Solana 提案废除 Durable Nonce：Drift 骇案教训与 2027 淘汰时程

据 Woofun AI 消息， 验证者软体开发商 的工程师 于 11 月 5 日正式提出 改进提案，核心诉求为彻底废除 durable nonce（持久随机数）交易功能。这项长期存在的机制允许已签署的交易在链上保持有效状态数周之久，却在 2024 年 4 月 交易所遭北韩骇客盗取逾 2.7 亿美元的攻击中被关键性利用。提案明确指出，主网最早将于 2027 年 5 月 5 日启用该变更，并为依赖离线签章流程的交易所与托管业者提供至少六个月的迁移缓冲期，强制其调整出金与授权流程以适应新的安全标准。

深入剖析 Drift 骇案的技术细节，可发现 durable nonce 机制的设计初衷与实际风险之间的巨大落差。一般 Solana 交易必须附带近期区块的杂凑值，一旦超过 150 个区块即告失效；随著 Solana 出块速度提升至 200 毫秒，这一有效期仅约 30 秒。

然而，durable nonce 作为 2019 年引入的例外机制，使用链上帐户存储的值取代区块杂凑，使得交易只要该值未改变便持续有效。这一设计本意是服务于托管业者的离线审批流程，因为其签章到上链的过程往往超过 30 秒。

然而，Drift 的攻击者正是利用了这一缓冲特性，他们事先获取签章，让交易搁置一周多，直至 4 月 1 日才一口气执行搬空操作。这种将签章长期存储并延迟执行的能力，成为了骇客发动精准打击的关键工具，暴露出离线签章与链上即时性之间的安全真空。

SIMD-0723 提案并未直接提及 Drift 事件，而是从协议维护成本与历史事故数据的角度论证废除该功能的必要性。durable nonce 要求所有客户端在验证、排程、执行、快取与重播各层级维持两套特殊规则，任何一层的改动都可能打破另一层的假设，导致系统不稳定。草案列出了自 2019 年至今共 7 起与 durable nonce 相关的漏洞与事故。其中最具破坏性的是 2022 年的一次事件，一笔失败交易同时触发了区块杂凑与 nonce 两条路径，导致主网停摆长达 4.5 小时。

此外，在 2024 到 2026 年期间， 客户端也修复了多个 nonce 相关错误，今年更发生了一次测试网事故。除了稳定性风险，该机制还引发了垃圾交易问题：发送者可对同一个 nonce 签署大量交易，仅需一笔上链即可免付其余费用，而验证者仍需接收与检查这些无效数据，增加了网络负担。

从流量分布与优先费统计数据来看，durable nonce 的使用呈现极度的集中化特征。Woofun AI 整理数据显示，研究员 在 Solana 改进提案论坛发布的数据指出，在 6 月的一段统计期间内，durable nonce 交易仅占 Solana 总流量的约 3%，却支付了全部优先费的 30%。更为关键的是，这些交易中有 97.5% 来自仅 555 个帐户。Resnick 虽未披露这些帐户的具体归属，但指出该功能常被用于发送"durable nonce 垃圾交易"。提案同时将托管业者列为另一类主要受影响者，意味著这 555 个帐户可能包含大型机构或自动化脚本。

这种少数帐户占据大量优先费资源的现象，不仅扭曲了网络资源分配，也突显了该机制在当前网络环境下的低效与潜在滥用风险。