Solana Foundation представила октябрьский план отказа от durable nonces — механизма, позволяющего подписывать транзакции офлайн и транслировать их позже. Сами nonces пока остаются работоспособными: дата удаления не назначена, а окончательный выбор между Anza Programmatic Signer и Blueshift Vector не сделан. Ориентировочное окно миграции — около шести месяцев с момента, когда замена будет готова, пройдёт аудит и окажется в основной сети.
Новая схема сохраняет одобрение холодным ключом, но меняет контроль над активами. Действия начинает авторизовывать исходный ключ, а транзакцию отправляет отдельный онлайн-оператор, который платит комиссию. Контролирующим счётом становится program-derived address (PDA), не имеющий собственного приватного ключа. При этом вывод PDA сам по себе не перемещает монеты и права: операторам нужно отдельно перевести SOL, токенные остатки, mint- и freeze-полномочия, а также staker- и withdraw-права по стейкинг-аккаунтам.
Два кандидата различаются тем, насколько жёстко подпись связывает транзакцию. Programmatic Signer закрепляет исполнителя, nonce-аккаунт и встроенное сообщение: ретранслятор не может менять авторизованные данные, но может выбрать плательщика комиссии, blockhash и добавить инструкции вокруг. Vector фиксирует буфер инструкций верхнего уровня, поэтому окружающие инструкции должны быть включены до подписания. В обоих случаях оплата отправки не даёт права переписывать подписанное действие. Различается и работа с нативным SOL: у Programmatic Signer счёт принадлежит System и допускает обычный перевод, Vector использует program-owned счёт с собственным выводом или закрытием.
При сбое поведение меняется. Сейчас durable nonce, прошедшая валидацию, но упавшая при исполнении, всё равно расходуется. Новая архитектура проводит nonce-переход и изменения приложения вместе — либо коммитит, либо откатывает. Это значит, что неудачная попытка не обязательно аннулирует одобрение: без дедлайна оно может остаться пригодным для позднего исполнения. Vector отдельно предупреждает, что ретранслятор может удерживать транзакцию до изменения условий, а подпись, раскрытая при сбое, может быть исполнена позже. Таймаут в подписанных инструкциях способен отклонить исполнение после дедлайна; для отзыва нужен отдельно авторизованный перевод nonce.
Для приложений доступ через cross-program invocation (CPI) превращается в отдельный тест совместимости. Правила, требующие инструкцию верхнего уровня, могут не увидеть вложенное действие. Token-2022 CPI Guard уже ограничивает CPI-переводы и сжигания требованием делегата, а CPI-approvals запрещает. В марте Fireblocks поддержал отказ от nonces, но выступил против миграции через CPI и связанной с этим нагрузки на DeFi-совместимость, предложив транзакционные конверты или Sudo. Unit 410 допускал небольшой аудируемый signer-проект, но исключал временный перевод активов на горячий ключ. Programmatic Signer сейчас развёрнут в devnet, аудит продолжается; Vector публикует код, но статус аудита и запуска в mainnet не раскрыт.
Ускорение сети добавляет контекст: 9 октября Solana завершила переход на 200-миллисекундные слоты, из-за чего у обычных blockhash-одобрений остаётся меньше времени. Действующие интеграции Fireblocks, включая Jupiter и Kamino, по-прежнему используют автоматическую подстановку durable nonce с окном валидности 15 минут по умолчанию. Поэтому замена должна учитывать существующие кастодиальные процессы, а не только криптографическую валидность офлайн-подписи.
