Một hệ thống thanh toán có thể có những quy tắc mạnh mẽ nhưng vẫn thất bại khi quá nhiều quyền lực tập trung vào tay những người không phù hợp. Vào tháng 3 năm 2022, Ronin Network đã trải qua một vụ xâm phạm bảo mật nghiêm trọng, phơi bày mối nguy hiểm từ việc quản lý quyền ký không tốt. Các kẻ tấn công đã xâm nhập vào năm trong số chín khóa riêng của các validator mạng và sử dụng chúng để ủy quyền các giao dịch rút tiền gian lận từ Ronin Bridge. Tài sản bị đánh cắp lên tới 173.600 ETH và 25,5 triệu USDC. Điều thú vị là các kẻ tấn công không cần phải phá vỡ hợp đồng thông minh của cầu. Họ đã có đủ chữ ký hợp lệ để vượt qua các yêu cầu ủy quyền hiện có của nó. Bốn validator bị xâm nhập thuộc về Sky Mavis. Validator thứ năm liên quan đến Axie DAO, vốn trước đó đã cho phép Sky Mavis ký thay mặt nó trong giai đoạn nhu cầu giao dịch cao. Quyền hạn này không bị thu hồi sau khi thỏa thuận kết thúc. Sự cố này cho thấy việc phân phối quyền lực là chưa đủ. Các quyền hạn đằng sau quyền lực đó cũng phải được quản lý cẩn thận. Fermah Pay tiếp cận an toàn người vận hành thông qua nhiều lớp bảo vệ. Việc triển khai Stellar của nó bao gồm quản lý khóa có thể cấu hình cho các bên vận hành bên thứ ba. Thiết kế được tài liệu hóa cung cấp các vai trò riêng biệt, cơ chế quản trị 2 trên 3, kho lạnh và hỗ trợ AWS KMS, các module bảo mật phần cứng và các kho khóa khác thông qua giao diện remote-signer. Mỗi thành phần giải quyết một khía cạnh khác nhau của vấn đề an toàn vận hành. Các vai trò riêng biệt giúp chia sẻ trách nhiệm thay vì cấp quyền truy cập không giới hạn cho mọi người vận hành. Kho lạnh cung cấp một lớp riêng biệt cho các quỹ không nên tiếp xúc với các hoạt động thường nhật. Các hệ thống quản lý khóa bên ngoài cung cấp cho người vận hành các lựa chọn để bảo vệ thông tin xác thực ký ngoài chính ứng dụng. Cơ chế quản trị 2 trên 3 là một biện pháp bảo vệ quan trọng khác. Nó có nghĩa là một hành động quản trị yêu cầu ngưỡng này không thể được phê duyệt bởi chỉ một trong ba khóa được chỉ định. Cần hai sự đồng thuận. Đây không phải là cơ chế mà Ronin đã sử dụng. Ronin yêu cầu năm trong chín chữ ký validator để ủy quyền rút tiền từ cầu. Cơ chế 2 trên 3 của Fermah Pay liên quan đến quyền kiểm soát quản trị hệ thống của nó, chứ không phải việc xác thực từng giao dịch thanh toán riêng lẻ. Tuy nhiên, cả hai thiết kế đều nhấn mạnh lý do tại sao quyền lực không nên phụ thuộc vào một chứng nhận duy nhất hay sự kiểm soát không giới hạn của một cá nhân. Có một bài học khác từ sự cố Ronin: các quyền hạn phải có ngày kết thúc. Thỏa thuận ký thay mặt của Axie DAO ban đầu được đưa ra để hỗ trợ xử lý lượng giao dịch tăng cao. Nhưng khi thỏa thuận không còn cần thiết, quyền hạn vẫn được giữ nguyên. Quyền hạn bị bỏ quên này sau đó trở thành một phần trong lộ trình tấn công. Đối với cơ sở hạ tầng xử lý tiền của khách hàng, quản lý truy cập không thể dừng lại ở việc cấp quyền. Người vận hành cũng cần xem xét lại các quyền truy cập hiện có, loại bỏ quyền hạn không cần thiết và duy trì sự tách biệt rõ ràng giữa các trách nhiệm quản trị. Tiếp cận được tài liệu hóa của Fermah Pay làm cho việc quản lý khóa và phê duyệt quản trị trở thành những phần rõ ràng trong cơ sở hạ tầng của nó. Điều này quan trọng vì các hệ thống hóa đơn ngày càng phục vụ các API, đại diện AI và các dịch vụ tự động hóa khác. Khi các khoản thanh toán diễn ra ở nền sau, người dùng không chỉ dựa vào hợp đồng thanh toán. Họ còn dựa vào con người, phần mềm và các chứng nhận vận hành hệ thống. Sự cố Ronin nhắc nhở chúng ta rằng một chữ ký hợp lệ không tự động có nghĩa là một quyết định hợp lệ đã được đưa ra. Bảo mật phải bảo vệ không chỉ cách tiền di chuyển, mà còn ai có quyền lực để khiến nó di chuyển. @fermah_xyz @7wealthh