Sistem pembayaran dapat memiliki aturan yang kuat dan tetap gagal ketika terlalu banyak otoritas berada di tangan yang salah. Pada Maret 2022, Ronin Network mengalami pelanggaran keamanan besar yang mengungkap bahaya otoritas penandatanganan yang dikelola dengan buruk. Penyerang mengompromikan lima dari sembilan kunci pribadi validator jaringan dan menggunakannya untuk mengotorisasi penarikan penipuan dari Ronin Bridge. Aset yang dicuri mencapai 173.600 ETH dan 25,5 juta USDC. Bagian yang menarik adalah penyerang tidak perlu membobol kontrak pintar bridge tersebut. Mereka mendapatkan cukup tanda tangan valid untuk memenuhi persyaratan otorisasi yang sudah ada. Empat validator yang dikompromikan milik Sky Mavis. Yang kelima terkait dengan Axie DAO, yang sebelumnya mengizinkan Sky Mavis menandatangani atas namanya selama periode permintaan transaksi tinggi. Izin tersebut tidak dicabut setelah kesepakatan berakhir. Insiden ini menunjukkan bahwa distribusi otoritas saja tidak cukup. Izin di balik otoritas tersebut juga harus dikelola dengan hati-hati. Fermah Pay mendekati keamanan operator melalui beberapa lapisan. Implementasi Stellar-nya mencakup manajemen kunci yang dapat dikonfigurasi untuk operator pihak ketiga. Desain yang didokumentasikan menyediakan peran terpisah, pengaturan administratif 2-dari-3, cadangan dingin, dan dukungan untuk AWS KMS, modul keamanan perangkat keras, dan penyimpanan kunci lainnya melalui antarmuka remote-signer. Setiap komponen menangani bagian berbeda dari masalah keamanan operasional. Peran terpisah membantu membagi tanggung jawab alih-alih memberi setiap operator akses tanpa batas. Cadangan dingin menyediakan lapisan terpisah untuk dana yang tidak boleh terpapar operasi rutin. Sistem manajemen kunci eksternal memberi operator pilihan untuk melindungi kredensial penandatanganan di luar aplikasi itu sendiri. Pengaturan administratif 2-dari-3 adalah perlindungan penting lainnya. Artinya, tindakan administratif yang memerlukan ambang batas tersebut tidak dapat disetujui hanya oleh satu dari tiga kunci yang ditunjuk. Dua persetujuan diperlukan. Ini bukan mekanisme yang sama yang digunakan Ronin. Ronin memerlukan lima dari sembilan tanda tangan validator untuk mengotorisasi penarikan bridge. Pengaturan 2-dari-3 Fermah Pay berkaitan dengan kontrol administratif atas sistemnya, bukan validasi pembayaran individu. Namun, kedua desain ini menyoroti mengapa otoritas tidak boleh bergantung pada satu kredensial atau kendali tanpa batas dari satu orang. Ada pelajaran lain dari insiden Ronin: izin harus memiliki tanggal berakhir. Kesepakatan penandatanganan Axie DAO awalnya diperkenalkan untuk membantu menangani peningkatan aktivitas transaksi. Namun, ketika kesepakatan tidak lagi diperlukan, otorisasi tetap aktif. Izin yang terlewatkan ini kemudian menjadi bagian dari jalur serangan. Untuk infrastruktur yang menangani dana pelanggan, manajemen akses tidak boleh berhenti pada pemberian izin. Operator juga perlu meninjau akses yang ada, menghapus otoritas yang tidak perlu, dan menjaga tanggung jawab administratif tetap terpisah dengan jelas. Pendekatan terdokumentasi Fermah Pay menjadikan manajemen kunci dan persetujuan administratif sebagai bagian eksplisit dari infrastruktur-nya. Ini penting karena sistem penagihan semakin melayani API, agen AI, dan layanan otomatis lainnya. Ketika pembayaran terjadi di latar belakang, pengguna bergantung pada lebih dari sekadar kontrak pembayaran. Mereka juga bergantung pada orang-orang, perangkat lunak, dan kredensial yang mengoperasikan sistem. Insiden Ronin mengingatkan kita bahwa tanda tangan yang valid tidak otomatis berarti keputusan yang sah telah diambil. Keamanan harus melindungi tidak hanya bagaimana uang bergerak, tetapi juga siapa yang memiliki otoritas untuk membuatnya bergerak. @fermah_xyz @7wealthh