Предложение Solana по оффлайн-подписанию сохранит действительность одобрений после неудачных транзакций

План Solana по отказу от долговременных нонсов, которые позволяют подписывать транзакции оффлайн и передавать их позже, сохранит одобрение холодного ключа, изменив при этом адреса, контролирующие затронутые активы. Для бирж, кастодианов и операторов казначейства, использующих этот метод подписания, предложенная замена добавляет программу между одобрением холодного ключа и его выполнением.

План по отказу, представленный Фондом Solana в октябре, указывает на программы подписчиков на блокчейне, которые проверяют оффлайн-подпись и выполняют одобренные инструкции. Адрес, производимый программой, или PDA, будет контролировать затронутые счета. Исходный ключ по-прежнему будет авторизовывать действия, в то время как отдельный онлайн-оператор будет их отправлять и оплачивать сетевой сбор.

Замена создает другую архитектуру хранения: операторы должны перенести соответствующие активы или разрешения, приложения должны принимать действия, поступающие через другую программу, а команды по управлению рисками должны одобрить новый путь подписания.

Долговременные нонсы остаются в использовании. Фонд не установил дату удаления или окончательный выбор между Программным Подписчиком Anza и Вектором Blueshift. Его примерно шестимесячный период миграции зависит от готовности подходящей замены, ее аудита и запуска в основной сети.

Ключ продолжает одобрять, но аккаунт меняется

Долговременные нонсы решают проблему времени. Вместо того чтобы подписывать транзакцию, связанную с недавним блокхэшем, который вскоре истечет, оффлайн-подписчик может одобрить одну, используя сохраненный нонс. Это позволяет одобрению и передаче происходить в разное время.

Отдельное обновление Solana на 200 мс достигло своей окончательной стадии в основной сети 9 октября. Более быстрое производство блоков оставляет меньше времени для обычных одобрений, основанных на блокхэше, хотя истечение зависит от производства блоков, а не от гарантированного таймера. Ранее освещение CryptoSlate рассмотрело это изменение времени; предложение по нонсам касается архитектуры, используемой для избежания короткого окна одобрения.

В рамках Программного Подписчика холодный ключ подписывает сообщение авторизации, а не транзакцию, отправляемую в сеть. Релеер помещает это одобрение в транзакцию с новым блокхэшем. Программа подписчика проверяет авторизацию и выполняет одобренные инструкции с производным адресом ключа в качестве подписчика.

PDA не имеет собственного закрытого ключа. Его способность действовать исходит от программы подписчика, проверяющей одобрение исходного ключа. Производство адреса не перемещает никаких активов или разрешений: их необходимо передавать отдельно.

Руководство по миграции описывает перемещение нативного SOL в производный адрес, передачу токенов на счета, контролируемые им, и перемещение разрешений на чеканку или заморозку к нему. Счета стейкинга могут перемещать полномочия стейкера, полномочия на вывод или оба, в зависимости от передаваемого разрешения. Это отдельные контроли, а не один универсальный переключатель кошелька.

Фонд предлагает завершить эти передачи, пока устаревшие долговременные нонсы все еще работают. Для затронутого казначейства одобрение нового программного обеспечения для подписания, таким образом, является лишь частью работы. Его инвентарь аккаунтов и разрешения, которые в настоящее время имеет каждый ключ, определяют, что должно измениться.

Два кандидата на проектирование также по-разному обрабатывают нативный SOL. Производный SOL-аккаунт Программного Подписчика принадлежит системе и может отправлять SOL через одобренный обычный перевод. Вектор инициализирует аккаунт, принадлежащий программе, и выпускает SOL через свою собственную авторизованную операцию вывода или закрытия.

Что позволяет холодная подпись релееру делать

Выбор реализации влияет на то, насколько строго одобрение ограничивает транзакцию вокруг него.

Документация сообщения Programmatic Signer говорит о том, что холодные подписи связывают исполнителя, учетную запись nonce и встроенное сообщение выполнения. Релеер не может изменить эти авторизованные байты, сохраняя действительные подписи. Однако он может выбрать внешнего плательщика комиссии и блокхэш, а также добавить инструкции до или после подачи.

Vector фиксирует буфер инструкций верхнего уровня, включая данные и учетные записи, используемые для передачи одобренных действий в другие программы. Инструкции, окружающие эти действия, должны быть уже включены, когда холодный ключ подписывает. Релеер не может вставить, удалить или изменить их порядок после этого, не аннулируя одобрение.

Programmatic Signer позволяет собрать контекст выполнения вокруг одобренного действия; Vector требует, чтобы окружающая последовательность инструкций была одобрена заранее. В обоих случаях оплата за трансляцию не дает разрешения на переписывание подписанного действия.

