Os desenvolvedores da Solana estão trabalhando para eliminar um recurso técnico que serviu como principal porta de entrada para uma exploração que resultou em US$ 270 milhões em prejuízos no início deste ano. O recurso, conhecido como nonces duráveis, faz parte da rede há anos, mas sua capacidade de manter transações válidas indefinidamente criou uma oportunidade para que invasores drenassem o protocolo de negociação Drift em abril.
Uma proposta formal para desativar o recurso foi apresentada em 5 de novembro de 2026. Se aprovada, a mudança obrigará grandes exchanges e custodiantes a reformular a maneira como lidam com a segurança de movimentações de moedas em grande escala. Embora a mudança tenha como objetivo fortalecer a rede contra explorações semelhantes, ela elimina uma ferramenta usada por um grupo pequeno, mas que paga bastante, de usuários para gerenciar assinaturas offline.
A exploração da Drift
Em abril, atacantes ligados a grupos afiliados ao Estado norte-coreano visaram a Drift Protocol, uma plataforma de negociação descentralizada. Conseguiram roubar pelo menos 270 milhões de dólares [1]. O roubo não se baseou num simples empréstimo flash nem numa vulnerabilidade típica de contrato inteligente. Em vez disso, os atacantes usaram nonces duráveis para contornar os limites de tempo habituais das transações na Solana.
A maioria das transações na rede está associada a um hash de bloco recente. Este funciona como uma marca temporal. Como a Solana processa agora blocos a cada 200 milissegundos, estas transações padrão expiram após cerca de 30 segundos [1]. Se uma transação não for processada dentro desse período, torna-se inválida. Isto impede que assinaturas antigas sejam reutilizadas mais tarde, caso as condições da rede mudem.
Os atacantes da Drift seguiram outro caminho. Obtiveram aprovações assinadas antecipadamente e deixaram essas transações inativas durante mais de uma semana [1]. Como estas transações usavam o mecanismo de nonce durável, não expiravam. A 1 de abril, os atacantes transmitiram as transações pré-assinadas para esvaziar a plataforma [1]. A possibilidade de uma instrução assinada permanecer válida durante dias ou semanas é precisamente o que a nova proposta pretende eliminar.
Aspetos técnicos
A raiz do problema está na forma como a Solana gere a expiração das transações. Em circunstâncias normais, cada transação tem de incluir uma marca de um bloco recente. Isto garante que o estado da rede no momento da assinatura é relativamente próximo do estado no momento da execução.
Os nonces duráveis foram concebidos para resolver um problema específico dos utilizadores que não podem transmitir uma transação imediatamente após assiná-la. Esta é uma necessidade comum para custodiantes e grandes bolsas que usam assinatura em sistemas isolados da rede. Nestas configurações, o computador que guarda as chaves privadas nunca está ligado à internet. Uma pessoa tem de transferir manualmente os dados da transação do computador offline para um online. Se esse processo demorar mais de 30 segundos, uma transação padrão da Solana expiraria antes mesmo de chegar à rede.
Os nonces duráveis substituem o hash de bloco padrão por um valor único armazenado numa conta específica na blockchain. Enquanto essa conta não for alterada, a transação assinada continua válida. Na prática, isto dá à transação um prazo de validade infinito, até ser executada ou o nonce ser alterado manualmente. Embora isto proporcione flexibilidade para operações de alta segurança, também elimina a proteção da expiração que resguarda a maioria dos utilizadores contra explorações adiadas.
Calendário da proposta
A iniciativa para remover esta funcionalidade está a ser liderada por Gabe Rodriguez, engenheiro da Anza. A Anza é a empresa responsável pela manutenção do principal software validador usado pela rede Solana. Rodriguez apresentou a proposta, conhecida como SIMD-0723, a 5 de novembro de 2026 [1].
A proposta sustenta que os nonces duráveis têm sido uma fonte de erros e instabilidade há anos. Para além do ataque à Drift, o documento cita um incidente de 2022 em que uma transação falhada foi processada simultaneamente pelo percurso do hash de bloco padrão e pelo percurso do nonce. Esse erro fez com que a rede principal da Solana parasse durante aproximadamente 4,5 horas [1].
