gfermah Платіжна система може мати сильні правила, але все одно зазнавати невдачі, коли надмірна влада зосереджена в неправильних руках. У березні 2022 року мережа Ronin зазнала серйозного порушення безпеки, що виявило небезпеку погано керованого права підпису. Зловмисники скомпрометували п’ять з дев’яти приватних ключів валідаторів мережі та використали їх для авторизації шахрайських виведень через Ronin Bridge. Вкрадені активи склали 173 600 ETH і 25,5 мільйона USDC. Цікаво те, що зловмисникам не потрібно було зламати смартконтракт мосту. Вони отримали достатню кількість дійсних підписів, щоб виконати існуючі вимоги авторизації. Чотири скомпрометовані валідатори належали Sky Mavis. П’ятий був пов’язаний з Axie DAO, який раніше дозволив Sky Mavis підписувати від його імені під час періоду високого навантаження транзакцій. Це дозволення не було скасоване після закінчення угоди. Цей інцидент показав, що розподіл влади — це не все. Дозволи, що лежать в основі цієї влади, також повинні бути уважно керовані. Fermah Pay підходить до безпеки операторів через кілька рівнів. Його реалізація на Stellar включає налаштовуване керування ключами для сторонніх операторів. Документований дизайн передбачає окремі ролі, адміністративну схему 2 з 3, холодне сховище та підтримку AWS KMS, апаратних модулів безпеки та інших сховищ ключів через інтерфейс віддаленого підпису. Кожен компонент вирішує іншу частину проблеми операційної безпеки. Окремі ролі допомагають розділити обов’язки замість надання кожному операторові необмеженого доступу. Холодне сховище забезпечує окремий рівень для коштів, які не повинні бути виставлені на ризик у звичайних операціях. Зовнішні системи керування ключами надають операторам можливості захисту облікових даних для підпису поза самою програмою. Адміністративна схема 2 з 3 — це ще один важливий захист. Це означає, що адміністративна дія, що вимагає цього порогу, не може бути затверджена лише одним із трьох визначених ключів. Потрібно два схвалення. Це не той самий механізм, який використовував Ronin. Ronin вимагав п’яти підписів із дев’яти валідаторів для авторизації виведень через мост. Адміністративна схема 2 з 3 Fermah Pay стосується контролю над системою, а не перевірки окремих платежів. Проте обидві схеми підкреслюють, чому влада не повинна залежати від одного облікового запису чи необмеженого контролю однієї особи. У інциденті Ronin є ще один урок: дозволи повинні мати термін дії. Угода про підпис Axie DAO спочатку була введена для допомоги у обробці збільшеного обсягу транзакцій. Але коли ця угода бльше не була потрібна, авторизація залишилася активною. Цей неспостережений дозвіл пізніше став частиною шляху атаки. Для інфраструктури, що обробляє кошти клієнтів, управління доступом не може зупинятися на наданні дозволів. Операторам також потрібно переглядати наявний доступ, прибирати непотрібну владу та чітко розділяти адміністративні обов’язки. Документований підхід Fermah Pay робить керування ключами та адміністративне схвалення явними частинами своєї інфраструктури. Це важливо, оскільки платіжні системи все частіше обслуговують API, AI-агенти та інші автоматизовані сервіси. Коли платежi виконуються у фоновому режимi, користувачi залежать не лише вiд платiжного смартконтракту. Вони також залежать вiд людей, програмного забезпечення та облiкових даних, що керують системою. Інцидент Ronin нагадує нам, що дiйсний пiдпис не означає автоматично, що було прийнято легiтимне рiшення. Безпека повинна захищати не лише те, як рухаються грошi, а й хто має повноваження їх перемiщувати. @fermah_xyz @7wealthh