Система платежей может иметь строгие правила и всё равно потерпеть неудачу, если слишком много полномочий сосредоточено в неправильных руках. В марте 2022 года сеть Ronin столкнулась с серьёзным нарушением безопасности, которое раскрыло опасность плохо управляемых полномочий на подпись. Злоумышленники скомпрометировали пять из девяти приватных ключей валидаторов сети и использовали их для авторизации мошеннических выводов средств через Ronin Bridge. Украденные активы составили 173 600 ETH и 25,5 млн USDC. Интересно, что злоумышленникам не потребовалось взломать смарт-контракт моста. Им хватило достаточного количества действительных подписей, чтобы удовлетворить существующие требования авторизации. Четыре скомпрометированных валидатора принадлежали Sky Mavis. Пятый был связан с Axie DAO, который ранее разрешил Sky Mavis подписывать транзакции от его имени в период высокой нагрузки. Это разрешение не было отозвано после завершения соглашения. Инцидент показал, что распределение полномочий — это не всё. Доступы, лежащие в основе этих полномочий, также должны тщательно управляться. Fermah Pay подходит к безопасности операторов через многоуровневую систему. Её реализация на Stellar включает настраиваемое управление ключами для сторонних операторов. Документированная архитектура предусматривает отдельные роли, схему 2 из 3 для административных действий, холодное хранилище и поддержку AWS KMS, аппаратных модулей безопасности и других хранилищ ключей через интерфейс удалённой подписи. Каждый компонент решает отдельную задачу операционной безопасности. Отдельные роли помогают разделить обязанности, вместо того чтобы давать каждому оператору неограниченный доступ. Холодное хранилище обеспечивает отдельный уровень для средств, которые не должны подвергаться рутинным операциям. Внешние системы управления ключами предоставляют операторам возможности защиты учётных данных подписи вне самого приложения. Схема 2 из 3 для административных действий — ещё одна важная мера защиты. Она означает, что административное действие, требующее этого порога, не может быть одобрено только одним из трёх назначенных ключей. Требуются две подписи. Это не тот же механизм, который использовал Ronin. Ronin требовал пяти подписей из девяти валидаторов для авторизации выводов средств через мост. Схема 2 из 3 в Fermah Pay касается административного контроля над системой, а не проверки отдельных платежей. Однако обе модели подчёркивают, почему полномочия не должны зависеть от одного ключа или от неограниченного контроля одного человека. Есть ещё один урок из инцидента с Ronin: разрешения должны иметь срок действия. Соглашение о подписи от имени Axie DAO было введено для обработки увеличившейся активности транзакций. Но когда оно больше не было нужно, авторизация осталась активной. Это забытое разрешение позже стало частью атакующего пути. Для инфраструктуры, обрабатывающей средства клиентов, управление доступом не может ограничиваться выдачей разрешений. Операторы также должны регулярно проверять существующий доступ, удалять ненужные полномочия и чётко разделять административные обязанности. Документированный подход Fermah Pay делает управление ключами и административное одобрение явными компонентами своей инфраструктуры. Это важно, поскольку платёжные системы всё чаще обслуживают API, ИИ-агентов и другие автоматизированные сервисы. Когда платежи происходят в фоновом режиме, пользователи полагаются не только на платёжный контракт. Они также полагаются на людей, программное обеспечение и учётные данные, управляющие системой. Инцидент с Ronin напоминает нам: действительная подпись не означает автоматически, что было принято законное решение. Безопасность должна защищать не только то, как движутся деньги, но и кто имеет полномочия их перемещать. @fermah_xyz @7wealthh