Ang isang sistema ng pagbabayad ay maaaring may malakas na patakaran at pa rin ay mabigo kung sobrang kapangyarihan ay nasa maling kamay. Noong Marso 2022, nasira ang Ronin Network sa isang malaking paglabag sa seguridad na ipinakita ang panganib ng di-maayos na pamamahala ng kapangyarihan sa pag-sign. Ang mga attacker ay nakompromiso ang lima sa siyam na private key ng validator ng network at ginamit ito upang awtorisahin ang mga fraudulent na pagtarik mula sa Ronin Bridge. Ang mga ari-arian na nasakop ay umabot sa 173,600 ETH at 25.5 milyong USDC. Ang interesante bahagi ay ang mga attacker ay hindi kailangang pagsikapan ang smart contract ng tulay. Nakuha nila ang sapat na balidong signature upang pasihin ang umiiral na mga kahilingan sa awtorisasyon nito. Ang apat na nakompromisong validator ay nanggaling sa Sky Mavis. Ang ikalima ay kaugnay sa Axie DAO, na dati nang pinahintulutan ang Sky Mavis na mag-sign para sa kanila sa panahon ng mataas na demand sa transaksyon. Hindi inalis ang pahintulot na ito pagkatapos matapos ang kasunduan. Ipakita ng insidente na ang pagkakahati-hati ng kapangyarihan ay hindi sapat. Dapat ding maayos na pamahalaan ang mga pahintulot sa likod ng kapangyarihang iyon. Ang Fermah Pay ay umaabot sa seguridad ng operator sa pamamagitan ng maraming antas. Ang kanyang Stellar implementation ay naglalaman ng configurable key management para sa mga third-party operator. Ang dokumentadong disenyo ay nagbibigay ng hiwalay na mga tungkulin, isang 2-of-3 administrative arrangement, cold reserve, at suporta para sa AWS KMS, hardware security modules, at iba pang key stores sa pamamagitan ng remote-signer interface. Bawat komponente ay tumutugon sa iba’t ibang bahagi ng problema sa operasyonal na seguridad. Ang hiwalay na mga tungkulin ay tumutulong sa paghahati-hati ng responsibilidad kesa sa pagbibigay ng walang hanggang access sa bawat operator. Ang cold reserve ay nagbibigay ng hiwalay na antas para sa mga pondo na hindi dapat ipakita sa pang-araw-araw na operasyon. Ang mga panlabas na sistema ng key management ay nagbibigay ng mga opsyon sa operator para protektahan ang kanilang signing credentials nang labas sa aplikasyon mismo. Ang 2-of-3 administrative arrangement ay isa pang mahalagang pananggalang. Ito ay nangangahulugan na ang isang administrative action na nangangailangan ng threshold ay hindi maaaring awtorisahon ng isang lang sa tatlong itinakdang key. Kailangan ng dalawang awtorisasyon. Hindi ito parehong mekanismo na ginamit ni Ronin. Kinakailangan ni Ronin ang lima sa siyam na validator signature upang awtorisahin ang pagtarik sa tulay. Ang 2-of-3 arrangement ni Fermah Pay ay tumutok sa administrative control sa sistema nito, hindi sa pag-validate ng bawat okasyon ng pagbabayad. Gayunpaman, parehong disenyo ay nagpapakita kung bakit hindi dapat depende ang kapangyarihan sa isang credential o walang hanggang kontrol ng isang tao. May isa pang aral mula sa insidente ni Ronin: dapat may katapusan ang mga pahintulot. Ang signing arrangement ni Axie DAO ay orihinal na ipinakilala upang tulungan sa pagharap sa pagtaas ng transaksyon. Ngunit nang wala nang kailangan ang kasunduan, nanatili pa rin ang awtorisasyon. Naging bahagi ng attack path ang napalampas na pahintulot na ito. Para sa infrastraktura na nagdadala ng pera ng customer, ang pamamahala ng access ay hindi dapat tumigil sa pagbibigay ng pahintulot. Kailangan din ng operator na suriin ang umiiral na access, tanggalin ang hindi kinakailangang kapangyarihan, at panatilihin nang malinaw ang paghihiwalay ng administrative responsibilidad. Ang dokumentadong pamamaraan ni Fermah Pay ay ginagawa ang key management at administrative approval bilang eksplisit na bahagi ng kanyang infrastraktura. Mahalaga ito dahil lalong lumalago ang mga sistema ng billing upang maglingkod sa mga API, AI agents, at iba pang automated service. Kapag naganap ang pagbabayad sa background, depende ang mga user hindi lamang sa payment contract. Depende rin sila sa mga tao, software, at credential na nagpapatakbo ng sistema. Ang insidente ni Ronin ay nagpapaalala sa atin na ang isang balidong signature ay hindi awtomatikong nangangahulugan na isang legitimate na desisyon ang ginawa. Dapat protektahan ng seguridad hindi lamang kung paano lumilipat ang pera, kundi sino ang may kapangyarihan upang gawin itong lumipat. @fermah_xyz @7wealthh