Segundo a versão atual da proposta, a funcionalidade não seria desativada na mainnet-beta antes de 5 de maio de 2027 [1]. Este calendário pretende dar aos utilizadores pelo menos seis meses para migrarem os seus sistemas. No entanto, a Solana Foundation indicou que a contagem do prazo poderá só começar quando estiver totalmente pronta uma alternativa viável aos nonces duráveis. Se a substituição se atrasar, a data-limite final poderá ser adiada para mais tarde em 2027.
Para avançar, a proposta precisa da aprovação técnica de pelo menos duas partes essenciais. Um engenheiro da Anza e um engenheiro da equipa Firedancer têm de aprovar as alterações antes de estas poderem ser integradas no código da rede [1]. A Firedancer é o cliente validador independente que está a ser desenvolvido pela Jump Crypto, e a sua aprovação é um requisito padrão para alterações importantes ao protocolo.
Utilizadores afetados
Embora os nonces duráveis sejam uma funcionalidade de nicho, representam uma parcela significativa da atividade económica da rede. Os dados do investigador Max Resnick mostram que as transações com nonce durável representaram apenas cerca de 3% do tráfego da Solana durante um período de medição em junho [1]. No entanto, essas transações foram responsáveis por 30% de todas as taxas prioritárias pagas aos validadores nesse mesmo período [1].
As taxas prioritárias são gratificações que os utilizadores acrescentam às suas transações para garantir que sejam processadas rapidamente. O facto de 3% do tráfego pagar 30% das taxas sugere que os utilizadores de nonces duráveis são, muitas vezes, grandes instituições ou sistemas automatizados que privilegiam a rapidez e a fiabilidade em detrimento do custo.
Os dados também mostram que este uso está muito concentrado. Apenas 555 contas individuais foram responsáveis por 97,5% de todas as transações com nonce durável [1]. Parte desta atividade é atribuída a «spam de nonce durável», em que os utilizadores exploram a funcionalidade para inundar a rede com transações persistentes. O restante grupo é composto principalmente por custodiantes e bolsas que dependem da assinatura em sistemas isolados da rede. Quando a funcionalidade for descontinuada, estas 555 contas terão de encontrar uma nova forma de operar.
Alternativas futuras
A descontinuação dos nonces duráveis não significa que a assinatura em sistemas isolados da rede se tornará impossível na Solana. Em vez disso, os programadores estão a ser incentivados a usar programas on-chain para gerir assinaturas. A proposta sugere duas opções principais: o Programmatic Signer da Anza e o Vector da Blueshift [1].
Estes programas funcionam como intermediários. Em vez de uma transação ser válida por si só, é enviada para um programa que verifica uma assinatura offline de acordo com regras específicas armazenadas na blockchain. Isto permite um período de assinatura mais longo sem deixar a rede vulnerável aos mesmos tipos de erros de bloqueio de contas associados aos nonces.
No entanto, estes novos métodos também apresentam os seus próprios riscos. A proposta preliminar alerta que uma execução falhada nestes novos programas pode deixar uma autorização utilizável [1]. No sistema antigo, se uma transação falhasse, o nonce era geralmente consumido ou o hash de bloco expirava. Com as substituições propostas, uma submissão falhada não equivale a uma revogação. Uma equipa de custódia que veja uma transferência falhar não pode presumir automaticamente que a aprovação deixou de ser válida. Poderá ter de tomar medidas adicionais para garantir que a assinatura não possa ser reutilizada.
A Solana Foundation anunciou anteriormente, em outubro, um plano para descontinuar a funcionalidade, mas a SIMD-0723 apresenta as primeiras datas concretas para a transição. A proposta aguarda atualmente a análise técnica das equipas da Anza e da Firedancer.
Fontes
1. CoinDesk, Solana avança para eliminar a funcionalidade de transação usada no ataque de 270 milhões de dólares à Drift, https://www.coindesk.com/tech/2026/11/09/solana-moves-to-scrap-the-transaction-feature-used-in-the-usd270-million-drift-hack
Gráficos e lista completa de fontes: https://amk.news/article/solana-to-scrap-transaction-feature-after-270m-drift-hack