Ausfälle von Krypto-Debitkarten haben gezeigt, wie wenig Kontrolle einige Wallet- und Fintech-Marken über ihre Zahlungsdienste haben, wobei ein Exploit eines Rain-Vertrags im Wert von 1,1 Millionen Dollar die Risiken gemeinsamer Infrastruktur veranschaulicht.
Zusammenfassung
- Gemeinsame Banken, Prozessoren und Middleware können separate Kartenmarken derselben Störung aussetzen.
- Rains Exploit im August zielte auf aufgeladene Kartenguthaben ab und ließ die persönlichen Wallets und privaten Schlüssel der Kunden unberührt.
- Ron Tarter, CEO der MNEE App, empfiehlt direkte Bankbeziehungen und unabhängig zugängliche Kundenaufzeichnungen.
- Die US-Einlagenversicherung deckt berechtigte Bankeinlagen gegen Bankausfälle ab, nicht den Zusammenbruch eines Fintech-Anbieters.
Ron Tarter, Mitbegründer und CEO der MNEE App, sagte gegenüber crypto.news, dass Unternehmen, die stark auf Banking-as-a-Service-Plattformen angewiesen sind, möglicherweise wenig außer ihrer App, ihrem Kartendesign und ihrem Marketing kontrollieren.
Eine Sponsor Bank stellt die Banklizenzen bereit und hält Fiat-Einlagen, während ein Prozessor Transaktionen autorisiert. Identitätsprüfungen, Compliance, Betrugsprävention und Krypto-Wallet-Dienste können bei separaten Anbietern liegen, erklärte er.
„Man kann Millionen von Nutzern und eine starke Marke haben und trotzdem nicht die letzte Autorität über das eigene Produkt besitzen.“
Krypto-Debitkartenmarken sind von Entscheidungen vorgelagerter Stellen abhängig
Nach Tartes Darstellung unterschätzen Gründer oft die Autorität der Sponsor Bank. Eine Bank oder ein Programmmanager kann ein Programm, das als zu riskant gilt, einschränken oder beenden, sodass das kundenorientierte Unternehmen den Dienst nicht aus eigener Kraft wiederherstellen kann.
Er verwies auf die Insolvenz von Kulipa im Sommer, die seiner Aussage nach Kartenprogramme für rund zwanzig Wallets und Fintechs störte. Kunden, so fügte er hinzu, könnten eine Unterbrechung erst bemerken, wenn sie zu bezahlen versuchen.
Separate Vorfälle betrafen Verluste innerhalb der Infrastruktur, die Zahlungen unterstützt. Gnosis erklärte, dass sein Angriff vom 1. Juni Softwaremodule ausnutzte, die von seinem Card-Safe-System verwendet wurden, und die Kartendienste offline zwang. Sein Postmortem vom 3. Juli postmortem besagte, dass Angreifer 1,5 Millionen Dollar entzogen und weitere 300.000 Dollar unzugänglich machten. Das Unternehmen übernahm die Verluste und stellte die Guthaben der Nutzer wieder her, wie in der Berichterstattung über den Exploit im Juni June exploit reporting dargelegt.
Am 28. August setzte ein veralteter Rain-Vertrag mehrere Solana-basierte Kartenprogramme laut den in der Rain card exploit ausführlich beschriebenen Erkenntnissen von Blockaid etwa 1,1 Millionen Dollar an Diebstahl aus. Der Angreifer zielte auf Stablecoin-Sicherheiten ab, die für Kartenausgaben eingezahlt wurden, ohne auf persönliche Wallets oder private Schlüssel zuzugreifen.
Kundenaufzeichnungen müssen den Zusammenbruch eines Anbieters überstehen
Vor der Auswahl eines Partners empfiehlt Tarter, genau festzustellen, wo das Geld der Kunden liegt: auf individuellen Bankkonten oder auf einem gepoolten Konto, das für Kunden gehalten wird und üblicherweise als FBO-Konto bezeichnet wird.
Bei gepoolten Mitteln, so sagte er, sollten Unternehmen fragen, wer das Kundenbuch führt, wie häufig dies geschieht und ob die Bank eine eigene Kopie aufbewahrt. Zu seinen bevorzugten Schutzmaßnahmen gehören individuelle Konten auf den Namen der Kunden sowie tägliche Kopien der Guthaben und Aufzeichnungen, die von der Marke aufbewahrt werden.
Der US-Versicherungsschutz hat separate Bedingungen. Die Analyse der Zahlungs-Apps des Consumer Financial Protection Bureau payment-app analysis erklärt, dass die Durchleitungs-Einlagenversicherung davon abhängt, dass regulatorische Anforderungen erfüllt sind. Die Einlagenversicherung schützt vor dem Ausfall der versicherten Bank; sie deckt nicht den Ausfall des Nichtbank-App-Unternehmens ab.
Für Sicherheitsprüfungen empfiehlt der Executive unabhängige Bewertungen wie SOC-2-Type-II-Berichte und Fragen dazu, wie eine Plattform andere Programme beaufsichtigt, die ihre Infrastruktur mitnutzen. Versicherungsgespräche sollten die Höhe der gedeckten Verluste klären und ob ein schwerwiegender Vorfall den Anbieter finanziell überfordern könnte.
Backup-Partner können dieselbe zugrunde liegende Bank teilen
Die Wahl zweier Anbieter schafft nicht unbedingt unabhängige Backup-Vereinbarungen, warnte Tarter. Beide könnten auf dieselbe Sponsor Bank angewiesen sein, wodurch die Marke den Entscheidungen einer einzigen Institution ausgesetzt bleibt.
Mehrere Emittenten und Backup-Prozessoren können bei kürzeren Ausfällen helfen, sagte er, aber jede Beziehung bringt eine weitere technische Integration, einen Compliance-Prozess und ein Hauptbuch zur Abstimmung mit sich. Größere Fintechs können sich solche Vereinbarungen leichter leisten; kleinere Unternehmen könnten mit den Kosten und dem Aufwand zu kämpfen haben.
„Durch die Underwriting-Prüfung einer Bank zu kommen, hat bei uns mehr als ein Jahr gedauert.“
Ein separates Datenleck im November bei Gnosis Pay betraf dessen gebrandete Verbraucherkarten, während das Unternehmen erklärte, seine Unternehmensplattform und Kundengelder seien nicht betroffen gewesen.
Um auf den Ausfall eines Anbieters vorbereitet zu sein, empfiehlt Tarter direkte vertragliche Rechte, ein Programm fortzuführen oder zu verlagern, zusammen mit Kündigungsfristen vor der Beendigung. Er sagte, MNEE habe zuvor Pläne aufgegeben, FBO-Konten über einen ungenannten Anbieter zu eröffnen, nachdem Bedenken wegen des Fehlens einer direkten Bankbeziehung aufgekommen seien. Der Anbieter habe später seinen Betrieb eingestellt und ein Chapter-11-Verfahren eingeleitet, so seine Darstellung.
