يمكن لنظام دفع أن يكون لديه قواعد قوية ولا يزال يفشل عندما يقع الكثير من السلطة في أيدي غير مناسبة. في مارس 2022، عانى شبكة Ronin من خرق أمني كبير كشف عن خطر إدارة غير جيدة للصلاحيات التوقيعية. استولى المهاجمون على خمسة من المفاتيح الخاصة التسعة لمشغلي الشبكة واستخدموها لتأييد سحوبات احتيالية من جسر Ronin. بلغت الأصول المسروقة 173,600 ETH و25.5 مليون USDC. الجزء المثير للاهتمام هو أن المهاجمين لم يكونوا بحاجة إلى كسر العقد الذكي للجسر. لقد حصلوا على عدد كافٍ من التوقيعات الصالحة لتجاوز متطلبات التفويض الحالية للجسر. كان أربعة من المشغلين المخترقين تابعين لـ Sky Mavis. كان الخامس مرتبطًا بـ Axie DAO، الذي سمح سابقًا لـ Sky Mavis بالتوقيع نيابةً عنه خلال فترة طلب عالٍ على المعاملات. ولم يتم إلغاء هذا التصريح بعد انتهاء الترتيب. أظهر الحادث أن توزيع السلطة لا يكفي. يجب أيضًا إدارة الصلاحيات الكامنة وراء هذه السلطة بعناية فائقة. تتعامل Fermah Pay مع أمان المشغلين من خلال طبقات متعددة. تشمل تنفيذها لـ Stellar إدارة مفاتيح قابلة للتكوين للمشغلين الخارجيين. يوفر التصميم الموثق أدوارًا منفصلة، وترتيب إداري 2 من 3، واحتياطي بارد، ودعم لأنظمة AWS KMS، ووحدات أمان مادية، ومخازن مفاتيح أخرى عبر واجهة مُوقِّع عن بُعد. كل مكون يعالج جزءًا مختلفًا من مشكلة الأمان التشغيلي. تساعد الأدوار المنفصلة في تقسيم المسؤوليات بدلاً من منح كل مشغل وصولًا غير مقيد. يوفر الاحتياطي البارد طبقة منفصلة للأموال التي لا ينبغي تعريضها للعمليات الروتينية. توفر أنظمة إدارة المفاتيح الخارجية خيارات للمشغلين لحماية بيانات التوقيع خارج التطبيق نفسه. إن ترتيب 2 من 3 الإداري هو ضمان آخر مهم. يعني ذلك أن أي إجراء إداري يتطلب هذا الحد الأدنى لا يمكن الموافقة عليه بواسطة مفتاح واحد فقط من المفاتيح الثلاثة المعينة. يتطلب الأمر موافقتين. هذا ليس نفس الآلية التي استخدمتها Ronin. كانت Ronin تتطلب خمسة من تسعة توقيعات مشغلين لتأييد سحوبات الجسر. أما ترتيب 2 من 3 الخاص بـ Fermah Pay فيتعلق بالتحكم الإداري في نظامه، وليس بتأييد المعاملات الفردية. ومع ذلك، فإن كلا التصميمين يسلطان الضوء على سبب عدم اعتماد السلطة على مفتاح واحد أو سيطرة غير مقيدة لشخص واحد. هناك درس آخر من حادثة Ronin: يجب أن تكون الصلاحيات لها تاريخ انتهاء. كان ترتيب التوقيع الخاص بـ Axie DAO قد تم تقديمه في الأصل للمساعدة في التعامل مع زيادة النشاط في المعاملات. لكن عندما لم يعد هذا الترتيب مطلوبًا، ظل التفويض نشطًا. أصبح هذا التصريح المُهمل لاحقًا جزءًا من مسار الهجوم. لا يمكن لإدارة الوصول في البنية التحتية التي تتعامل مع أموال العملاء أن تتوقف عند منح الصلاحيات. يحتاج المشغلون أيضًا إلى مراجعة الوصول الحالي، وإزالة الصلاحيات غير الضرورية، والحفاظ على فصل واضح للمسؤوليات الإدارية. تجعل نهج Fermah Pay الموثق إدارة المفاتيح والموافقة الإدارية جزءًا صريحًا من بنيته التحتية. وهذا مهم لأن أنظمة الفوترة تخدم بشكل متزايد واجهات برمجة التطبيقات، ووكلاء الذكاء الاصطناعي، وخدمات آلية أخرى. عندما تحدث المدفوعات في الخلفية، يعتمد المستخدمون على أكثر من عقد الدفع فقط. هم أيضًا يعتمدون على الأشخاص والبرمجيات والبيانات التأكيدية التي تعمل على النظام. تذكّرنا حادثة Ronin بأن التوقيع الصالح لا يعني تلقائيًا أن قرارًا مشروعًا قد اتخذ. يجب أن تحمي الأمن ليس فقط كيفية تحرك الأموال، بل أيضًا من لديه السلطة لجعلها تتحرك. @fermah_xyz @7wealthh