Сбои криптодебетовых карт обнажили, насколько мало контроля некоторые бренды кошельков и финтех-компаний имеют над своими платёжными сервисами, а эксплойт контракта Rain на $1,1 млн иллюстрирует риски общей инфраструктуры.
Краткое содержание
- Общие банки, процессинговые компании и промежуточное ПО могут подвергать отдельные карточные бренды одной и той же уязвимости.
- Августовский эксплойт Rain был нацелен на пополненные карточные балансы, не затрагивая личные кошельки и приватные ключи клиентов.
- Генеральный директор MNEE App Рон Тартер рекомендует прямые отношения с банками и независимо доступные записи клиентов.
- Страхование депозитов в США покрывает соответствующие банковские депозиты от краха банка, а не от краха финтех-провайдера.
Рон Тартер, соучредитель и генеральный директор MNEE App, рассказал crypto.news, что компании, сильно полагающиеся на платформы банковских услуг как сервиса, могут контролировать лишь своё приложение, дизайн карты и маркетинг.
Банк-спонсор предоставляет банковские разрешения и хранит фиатные депозиты, а процессинговая компания авторизует транзакции. Проверка личности, комплаенс, предотвращение мошенничества и услуги криптокошельков могут находиться у отдельных поставщиков, пояснил он.
«У вас могут быть миллионы пользователей и сильный бренд, и при этом вы можете не обладать окончательными полномочиями в отношении собственного продукта».
Бренды криптодебетовых карт зависят от решений на вышестоящем уровне
По словам Тартера, основатели часто недооценивают полномочия банка-спонсора. Банк или менеджер программы может ограничить или прекратить программу, которую считает слишком рискованной, оставив ориентированную на потребителя компанию неспособной самостоятельно восстановить обслуживание.
Он сослался на летнюю неплатёжеспособность Kulipa, которая, по его словам, нарушила работу карточных программ, обслуживающих около двадцати кошельков и финтех-компаний. Клиенты, добавил он, могут обнаружить перерыв только при попытке оплаты.
Отдельные инциденты касались потерь внутри инфраструктуры, поддерживающей платежи. Gnosis сообщила, что её атака 1 июня использовала программные модули, применяемые в её карточной системе безопасности, вынудив отключить карточные сервисы. В её разборе инцидента от 3 июля говорится, что злоумышленники вывели $1,5 млн и сделали ещё $300 000 недоступными. Компания взяла на себя убытки и восстановила средства пользователей, как сообщалось в репортаже об июньском эксплойте.
28 августа устаревший контракт Rain подверг несколько карточных программ на базе Solana краже примерно на $1,1 млн, согласно выводам Blockaid, подробно изложенным в материале об эксплойте карты Rain. Злоумышленник нацелился на залог в стейблкоинах, внесённый для карточных расходов, не получив доступа к личным кошелькам или приватным ключам.
Записи клиентов должны пережить крах провайдера
Перед выбором партнёра Тартер рекомендует точно установить, где находятся деньги клиентов: на индивидуальных банковских счетах или на объединённом счёте, удерживаемом для клиентов, обычно описываемом как счёт FBO.
При объединённых средствах, сказал он, компаниям следует спрашивать, кто сверяет клиентский реестр, как часто это происходит и хранит ли банк собственную копию. К его предпочтительным мерам защиты относятся индивидуальные счета на имена клиентов и ежедневные копии балансов и записей, хранящиеся у бренда.
Защита страхованием в США имеет отдельные условия. Анализ платёжных приложений Бюро по финансовой защите потребителей объясняет, что сквозное страхование депозитов зависит от соблюдения нормативных требований. Страхование депозитов защищает от краха застрахованного банка; оно не покрывает крах небанковской компании-приложения.
Для проверок безопасности руководитель рекомендует независимые оценки, такие как отчёты SOC 2 Type II, и вопросы о том, как платформа контролирует другие программы, использующие её инфраструктуру. Обсуждения страхования должны установить размер покрываемых убытков и то, может ли крупный инцидент финансово подорвать провайдера.
Резервные партнёры могут использовать один и тот же базовый банк
Выбор двух провайдеров не обязательно создаёт независимые резервные механизмы, предупредил Тартер. Оба могут полагаться на один и тот же банк-спонсор, оставляя бренд подверженным решениям одного учреждения.
По его словам, несколько эмитентов и резервных процессоров могут помочь при более коротких сбоях, но каждые отношения приносят дополнительную техническую интеграцию, процесс соблюдения нормативных требований и книгу учета, которую нужно сверять. Крупные финтех-компании могут легче позволить себе такие договоренности; небольшие компании могут испытывать трудности с затратами и объемом работы.
«Прохождение андеррайтинга одного банка заняло у нас более года».
Отдельная утечка данных в ноябре в Gnosis Pay затронула ее брендированные потребительские карты, при этом компания заявила, что ее корпоративная платформа и средства клиентов не пострадали.
Чтобы подготовиться к краху провайдера, Тартер рекомендует прямые договорные права на продолжение программы или ее перенос, а также сроки уведомления до прекращения. Он сказал, что MNEE ранее отказалась от планов по запуску счетов FBO через неназванного провайдера после опасений по поводу отсутствия прямых банковских отношений. По его словам, провайдер впоследствии прекратил деятельность и вступил в процедуру главы 11.
