Um sistema de pagamento pode ter regras rigorosas e ainda assim falhar quando demasiada autoridade está nas mãos erradas. Em março de 2022, a Ronin Network sofreu uma grande violação de segurança que expôs o perigo de uma autoridade de assinatura mal gerida. Atacantes comprometeram cinco das nove chaves privadas de validadores da rede e as usaram para autorizar retiradas fraudulentas da Ronin Bridge. Os ativos roubados totalizaram 173.600 ETH e 25,5 milhões de USDC. A parte interessante é que os atacantes não precisaram quebrar o contrato inteligente da bridge. Eles obtiveram assinaturas válidas suficientes para satisfazer os requisitos de autorização existentes. Quatro validadores comprometidos pertenciam à Sky Mavis. O quinto estava associado ao Axie DAO, que anteriormente havia permitido que a Sky Mavis assinasse em seu nome durante um período de alta demanda de transações. Essa permissão não foi revogada após o término do acordo. O incidente demonstrou que distribuir autoridade não é suficiente. As permissões por trás dessa autoridade também devem ser cuidadosamente geridas. O Fermah Pay aborda a segurança do operador por meio de múltiplas camadas. Sua implementação no Stellar inclui gerenciamento configurável de chaves para operadores de terceiros. O design documentado fornece papéis separados, um arranjo administrativo 2-de-3, uma reserva a frio e suporte para AWS KMS, módulos de segurança de hardware e outros armazenamentos de chaves por meio de uma interface de assinatura remota. Cada componente aborda uma parte diferente do problema de segurança operacional. Papéis separados ajudam a dividir responsabilidades em vez de dar a cada operador acesso irrestrito. A reserva a frio fornece uma camada separada para fundos que não devem ser expostos às operações rotineiras. Sistemas externos de gerenciamento de chaves oferecem aos operadores opções para proteger credenciais de assinatura fora da própria aplicação. O arranjo administrativo 2-de-3 é outra salvaguarda importante. Isso significa que uma ação administrativa exigindo esse limiar não pode ser aprovada por apenas uma das três chaves designadas. São necessárias duas aprovações. Esse não é o mesmo mecanismo usado pela Ronin. A Ronin exigia cinco assinaturas de nove validadores para autorizar retiradas da bridge. O arranjo 2-de-3 do Fermah Pay refere-se ao controle administrativo sobre seu sistema, não à validação de pagamentos individuais. No entanto, ambos os designs destacam por que a autoridade não deve depender de uma única credencial ou do controle irrestrito de uma única pessoa. Há outra lição no incidente da Ronin: as permissões devem ter uma data de término. O acordo de assinatura do Axie DAO foi originalmente introduzido para ajudar a lidar com o aumento da atividade de transações. Mas quando o acordo já não era necessário, a autorização permaneceu ativa. Essa permissão negligenciada acabou se tornando parte do caminho de ataque. Para infraestruturas que lidam com fundos de clientes, o gerenciamento de acesso não pode parar na concessão de permissões. Os operadores também precisam revisar o acesso existente, remover autoridades desnecessárias e manter claramente separadas as responsabilidades administrativas. A abordagem documentada do Fermah Pay torna o gerenciamento de chaves e a aprovação administrativa partes explícitas de sua infraestrutura. Isso é importante, pois sistemas de cobrança estão cada vez mais servindo APIs, agentes de IA e outros serviços automatizados. Quando os pagamentos ocorrem em segundo plano, os usuários dependem de mais do que apenas o contrato de pagamento. Eles também dependem das pessoas, software e credenciais que operam o sistema. O incidente da Ronin nos lembra que uma assinatura válida não significa automaticamente que uma decisão legítima foi tomada. A segurança deve proteger não apenas como o dinheiro se move, mas também quem tem a autoridade para fazê-lo mover. @fermah_xyz @7wealthh