Неудачная попытка выполнения может оставить холодное одобрение исполняемым позже. Текущая транзакция с долговым nonce, которая проходит валидацию, но терпит неудачу во время выполнения, все равно потребляет свой nonce. Архитектура Programmatic Signer фиксирует продвижение nonce и изменения приложения вместе или откатывает их вместе. Vector документирует ту же способность повторно попытаться выполнить неудачное действие.

Для операторов возможность повторной попытки означает, что неудачная подача не обязательно аннулировала одобрение. Без установленного срока оно может оставаться доступным для последующего выполнения, пока его nonce не изменится.

Vector явно предупреждает, что релеер может удерживать транзакцию до изменения условий, или что подпись, раскрытая неудачной попыткой, может быть выполнена позже. Тайм-аут, включенный в подписанные инструкции, может отклонить выполнение после истечения срока. Аннулирование требует отдельно авторизованного продвижения nonce. Отклонение по сроку само по себе не потребляет nonce, изменения которого откатываются с неудачной транзакцией.

Доступ к приложению — это отдельный тест хранения

Обоснование Фонда заключается в упрощении обработки валидаторов. Долговые nonce требуют специальных правил предотвращения воспроизведения, усложняют асинхронное выполнение и делают недействительные транзакции труднее фильтровать. Перемещение одобрения и состояния воспроизведения в обычные программы оставляет валидаторов, обрабатывающих обычные транзакции блокхэша.

Приложения затем получают одобренные действия через межпрограммный вызов, или CPI: одна программа вызывает другую. Это может конфликтовать с правилом приложения, согласно которому действие должно поступать непосредственно как инструкция верхнего уровня. Проверки, которые инспектируют только инструкции возврата верхнего уровня или проверки подписи, также могут пропустить действие, вложенное внутри программы подписчика.

Большее доступное количество вызовов не решает правило, которое отклоняет позицию вызова или не может инспектировать вложенные инструкции. Фонд предлагает поддерживать известные программы подписчиков или предлагать другой путь выполнения. Следовательно, вопрос о том, принимает ли приложение подпись PDA, является другим вопросом, чем вопрос о том, является ли оффлайн-одобрение криптографически действительным.

CPI Guard Token-2022 показывает, почему совместимость требует точной оценки на уровне учетной записи. При включенном охраннике переводы и сжигания CPI требуют делегированного полномочия; одобрения через CPI запрещены, и изменение владельца запрещено даже вне CPI. Постоянные делегаты имеют исключения для перевода и сжигания.

Эти правила более специфичны, чем общее запрещение на все действия PDA. Может существовать маршрут передачи на основе делегирования, но установление или использование этих полномочий вводит свои собственные решения по разрешениям и политике хранения.

Институциональные проблемы, поднятые в марте, сосредоточились на доступе к приложениям и контролях, в рамках которых могут перемещаться средства. В обсуждении 4 марта участник, представившийся как Майкл из Fireblocks, поддержал отказ от nonce, возражая против миграции CPI Passthrough, зависимости от контрактов и бремени совместимости DeFi. Он предпочел бы транзакционные конверты, с Sudo в качестве альтернативы, а не предложенный путь подписания на основе CPI.

Грант, который представился как находящийся в Unit 410, сказал в тот же день, что небольшая, поддающаяся аудиту программа подписания может сделать миграцию полномочий приемлемой. Он отверг обходной путь, который временно перемещает активы к горячему подписчику, даже для атомарной операции, поскольку средства должны оставаться связанными с холодным хранилищем в его некустодиальной модели.

Проверяемый дизайн все еще нуждается в пути миграции для производства

Текущая документация Programmatic Signer сообщает о развертывании devnet и проводимых аудитах, с необходимостью исправлений перед выпуском v1 и любым развертыванием в основной сети. Его интерфейсы могут измениться. Документация по использованию все еще отмечает, что симуляция и подача реле будут доступны в ближайшее время, в то время как несколько операций миграции аналогично незавершены в руководстве.

Vector публикует код реализации и идентификаторы программ; его README не указывает статус аудита или развертывания в основной сети.

Тем временем текущий комплект для подключения протокола Fireblocks все еще описывает автоматическую инъекцию долговременного nonce для выбранных интеграций WalletConnect, включая Jupiter и Kamino, с управляемым поставщиком по умолчанию 15-минутным сроком действия. Это описывает существующий рабочий процесс одобрения, который должен учитывать замещение.

Операционная миграция требует аудированного замещения в основной сети, используемых инструментов и путей приложений, которые сохраняют контроль одобрения каждого оператора.