Sistem pembayaran boleh mempunyai peraturan yang kuat dan tetap gagal apabila terlalu banyak kuasa berada di tangan yang salah. Pada Mac 2022, Rangkaian Ronin mengalami kebocoran keselamatan besar yang mengungkap bahaya kuasa penandatanganan yang dikelola dengan buruk. Penyerang mengompromikan lima daripada sembilan kunci peribadi validator rangkaian dan menggunakannya untuk mengesahkan penarikan penipuan daripada Jambatan Ronin. Aset yang dicuri berjumlah 173.600 ETH dan 25,5 juta USDC. Bahagian yang menarik ialah penyerang tidak perlu memecahkan kontrak pintar jambatan tersebut. Mereka memperoleh cukup tanda tangan sah untuk memenuhi keperluan pengesahan yang sedia ada. Empat validator yang dikompromikan milik Sky Mavis. Yang kelima dikaitkan dengan Axie DAO, yang sebelumnya membenarkan Sky Mavis menandatangani atas namanya semasa tempoh permintaan transaksi yang tinggi. Kebenaran itu tidak dicabut selepas perjanjian berakhir. Insiden ini menunjukkan bahawa pendistribusian kuasa tidak cukup. Kebenaran di sebalik kuasa itu juga perlu dikelola dengan teliti. Fermah Pay mendekati keselamatan operator melalui beberapa lapisan. Pelaksanaan Stellarnya termasuk pengurusan kunci yang boleh dikonfigurasi untuk operator pihak ketiga. Reka bentuk yang didokumentasikan menyediakan peranan yang berasingan, susunan pentadbiran 2-dari-3, simpanan sejuk dan sokongan untuk AWS KMS, modul keselamatan peranti keras dan sistem penyimpanan kunci lain melalui antaramuka remote-signer. Setiap komponen menangani bahagian berbeza dalam masalah keselamatan operasi. Peranan yang berasingan membantu membahagikan tanggungjawab daripada memberi setiap operator akses tanpa sekatan. Simpanan sejuk menyediakan lapisan berasingan untuk dana yang tidak sepatutnya dijejak dalam operasi rutin. Sistem pengurusan kunci luaran memberi operator pilihan untuk melindungi kredensial penandatanganan di luar aplikasi itu sendiri. Susunan pentadbiran 2-dari-3 adalah langkah pengawalan penting lain. Ia bermaksud tindakan pentadbiran yang memerlukan ambang ini tidak boleh diluluskan oleh hanya satu daripada tiga kunci yang ditetapkan. Dua persetujuan diperlukan. Ini bukan mekanisme yang sama yang digunakan oleh Ronin. Ronin memerlukan lima daripada sembilan tanda tangan validator untuk mengesahkan penarikan jambatan. Susunan 2-dari-3 Fermah Pay berkaitan dengan kawalan pentadbiran terhadap sistemnya, bukan pengesahan pembayaran individu. Namun, kedua-dua reka bentuk ini menekankan mengapa kuasa tidak seharusnya bergantung pada satu kredensial atau kawalan tanpa sekatan oleh satu orang. Terdapat pelajaran lain dalam insiden Ronin: kebenaran mestilah mempunyai tarikh akhir. Perjanjian penandatanganan Axie DAO asalnya diperkenalkan untuk membantu mengendalikan aktiviti transaksi yang meningkat. Tetapi apabila perjanjian itu tidak lagi diperlukan, kebenaran itu kekal aktif. Kebenaran yang terlepas ini kemudiannya menjadi sebahagian daripada laluan serangan. Untuk infrastruktur yang mengendalikan dana pelanggan, pengurusan akses tidak boleh berhenti pada pemberian kebenaran. Operator juga perlu meninjau akses yang sedia ada, menghapuskan kuasa yang tidak perlu dan mengekalkan tanggungjawab pentadbiran secara jelas berasingan. Pendekatan terdokumentasi Fermah Pay menjadikan pengurusan kunci dan persetujuan pentadbiran sebagai bahagian eksplisit infrastruktur mereka. Ini penting kerana sistem penagihan semakin melayani API, agen AI dan perkhidmatan automatik lain. Apabila pembayaran berlaku di latar belakang, pengguna bergantung bukan sahaja pada kontrak pembayaran. Mereka juga bergantung pada orang, perisian dan kredensial yang mengendalikan sistem. Insiden Ronin mengingatkan kita bahawa tanda tangan yang sah tidak secara automatik bermaksud keputusan yang sah telah dibuat. Keselamatan mesti melindungi bukan sahaja bagaimana wang bergerak, tetapi juga siapa yang mempunyai kuasa untuk membuatnya bergerak. @fermah_xyz @7wealthh