même, une transaction est envoyée à un programme qui vérifie une signature hors ligne par rapport à des règles précises enregistrées sur la blockchain. Cela permet de disposer d’un délai de signature plus long sans exposer le réseau aux mêmes types de bogues de verrouillage de compte associés aux nonces.
Cependant, ces nouvelles méthodes comportent leurs propres risques. Le projet de proposition avertit qu’un échec d’exécution dans ces nouveaux programmes peut laisser une autorisation utilisable [1]. Dans l’ancien système, si une transaction échouait, le nonce était généralement consommé ou le hachage de bloc expirait. Avec les solutions de remplacement proposées, un échec de soumission n’équivaut pas à une révocation. Un service de conservation qui constate l’échec d’un transfert ne peut pas automatiquement supposer que l’approbation n’est plus valable. Il devra peut-être prendre des mesures supplémentaires pour s’assurer que la signature ne peut pas être réutilisée.
La Solana Foundation avait précédemment annoncé en octobre un plan visant à supprimer progressivement cette fonctionnalité, mais SIMD-0723 fournit les premières dates concrètes de la transition. La proposition est actuellement en attente d’un examen technique par les équipes d’Anza et de Firedancer.
Sources
1. CoinDesk, Solana envisage de supprimer la fonctionnalité de transaction utilisée lors du piratage de Drift, qui a coûté 270 millions de dollars, https://www.coindesk.com/tech/2026/11/09/solana-moves-to-scrap-the-transaction-feature-used-in-the-usd270-million-drift-hack
Graphiques et liste complète des sources : https://amk.news/article/solana-to-scrap-transaction-feature-after-270m-drift-hack