Các nhà phát triển Solana đang tìm cách loại bỏ một tính năng kỹ thuật từng là cửa ngõ chính dẫn đến vụ khai thác lỗ hổng trị giá 270 triệu USD hồi đầu năm nay. Tính năng này, được gọi là nonce bền vững, đã tồn tại trên mạng lưới trong nhiều năm, nhưng khả năng giữ cho giao dịch luôn hợp lệ đã tạo cơ hội để kẻ tấn công rút cạn giao thức giao dịch Drift vào tháng 4.

Đề xuất chính thức loại bỏ tính năng này đã được đệ trình vào ngày 5 tháng 11 năm 2026. Nếu được thông qua, thay đổi này sẽ buộc các sàn giao dịch và đơn vị lưu ký lớn phải đại tu cách xử lý bảo mật khi chuyển lượng coin quy mô lớn. Dù mục tiêu của thay đổi là tăng cường khả năng chống lại các vụ khai thác tương tự của mạng lưới, nó sẽ loại bỏ một công cụ mà một nhóm người dùng nhỏ nhưng có mức chi tiêu cao dựa vào để quản lý chữ ký ngoại tuyến.

Vụ khai thác lỗ hổng Drift

Vào tháng 4, những kẻ tấn công có liên hệ với các nhóm trực thuộc nhà nước Triều Tiên đã nhắm vào Drift Protocol, một nền tảng giao dịch phi tập trung. Chúng đã lấy đi ít nhất 270 triệu USD [1]. Vụ trộm không dựa vào một khoản vay nhanh đơn giản hay lỗi hợp đồng thông minh thường gặp. Thay vào đó, những kẻ tấn công đã dùng nonce bền vững để vượt qua giới hạn thời gian thông thường áp dụng cho các giao dịch trên Solana.

Hầu hết giao dịch trên mạng đều gắn với một blockhash gần đây. Giá trị này đóng vai trò như dấu thời gian. Vì Solana hiện xử lý các khối cứ mỗi 200 mili giây, những giao dịch thông thường này hết hạn sau khoảng 30 giây [1]. Nếu giao dịch không được xử lý trong khoảng thời gian đó, nó sẽ mất hiệu lực. Cơ chế này ngăn các chữ ký cũ bị sử dụng lại sau đó nếu điều kiện mạng thay đổi.

Những kẻ tấn công Drift đã chọn một cách khác. Chúng lấy trước các phê duyệt đã ký và để những giao dịch đó nằm yên hơn một tuần [1]. Vì các giao dịch này sử dụng cơ chế nonce bền vững nên chúng không hết hạn. Vào ngày 1 tháng 4, những kẻ tấn công phát đi các giao dịch đã ký trước để rút sạch nền tảng [1]. Khả năng giữ cho một chỉ thị đã ký có hiệu lực trong nhiều ngày hoặc nhiều tuần chính là điều mà đề xuất mới muốn chấm dứt.

Cơ chế kỹ thuật

Vấn đề cốt lõi nằm ở cách Solana xử lý việc hết hạn giao dịch. Trong điều kiện bình thường, mỗi giao dịch phải mang dấu xác nhận từ một khối gần đây. Điều này đảm bảo trạng thái mạng tại thời điểm ký tương đối gần với trạng thái tại thời điểm thực thi.

Nonce bền vững được thiết kế để giải quyết một vấn đề cụ thể cho những người dùng không thể phát đi giao dịch ngay sau khi ký. Đây là yêu cầu phổ biến đối với các đơn vị lưu ký và sàn giao dịch lớn sử dụng phương thức ký ngoại tuyến. Trong các hệ thống này, máy tính lưu khóa riêng không bao giờ kết nối internet. Con người phải tự chuyển dữ liệu giao dịch từ máy ngoại tuyến sang máy trực tuyến. Nếu quá trình đó mất hơn 30 giây, giao dịch Solana thông thường sẽ hết hạn trước khi đến được mạng.

Nonce bền vững thay blockhash thông thường bằng một giá trị duy nhất được lưu trong một tài khoản cụ thể trên blockchain. Chừng nào tài khoản đó chưa thay đổi, giao dịch đã ký vẫn có hiệu lực. Điều này trên thực tế giúp giao dịch có thời hạn sử dụng vô hạn cho đến khi được thực thi hoặc nonce được thay đổi thủ công. Dù tạo sự linh hoạt cho các hoạt động bảo mật cao, cơ chế này cũng loại bỏ lớp bảo vệ do việc hết hạn mang lại, vốn giúp bảo vệ hầu hết người dùng trước các vụ khai thác lỗ hổng bị trì hoãn.

Lộ trình đề xuất

Nỗ lực loại bỏ tính năng này do Gabe Rodriguez, kỹ sư tại Anza, dẫn dắt. Anza là công ty chịu trách nhiệm duy trì phần mềm trình xác thực chính được mạng Solana sử dụng. Rodriguez đã đệ trình đề xuất có tên SIMD-0723 vào ngày 5 tháng 11 năm 2026 [1].

Đề xuất cho rằng nonce bền vững đã gây ra lỗi và tình trạng bất ổn trong nhiều năm. Ngoài vụ tấn công Drift, tài liệu còn viện dẫn một sự cố năm 2022, khi một giao dịch thất bại được xử lý đồng thời qua cả luồng blockhash thông thường lẫn luồng nonce. Lỗi đó khiến mạng chính Solana ngừng hoạt động khoảng 4,5 giờ [1].

