Los fallos de las tarjetas de débito cripto han puesto de manifiesto el escaso control que algunas marcas de billeteras y fintech ejercen sobre sus servicios de pago, con una explotación de contrato de Rain por 1,1 millones de dólares que ilustra los riesgos de la infraestructura compartida.
Resumen
- Los bancos, procesadores y middleware compartidos pueden dejar a distintas marcas de tarjetas expuestas al mismo fallo.
- La explotación de Rain en agosto se dirigió a los saldos financiados de las tarjetas, sin afectar a las billeteras personales ni a las claves privadas de los clientes.
- Ron Tarter, CEO de MNEE App, recomienda relaciones bancarias directas y registros de clientes accesibles de forma independiente.
- El seguro de depósitos de EE. UU. cubre los depósitos bancarios elegibles frente al fallo del banco, no frente al colapso de un proveedor fintech.
Ron Tarter, cofundador y CEO de MNEE App, declaró a crypto.news que las empresas que dependen en gran medida de plataformas de banca como servicio pueden controlar poco más allá de su aplicación, el diseño de la tarjeta y el marketing.
Un banco patrocinador proporciona los permisos bancarios y mantiene los depósitos fiduciarios, mientras que un procesador autoriza las transacciones. Las verificaciones de identidad, el cumplimiento normativo, la prevención del fraude y los servicios de billetera cripto pueden recaer en proveedores distintos, explicó.
“Puedes tener millones de usuarios y una marca sólida y aun así no tener la autoridad final sobre tu propio producto”.
Las marcas de tarjetas de débito cripto dependen de decisiones tomadas más arriba en la cadena
Según el relato de Tarter, los fundadores suelen subestimar la autoridad del banco patrocinador. Un banco o gestor de programa puede restringir o cancelar un programa que considere demasiado arriesgado, dejando a la empresa de cara al consumidor incapaz de restablecer el servicio por sí misma.
Citó la insolvencia de Kulipa en verano, que, según dijo, interrumpió programas de tarjetas que servían a aproximadamente veinte billeteras y fintechs. Los clientes, añadió, pueden descubrir una interrupción solo al intentar pagar.
Incidentes separados implicaron pérdidas dentro de la infraestructura que respalda los pagos. Gnosis dijo que su ataque del 1 de junio explotó módulos de software utilizados por su sistema card-safe, lo que obligó a desconectar los servicios de tarjetas. Su análisis posterior del 3 de julio indicó que los atacantes extrajeron 1,5 millones de dólares e hicieron inaccesibles otros 300.000 dólares. La empresa asumió las pérdidas y restableció los fondos de los usuarios, como se recogió en la cobertura de la explotación de junio.
El 28 de agosto, un contrato obsoleto de Rain expuso a varios programas de tarjetas basados en Solana a aproximadamente 1,1 millones de dólares en robos, según los hallazgos de Blockaid detallados en la explotación de la tarjeta Rain. El atacante se dirigió a la garantía en stablecoins depositada para el gasto con tarjeta, sin acceder a las billeteras personales ni a las claves privadas.
Los registros de clientes deben sobrevivir al colapso de un proveedor
Antes de seleccionar un socio, Tarter recomienda establecer exactamente dónde se encuentra el dinero de los clientes: cuentas bancarias individuales o una cuenta mancomunada mantenida para los clientes, comúnmente descrita como cuenta FBO.
Con fondos mancomunados, dijo, las empresas deberían preguntar quién concilia el libro mayor de clientes, con qué frecuencia se hace y si el banco conserva su propia copia. Sus salvaguardas preferidas incluyen cuentas individuales a nombre de los clientes y copias diarias de los saldos y registros en poder de la marca.
La protección del seguro estadounidense tiene condiciones distintas. El análisis de aplicaciones de pago de la Oficina para la Protección Financiera del Consumidor explica que el seguro de depósitos de traspaso depende de que se cumplan los requisitos regulatorios. El seguro de depósitos protege contra el fallo del banco asegurado; no cubre el fallo de la empresa de aplicaciones no bancaria.
Para las verificaciones de seguridad, el ejecutivo recomienda evaluaciones independientes como los informes SOC 2 Tipo II y preguntas sobre cómo supervisa una plataforma a otros programas que comparten su infraestructura. Las conversaciones sobre seguros deberían establecer el tamaño de las pérdidas cubiertas y si un incidente importante podría abrumar financieramente al proveedor.
Los socios de respaldo pueden compartir el mismo banco subyacente
Elegir dos proveedores no crea necesariamente acuerdos de respaldo independientes, advirtió Tarter. Ambos pueden depender del mismo banco patrocinador, dejando a la marca expuesta a las decisiones de una sola institución.
Múltiples emisores y procesadores de respaldo pueden ayudar durante interrupciones más cortas, dijo, pero cada relación conlleva otra integración técnica, proceso de cumplimiento y libro contable que conciliar. Las fintech más grandes pueden permitirse esos arreglos con mayor facilidad; las empresas más pequeñas pueden tener dificultades con el costo y el trabajo que implican.
“Superar la suscripción de riesgos de un banco nos llevó más de un año.”
Una brecha de datos de noviembre separada en Gnosis Pay afectó sus tarjetas de consumo de marca, mientras que la empresa dijo que su plataforma empresarial y los fondos de los clientes no se vieron afectados.
Para prepararse ante el fallo de un proveedor, Tarter recomienda derechos contractuales directos para continuar un programa o trasladarlo, junto con períodos de aviso antes de la terminación. Dijo que MNEE abandonó previamente los planes de lanzar cuentas FBO a través de un proveedor no identificado tras preocupaciones por la falta de una relación bancaria directa. El proveedor posteriormente cerró y entró en procedimientos del Capítulo 11, según su relato.
