支払いシステムは厳しいルールを備えていても、権限が不適切な手に集中すれば失敗する可能性がある。 2022年3月、Ronin Networkは重大なセキュリティ侵害に見舞われ、権限管理が不十分であることがもたらす危険性が露呈した。 攻撃者はネットワークの9つのバリデーター秘密鍵のうち5つを侵害し、それらを使ってRonin Bridgeからの不正な引き出しを承認した。 盗まれた資産は173,600 ETHと2,550万USDCに上った。 興味深いのは、攻撃者がブリッジのスマートコントラクトを破る必要がなかったことである。 彼らは、既存の承認要件を満たすのに十分な有効な署名を入手しただけだった。 侵害された4つのバリデーターはSky Mavisに所属していた。 5つ目はAxie DAOに関連しており、以前、取引量が急増した期間中にSky Mavisに代わって署名する権限を付与していた。 この権限は、その協定が終了した後も取り消されなかった。 この事件は、権限を分散させるだけでは不十分であることを示した。 その権限の背後にあるアクセス許可も慎重に管理する必要がある。 Fermah Payは、複数のレイヤーを通じてオペレーターのセキュリティを実現している。 そのStellar実装には、サードパーティオペレーター向けの設定可能な鍵管理機能が含まれている。 文書化された設計では、役割の分離、2-of-3管理構成、コールドリザーブ、およびリモート署名インターフェースを通じたAWS KMS、ハードウェアセキュリティモジュールその他の鍵ストアのサポートが提供されている。 各コンポーネントは、オペレーションセキュリティの異なる課題に対応している。 役割の分離により、すべてのオペレーターに無制限のアクセスを許可するのではなく、責任を分割できる。 コールドリザーブは、日常的な操作にさらされるべきでない資金用の別層を提供する。 外部鍵管理システムは、アプリケーション自体の外で署名資格情報を保護するためのオプションをオペレーターに提供する。 2-of-3管理構成は、さらに重要なセーフガードである。 これは、この閾値を必要とする管理アクションが、3つの指定鍵のうち1つだけで承認されないことを意味する。 2つの承認が必要となる。 これはRoninが使用していたメカニズムとは異なる。 Roninはブリッジ引き出しを承認するために9つのバリデーター署名のうち5つを必要としていたが、Fermah Payの2-of-3構成は個々の支払いの検証ではなく、システム全体の管理権限に関するものである。 しかし、両方の設計は、権限が1つの資格情報や1人の無制限なコントロールに依存してはならない理由を明確に示している。 Ronin事件にはもう一つの教訓がある：アクセス許可には有効期限が必要である。 Axie DAOの署名協定は、取引量の増加に対応するために導入されたものだったが、その協定が不要になった後も承認は有効なままだった。 この見落とされた許可が後に攻撃経路の一部となった。 顧客資金を取り扱うインフラストラクチャでは、アクセス管理は許可を与えることでは終わらない。 オペレーターは既存のアクセスを定期的に見直し、不要な権限を削除し、管理責任を明確に分離する必要がある。 Fermah Payの文書化されたアプローチは、鍵管理と管理承認をインフラストラクチャの明確な構成要素として位置づけている。 これは、決済システムがAPIやAIエージェントその他の自動化サービスに対応し続けている今、特に重要である。 決済が裏で行われる場合、ユーザーは決済契約だけでなく、システムを運用する人間、ソフトウェア、資格情報にも依存している。 Ronin事件は、有効な署名が必ずしも正当な意思決定を意味しないことを思い出させてくれる。 セキュリティは、資金の移動方法だけでなく、誰が資金移動を承認する権限を持っているかも守らなければならない。 @fermah_xyz @7wealthh