Verificações de Signatário e Owner

Validação de signatário e owner ausente causa mais exploits de programas Solana do que qualquer outra classe de bug. Toda instrução deve provar que as contas corretas assinaram e pertencem aos programas esperados.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

#[derive(Accounts)]
pub struct TransferOut<'info> {
    #[account(mut, has_one = authority)]
    pub vault: Account<'info, Vault>,
    pub authority: Signer<'info>,
}
 
// Verificação manual de signatário na autoridade de uma UncheckedAccount
require!(ctx.accounts.authority.is_signer, ErrorCode::MissingSigner);
 
// Verificação manual de owner em um mint UncheckedAccount (um mint não assina)
require_keys_eq!(*ctx.accounts.mint.owner, anchor_spl::token::ID, ErrorCode::InvalidOwner);

Quando usar isso:

• Qualquer instrução movendo lamports ou tokens.
• Mudanças de autoridade e atualizações de configuração.
• Aceitar AccountInfo de metadados fornecidos pelo usuário.
• Revisar achados de auditoria em controle de acesso.

Exemplo de Trabalho

use anchor_lang::prelude::*;
use anchor_spl::token::{self, Token, TokenAccount, Transfer};
 
#[account]
pub struct Vault {
    pub authority: Pubkey,
    pub bump: u8,
}
 
#[derive(Accounts)]
pub struct Withdraw<'info> {
    #[account(
        mut,
        seeds = [b"vault", authority.key().as_ref()],
        bump = vault.bump,
        has_one = authority,
    )]
    pub vault: Account<'info, Vault>,
 
    #[account(mut)]
    pub vault_token: Account<'info, TokenAccount>,
 
    #[account(mut)]
    pub destination: Account<'info, TokenAccount>,
 
    pub authority: Signer<'info>,
    pub token_program: Program<'info, Token>,
}
 
pub fn withdraw(ctx: Context<Withdraw>, amount: u64) -> Result<()> {
    // Vincula a Pubkey a uma variável local primeiro - `authority.key()` retorna por valor e
    // a temporária seria descartada enquanto `seeds` ainda a empresta (E0716).
    let authority_key = ctx.accounts.authority.key();
    let bump = ctx.accounts.vault.bump;
    let seeds: &[&[u8]] = &[b"vault", authority_key.as_ref(), &[bump]];
    let signer = &[seeds];
 
    let cpi = CpiContext::new_with_signer(
        ctx.accounts.token_program.to_account_info(),
        Transfer {
            from: ctx.accounts.vault_token.to_account_info(),
            to: ctx.accounts.destination.to_account_info(),
            authority: ctx.accounts.vault.to_account_info(),
        },
        signer,
    );
    token::transfer(cpi, amount)?;
    Ok(())
}

O que isso demonstra:

• Signer em authority impõe aprovação humana.
• has_one = authority vincula o estado do cofre à pubkey do signatário.
• PDA assina transferência de token via seeds de invoke_signed.

Mergulho Profundo

Como Funciona

• Transação inclui uma assinatura Ed25519 por chave assinante.
• O runtime define is_signer nas metadados de conta correspondentes.
• O campo owner nas contas restringe qual programa pode escrever dados.
• Macros Anchor codificam padrões comuns de signatário/owner; código nativo usa verificações de AccountInfo.

Matriz de Verificação

Notas de Rust

// Equivalente em programa nativo
if !authority.is_signer {
    return Err(ProgramError::MissingRequiredSignature);
}
if vault.owner != program_id {
    return Err(ProgramError::IncorrectProgramId);
}

Armadilhas

• Signatário na conta errada - O pagador de taxa assina, mas a autoridade não. Correção: has_one ou constraint = authority.key() == vault.authority explícito.
• PDA como autoridade sem invoke_signed - CPI falha ou usa signatário errado. Correção: Passe seeds para CpiContext::new_with_signer.
• Owner da conta de token - Account<'info, TokenAccount> já verifica se a conta é propriedade do programa SPL Token, e .owner nesse tipo é o campo autoridade do token, não o owner do programa. Correção: Adicione uma verificação na autoridade do token: constraint = vault_token.owner == vault.key().
• Sysvar como UncheckedAccount - Atacante passa sysvar falso. Correção: Use contas tipadas Sysvar<'info, Clock>.
• Multisig - SPL multisig requer metadados de signatário extras. Correção: Corresponda ao layout multisig do programa Token.
• Revival de conta fechada - Conta fechada pode ser realocada na mesma tx em alguns padrões. Correção: Veja guardas de reinicialização.

Alternativas

FAQs

Relacionados

• Noções Básicas de Segurança - introdução ao modelo de ameaça
• Ataques de Validação de Conta - confusão de tipo
• Ataques de PDA e Seed - autoridade PDA
• Catálogo de Ataques Sealevel - checklist completo

Versões da stack: Esta página foi escrita para Agave 4.1.1, Solana CLI 3.0.10, Anchor 0.32.1, anchor-lang 0.32.1, Rust 1.91.1, @solana/kit 7.0.0, Surfpool 0.12.0 e LiteSVM 0.6.x.