加密借记卡的故障暴露了部分钱包和金融科技品牌对其支付服务的控制力有多么有限，一起涉及110万美元的Rain合约漏洞利用事件说明了共享基础设施的风险。
摘要
- 共享的银行、处理商和中间件可能使不同的卡品牌暴露于相同的故障之下。
- Rain在8月的漏洞利用针对的是已充值的卡余额，客户的个人钱包和私钥未受影响。
- MNEE App首席执行官Ron Tarter建议建立直接的银行关系，并保留可独立访问的客户记录。
- 美国存款保险覆盖符合条件的银行存款以防范银行倒闭，但不覆盖金融科技提供商的倒闭。
MNEE App联合创始人兼首席执行官Ron Tarter告诉crypto.news，严重依赖银行即服务平台的公司在应用、卡片设计和营销之外几乎无法掌控什么。
他解释说，赞助银行提供银行许可并持有法币存款，而处理商负责授权交易。身份核查、合规、欺诈防范和加密钱包服务可能由不同的供应商负责。
“你可以拥有数百万用户和强大的品牌，却仍然无法对自己的产品拥有最终决定权。”
加密借记卡品牌依赖上游决策
在Tarter的描述中，创始人往往低估了赞助银行的权力。银行或项目管理方可以限制或终止其认为风险过高的项目，使面向消费者的公司无法自行恢复服务。
他举了Kulipa夏季破产的例子，称其扰乱了服务约二十个钱包和金融科技公司的卡项目。他补充说，客户可能只有在尝试付款时才会发现服务中断。
另有一些独立事件涉及支撑支付的 infrastructure 内部的损失。Gnosis表示，其6月1日的攻击利用了其card-safe系统所使用的软件模块，迫使卡服务下线。其7月3日的事后分析称，攻击者提取了150万美元，并使另外30万美元无法访问。该公司承担了损失并恢复了用户的资金，正如6月漏洞利用报道中所述。
根据Blockaid在Rain卡漏洞利用中详述的调查结果，8月28日，一份过时的Rain合约使多个基于Solana的卡项目暴露于约110万美元的盗窃风险之中。攻击者针对的是为卡消费而存入的稳定币抵押品，未访问个人钱包或私钥。
客户记录需要在提供商倒闭后仍能存续
在选择合作伙伴之前，Tarter建议明确客户资金的确切存放位置：是个人银行账户，还是为客户持有的 pooled 账户（通常称为FBO账户）。
他说，对于 pooled 资金，公司应询问由谁核对客户账本、核对频率如何，以及银行是否保留自己的副本。他偏好的保障措施包括以客户名义开设的个人账户，以及由品牌方持有的余额和记录的每日副本。
美国的保险保护有单独的条件。消费者金融保护局的支付应用分析解释说，穿透式存款保险取决于是否满足监管要求。存款保险防范的是受保银行的倒闭；它不覆盖非银行应用公司的倒闭。
对于安全检查，这位高管建议进行独立评估，例如SOC 2 Type II报告，并就平台如何监督共享其基础设施的其他项目提出问题。保险方面的讨论应明确承保损失的规模，以及重大事件是否可能在财务上压垮提供商。
备用合作伙伴可能共享同一底层银行
Tarter警告说，选择两个提供商并不一定能建立独立的备用安排。两者可能都依赖同一家赞助银行，使品牌暴露于单一机构的决策之下。
他表示，多家发行机构和备用处理商可以在较短的中断期间提供帮助，但每一段合作关系都会带来额外的技术集成、合规流程以及需要核对的账目。规模较大的金融科技公司更容易负担这些安排；规模较小的公司则可能在相关成本和工作量上举步维艰。
“通过一家银行的承销审批花了我们一年多的时间。”
Gnosis Pay 在11月发生的另一起数据泄露事件影响了其品牌消费卡，而该公司表示其企业平台和客户资金未受影响。
为应对服务提供商倒闭的情况，Tarter 建议争取直接合同权利，以便继续开展项目或将其转移，同时约定终止前的通知期。他说，MNEE 此前曾因担心缺乏直接银行关系而放弃了通过一家未具名提供商开设 FBO 账户的计划。据他所述，该提供商随后关闭并进入了第11章破产程序。
