Les défaillances des cartes de débit crypto ont révélé le peu de contrôle que certaines marques de portefeuilles et de fintech exercent sur leurs services de paiement, l'exploitation d'un contrat Rain de 1,1 million de dollars illustrant les risques d'une infrastructure partagée.
Résumé
- Des banques, processeurs et intergiciels partagés peuvent exposer différentes marques de cartes à la même défaillance.
- L'exploitation d'août de Rain ciblait les soldes de cartes approvisionnés, laissant intacts les portefeuilles personnels et les clés privées des clients.
- Ron Tarter, PDG de MNEE App, recommande des relations bancaires directes et des dossiers clients accessibles de manière indépendante.
- L'assurance des dépôts américaine couvre les dépôts bancaires éligibles contre la défaillance de la banque, et non l'effondrement d'un fournisseur fintech.
Ron Tarter, cofondateur et PDG de MNEE App, a déclaré à crypto.news que les entreprises qui dépendent fortement de plateformes de banking-as-a-service peuvent ne contrôler que peu de choses au-delà de leur application, du design de leur carte et de leur marketing.
Une banque sponsor fournit les autorisations bancaires et détient les dépôts en monnaie fiduciaire, tandis qu'un processeur autorise les transactions. Les vérifications d'identité, la conformité, la prévention de la fraude et les services de portefeuille crypto peuvent relever de fournisseurs distincts, a-t-il expliqué.
« Vous pouvez avoir des millions d'utilisateurs et une marque forte et ne toujours pas détenir l'autorité finale sur votre propre produit. »
Les marques de cartes de débit crypto dépendent de décisions en amont
Selon le récit de Tarter, les fondateurs sous-estiment souvent l'autorité de la banque sponsor. Une banque ou un gestionnaire de programme peut restreindre ou résilier un programme qu'il juge trop risqué, laissant l'entreprise tournée vers le consommateur incapable de rétablir le service par elle-même.
Il a cité l'insolvabilité estivale de Kulipa, qui, selon lui, a perturbé des programmes de cartes servant environ vingt portefeuilles et fintechs. Les clients, a-t-il ajouté, peuvent ne découvrir une interruption qu'au moment de tenter de payer.
Des incidents distincts ont impliqué des pertes au sein de l'infrastructure soutenant les paiements. Gnosis a déclaré que son attaque du 1er juin exploitait des modules logiciels utilisés par son système card-safe, forçant la mise hors ligne des services de cartes. Son post-mortem du 3 juillet indiquait que les attaquants avaient extrait 1,5 million de dollars et rendu 300 000 dollars supplémentaires inaccessibles. L'entreprise a absorbé les pertes et restauré les fonds des utilisateurs, comme rapporté dans la couverture de l'exploitation de juin.
Le 28 août, un contrat Rain obsolète a exposé plusieurs programmes de cartes basés sur Solana à environ 1,1 million de dollars de vol, selon les conclusions de Blockaid détaillées dans l'exploitation de la carte Rain. L'attaquant a ciblé la garantie en stablecoins déposée pour les dépenses par carte, sans accéder aux portefeuilles personnels ni aux clés privées.
Les dossiers clients doivent survivre à l'effondrement d'un fournisseur
Avant de choisir un partenaire, Tarter recommande d'établir précisément où se trouve l'argent des clients : comptes bancaires individuels ou compte mutualisé détenu pour les clients, communément décrit comme un compte FBO.
Avec des fonds mutualisés, a-t-il déclaré, les entreprises devraient demander qui rapproche le registre client, à quelle fréquence cela se produit et si la banque en conserve sa propre copie. Ses protections préférées incluent des comptes individuels au nom des clients et des copies quotidiennes des soldes et des dossiers détenus par la marque.
La protection de l'assurance américaine comporte des conditions distinctes. L'analyse des applications de paiement du Consumer Financial Protection Bureau explique que l'assurance des dépôts par transmission dépend de la satisfaction des exigences réglementaires. L'assurance des dépôts protège contre la défaillance de la banque assurée ; elle ne couvre pas la défaillance de l'entreprise d'application non bancaire.
Pour les contrôles de sécurité, le dirigeant recommande des évaluations indépendantes telles que les rapports SOC 2 Type II et des questions sur la manière dont une plateforme supervise d'autres programmes partageant son infrastructure. Les discussions sur l'assurance devraient établir l'ampleur des pertes couvertes et si un incident majeur pourrait mettre le fournisseur en difficulté financière.
Les partenaires de secours peuvent partager la même banque sous-jacente
Choisir deux fournisseurs ne crée pas nécessairement des arrangements de secours indépendants, a averti Tarter. Les deux peuvent dépendre de la même banque sponsor, laissant la marque exposée aux décisions d'une seule institution.
Plusieurs émetteurs et processeurs de secours peuvent aider lors de pannes plus courtes, a-t-il déclaré, mais chaque relation entraîne une autre intégration technique, un processus de conformité et un registre à réconcilier. Les grandes fintechs peuvent plus facilement se permettre ces arrangements ; les petites entreprises peuvent avoir du mal avec le coût et le travail impliqués.
« Obtenir l'approbation de souscription d'une seule banque nous a pris plus d'un an. »
Une violation de données distincte en novembre chez Gnosis Pay a affecté ses cartes de consommation de marque, tandis que l'entreprise a déclaré que sa plateforme d'entreprise et les fonds des clients n'étaient pas affectés.
Pour se préparer à la défaillance d'un fournisseur, Tarter recommande des droits contractuels directs pour poursuivre un programme ou le transférer, ainsi que des périodes de préavis avant résiliation. Il a déclaré que MNEE avait précédemment abandonné les plans de lancer des comptes FBO via un fournisseur non nommé après des inquiétudes concernant l'absence de relation bancaire directe. Le fournisseur a ensuite fermé et entamé une procédure de chapitre 11, selon son récit.
