一個支付系統即使擁有嚴格的規則，當過多權力集中在錯誤的人手中時，仍可能失敗。 2022年3月，Ronin Network遭遇重大安全漏洞，暴露了簽署權限管理不當的風險。 攻擊者入侵了該網絡九個驗證者私鑰中的五個，並用它們授權從Ronin Bridge進行欺詐性提款。 被盜資產總計為173,600 ETH和2550萬USDC。 有趣的是，攻擊者並不需要破解橋樑的智能合約。 他們獲得了足夠的有效簽名，以通過其現有的授權要求。 四個受損的驗證者屬於Sky Mavis。 第五個與Axie DAO相關，該DAO此前曾允許Sky Mavis在交易需求高峰期間代表其簽署。 此授權在安排結束後並未被撤銷。 此事件表明，僅僅分散權力是不夠的。 背後的權限也必須得到仔細管理。 Fermah Pay透過多層次方法處理運營安全問題。 其Stellar實現包含可配置的第三方運營商密鑰管理。 文檔化的設計提供了分離的角色、2-of-3管理安排、冷儲備，並透過遠端簽名介面支援AWS KMS、硬體安全模組及其他密鑰儲存系統。 每個元件都針對運營安全問題的不同部分。 分離的角色有助於劃分責任，而非給予每位運營商無限制的存取權限。 冷儲備為不應暴露於日常操作的資金提供額外一層保護。 外部密鑰管理系統為運營商提供在應用程式之外保護簽署憑證的選擇。 2-of-3管理安排是另一項重要防護措施。 這意味著需要達到此門檻的管理操作，不能僅由三個指定密鑰中的其中一個批准。 必須獲得兩個批准。 這與Ronin使用的機制不同。 Ronin要求九個驗證者簽名中的五個才能授權橋樑提款。 Fermah Pay的2-of-3安排涉及對其系統的管理控制，而非單筆付款的驗證。 然而，這兩種設計都突顯了為何權力不應依賴單一憑證或單一人士的無限制控制。 Ronin事件還有另一個教訓：權限必須有截止日期。 Axie DAO的簽署安排最初是為應對交易量增加而引入的。但當此安排不再需要時，授權仍保持有效。 這項被忽略的權限後來成為攻擊路徑的一部分。 對於處理客戶資金的基礎設施，存取管理不能止步於授予權限。 運營商還需審查現有存取權限、移除不必要的權力，並明確分離管理職責。 Fermah Pay文檔化的做法將密鑰管理和管理批准明確納入其基礎設施中。 這至關重要，因為計費系統正日益服務於API、AI代理和其他自動化服務。 當付款在背景中發生時，用戶依賴的不僅是支付合約。 他們也依賴於操作系統的人員、軟體和憑證。 Ronin事件提醒我們，有效的簽名並不自動代表合法的決策已作出。 安全不僅要保護資金如何移動，還必須保護誰有權力讓資金移動。 @fermah_xyz @7wealthh