Awarie kart debetowych kryptowalut ujawniły, jak niewielką kontrolę nad swoimi usługami płatniczymi mają niektóre marki portfeli i fintech, a wykorzystanie kontraktu Rain o wartości 1,1 mln dolarów ilustruje ryzyko związane ze współdzieloną infrastrukturą.
Podsumowanie
- Współdzielone banki, procesory i oprogramowanie pośredniczące mogą narazić odrębne marki kart na tę samą awarię.
- Sierpniowy exploit Rain wymierzony był w zasilone salda kart, pozostawiając osobiste portfele i klucze prywatne klientów nietknięte.
- Ron Tarter, CEO MNEE App, zaleca bezpośrednie relacje z bankami i niezależnie dostępne rejestry klientów.
- Amerykańskie ubezpieczenie depozytów obejmuje kwalifikujące się depozyty bankowe na wypadek upadłości banku, a nie upadłości dostawcy fintech.
Ron Tarter, współzałożyciel i CEO MNEE App, powiedział crypto.news, że firmy w dużym stopniu polegające na platformach banking-as-a-service mogą kontrolować niewiele poza swoją aplikacją, projektem karty i marketingiem.
Bank sponsorujący zapewnia uprawnienia bankowe i przechowuje depozyty fiducjarne, podczas gdy procesor autoryzuje transakcje. Weryfikacja tożsamości, zgodność z przepisami, zapobieganie oszustwom i usługi portfela kryptowalut mogą znajdować się u odrębnych dostawców, wyjaśnił.
„Możesz mieć miliony użytkowników i silną markę, a mimo to nie mieć ostatecznej władzy nad własnym produktem.”
Marki kart debetowych kryptowalut zależą od decyzji podejmowanych wyżej w łańcuchu
Według relacji Tartera założyciele często nie doceniają władzy banku sponsorującego. Bank lub menedżer programu może ograniczyć lub zakończyć program, który uzna za zbyt ryzykowny, pozostawiając firmę zwróconą do konsumenta bez możliwości samodzielnego przywrócenia usługi.
Przytoczył letnią niewypłacalność Kulipa, która, jak powiedział, zakłóciła programy kartowe obsługujące około dwudziestu portfeli i fintechów. Klienci, dodał, mogą odkryć przerwę dopiero przy próbie zapłaty.
Odrębne incydenty dotyczyły strat wewnątrz infrastruktury wspierającej płatności. Gnosis podało, że jego atak z 1 czerwca wykorzystał moduły oprogramowania używane przez jego system card-safe, zmuszając usługi kartowe do przejścia w tryb offline. Jego analiza powłamaniowa z 3 lipca podała, że atakujący wyciągnęli 1,5 mln dolarów i uczynili niedostępnymi kolejne 300 000 dolarów. Firma pokryła straty i przywróciła środki użytkowników, co opisano w relacji o exploicie z czerwca.
28 sierpnia przestarzały kontrakt Rain naraził kilka programów kartowych opartych na Solanie na kradzież około 1,1 mln dolarów, zgodnie z ustaleniami Blockaid szczegółowo opisanymi w exploicie kart Rain. Atakujący wymierzył w zabezpieczenie w stablecoinach zdeponowane na wydatki kartowe, nie uzyskując dostępu do osobistych portfeli ani kluczy prywatnych.
Rejestry klientów muszą przetrwać upadek dostawcy
Przed wyborem partnera Tarter zaleca ustalenie dokładnie, gdzie znajdują się pieniądze klientów: na indywidualnych rachunkach bankowych czy na rachunku zbiorczym prowadzonym dla klientów, powszechnie określanym jako rachunek FBO.
W przypadku funduszy zbiorczych, powiedział, firmy powinny zapytać, kto uzgadnia księgę klientów, jak często to następuje i czy bank przechowuje własną kopię. Jego preferowane zabezpieczenia obejmują indywidualne rachunki na nazwiska klientów oraz codzienne kopie sald i rejestrów przechowywane przez markę.
Amerykańska ochrona ubezpieczeniowa ma odrębne warunki. Analiza aplikacji płatniczych Biura Ochrony Finansowej Konsumentów wyjaśnia, że pośrednie ubezpieczenie depozytów zależy od spełnienia wymogów regulacyjnych. Ubezpieczenie depozytów chroni przed upadłością ubezpieczonego banku; nie obejmuje upadłości firmy niebankowej prowadzącej aplikację.
W zakresie kontroli bezpieczeństwa dyrektor zaleca niezależne oceny, takie jak raporty SOC 2 Type II, oraz pytania o to, jak platforma nadzoruje inne programy współdzielące jej infrastrukturę. Rozmowy o ubezpieczeniu powinny ustalić wielkość objętych strat i to, czy poważny incydent mógłby finansowo przeciążyć dostawcę.
Partnerzy zapasowi mogą dzielić ten sam bank bazowy
Wybór dwóch dostawców niekoniecznie tworzy niezależne rozwiązania zapasowe, ostrzegł Tarter. Oba mogą polegać na tym samym banku sponsorującym, narażając markę na decyzje jednej instytucji.
Wielu emitentów i zapasowych procesorów może pomóc w przypadku krótszych awarii, powiedział, ale każda relacja wiąże się z kolejną integracją techniczną, procesem zgodności i księgą do uzgodnienia. Większe fintechy mogą sobie łatwiej pozwolić na takie rozwiązania; mniejsze firmy mogą mieć trudności z kosztami i pracą z tym związaną.
„Przejście przez proces underwritingu jednego banku zajęło nam ponad rok.”
Odrębny wyciek danych z listopada w Gnosis Pay dotknął jego markowych kart konsumenckich, podczas gdy firma podała, że jej platforma korporacyjna i środki klientów nie zostały naruszone.
Aby przygotować się na upadek dostawcy, Tarter zaleca bezpośrednie prawa umowne do kontynuowania programu lub przeniesienia go, wraz z okresami wypowiedzenia przed zakończeniem. Powiedział, że MNEE wcześniej porzuciło plany uruchomienia kont FBO za pośrednictwem nieznanego dostawcy po obawach dotyczących braku bezpośredniej relacji z bankiem. Dostawca następnie zamknął działalność i wszedł w postępowanie Chapter 11, według jego relacji.