Theo bản dự thảo hiện tại, tính năng này sẽ không bị vô hiệu hóa trên mạng chính beta trước ngày 5 tháng 5 năm 2027 [1]. Lộ trình này nhằm giúp người dùng có ít nhất sáu tháng để chuyển đổi hệ thống. Tuy nhiên, Solana Foundation cho biết thời hạn có thể chưa bắt đầu cho đến khi có giải pháp thay thế khả thi cho nonce bền vững. Nếu giải pháp thay thế bị trì hoãn, ngày chốt cuối cùng có thể được lùi xa hơn trong năm 2027.

Để được thông qua, đề xuất cần có sự chấp thuận kỹ thuật từ ít nhất hai bên chủ chốt. Một kỹ sư của Anza và một kỹ sư thuộc nhóm Firedancer phải phê duyệt các thay đổi trước khi chúng được hợp nhất vào mã mạng [1]. Firedancer là phần mềm máy khách trình xác thực độc lập do Jump Crypto phát triển, và việc nhóm này phê duyệt là yêu cầu tiêu chuẩn đối với những thay đổi lớn của giao thức.

Những người dùng bị ảnh hưởng

Dù nonce bền vững là một tính năng ít được sử dụng, nó chiếm tỷ trọng đáng kể trong hoạt động kinh tế của mạng. Dữ liệu từ nhà nghiên cứu Max Resnick cho thấy các giao dịch nonce bền vững chỉ chiếm khoảng 3% lưu lượng Solana trong giai đoạn đo lường vào tháng 6 [1]. Tuy nhiên, những giao dịch đó chiếm 30% tổng phí ưu tiên trả cho các trình xác thực trong cùng khoảng thời gian [1].

Phí ưu tiên là khoản tiền boa người dùng cộng thêm vào giao dịch để đảm bảo giao dịch được xử lý nhanh chóng. Việc 3% lưu lượng trả 30% tổng phí cho thấy người dùng nonce bền vững thường là các tổ chức lớn hoặc hệ thống tự động coi trọng tốc độ và độ tin cậy hơn chi phí.

Dữ liệu cũng cho thấy mức sử dụng này tập trung cao độ. Chỉ 555 tài khoản riêng lẻ chịu trách nhiệm cho 97,5% tổng số giao dịch nonce bền vững [1]. Một phần hoạt động được cho là đến từ “spam nonce bền vững”, trong đó người dùng lợi dụng tính năng này để làm ngập mạng bằng các giao dịch có hiệu lực dai dẳng. Phần còn lại chủ yếu gồm các đơn vị lưu ký và sàn giao dịch dựa vào phương thức ký ngoại tuyến. Khi tính năng này bị ngừng, 555 tài khoản đó sẽ phải tìm cách hoạt động mới.

Các giải pháp thay thế trong tương lai

Việc ngừng sử dụng nonce bền vững không có nghĩa là ký ngoại tuyến sẽ trở nên bất khả thi trên Solana. Thay vào đó, các nhà phát triển đang được khuyến khích sử dụng các chương trình trên chuỗi để xử lý chữ ký. Đề xuất nêu ra hai lựa chọn chính: Programmatic Signer của Anza và Vector của Blueshift [1].

Các chương trình này đóng vai trò trung gian. Thay vì tự có hiệu lực, giao dịch sẽ được gửi đến một chương trình để chương trình kiểm tra chữ ký ngoại tuyến theo các quy tắc cụ thể được lưu trên blockchain. Cách này cho phép kéo dài thời gian ký mà không khiến mạng dễ bị tổn thương trước những dạng lỗi khóa tài khoản tương tự như các lỗi liên quan đến nonce.

Tuy nhiên, các phương thức mới này cũng đi kèm những rủi ro riêng. Bản dự thảo đề xuất cảnh báo rằng nếu việc thực thi trong các chương trình mới này thất bại, quyền ủy quyền vẫn có thể được sử dụng [1]. Trong hệ thống cũ, nếu giao dịch thất bại, nonce thường sẽ bị tiêu thụ hoặc blockhash hết hạn. Với các giải pháp thay thế được đề xuất, một lần gửi thất bại không đồng nghĩa với việc quyền ủy quyền bị thu hồi. Bộ phận lưu ký nhận thấy một giao dịch chuyển tiền thất bại không thể mặc nhiên cho rằng phê duyệt đó đã mất hiệu lực. Họ có thể cần thực hiện thêm các bước để đảm bảo chữ ký không thể bị sử dụng lại.

Solana Foundation trước đó đã công bố kế hoạch ngừng hỗ trợ tính năng này vào tháng 10, nhưng SIMD-0723 đưa ra những mốc thời gian cụ thể đầu tiên cho quá trình chuyển đổi. Đề xuất hiện đang chờ nhóm Anza và Firedancer đánh giá kỹ thuật.

Nguồn

1. CoinDesk, Solana tiến hành loại bỏ tính năng giao dịch được sử dụng trong vụ tấn công Drift trị giá 270 triệu USD, https://www.coindesk.com/tech/2026/11/09/solana-moves-to-scrap-the-transaction-feature-used-in-the-usd270-million-drift-hack

Biểu đồ và danh sách nguồn đầy đủ: https://amk.news/article/solana-to-scrap-transaction-feature-after-270m-drift-hack