كشفت أعطال بطاقات الخصم المشفرة أن بعض المحافظ وعلامات التكنولوجيا المالية لديها سيطرة محدودة حقًا على خدمات الدفع الخاصة بها؛ حيث أظهر حادث ثغرة في عقد بقيمة 1.1 مليون دولار لشركة Rain المخاطر المرتبطة بالبنية التحتية المشتركة.
- مشاركة البنوك والمعالجات والبرمجيات الوسيطة قد تجعل علامات البطاقات المختلفة عرضة لنفس العطل في نفس الوقت.
- الثغرة التي واجهها Rain في أغسطس استهدفت رصيد البطاقات المُموَّلة، ولم تتأثر محافظ العملاء الخاصة أو مفاتيحهم الخاصة.
- يُوصي رون تارتر، الرئيس التنفيذي لتطبيق MNEE، بإنشاء علاقات مباشرة مع البنوك وضمان إمكانية الوصول المستقل إلى سجلات العملاء.
- التأمين على الودائع الأمريكية يغطي الودائع المصرفية المؤهلة ضد إفلاس البنك، وليس إفلاس مزودي خدمات التكنولوجيا المالية أنفسهم.
قال رون تارتر، المؤسس المشارك والرئيس التنفيذي لتطبيق MNEE، لـ crypto.news: إن الشركات التي تعتمد بشكل كبير على منصات الخدمات المصرفية قد لا تتحكم تقريبًا في أي شيء سوى التطبيق وتصميم البطاقات والتسويق.
وأوضح أن البنك الراعي يوفر ترخيص الخدمات المصرفية ويعتبر مالكًا للودائع بالعملات الورقية، بينما يتحمل المعالج مسؤولية تفويض المعاملات؛ وقد تُناط خدمات التحقق من الهوية، والامتثال، ومكافحة الاحتيال، وخدمات المحافظ الرقمية أيضًا لموردين مختلفين.
You can have millions of users and a strong brand, but still not hold the final say over your product.
علامات بطاقات الديون المشفرة تعتمد على قرارات من upstream
وفقًا لتارتر، فإن المؤسسين غالبًا ما يقللون من قوة البنك الراعي. إذا اعتبر البنك أو الجهة المُدارة للمشروع أن المشروع يحمل مخاطر مرتفعة جدًا، يمكنه تقييد أو إنهاء المشروع، بينما لا تستطيع الشركات الموجهة للمستهلكين استعادة الخدمة بمفردها.
أشار إلى أن كوليبا واجهت عجزًا في الأصول خلال الصيف، مما أدى إلى تعطيل مشاريع البطاقات الخاصة بحوالي 20 شركة محفظة وتقنية مالية. قد لا يدرك العملاء انقطاع الخدمة حتى يحاولوا إجراء دفع.
كما شهدت عدة حوادث مستقلة أخرى خسائر داخل بنية الدفع. أفادت Gnosis أن الهجوم الذي وقع في 1 يونيو استغل وحدة البرمجيات المستخدمة في نظام أمان البطاقات، مما أجبر خدمة البطاقات على التوقف. ووفقًا للتحليل اللاحق الذي نشرته الشركة في 3 يوليو، سحب المهاجمون 1.5 مليون دولار، وأصبحت 300 ألف دولار أخرى غير قابلة للوصول. وتحملت الشركة الخسائر وأعادت أموال المستخدمين، وقد تم الكشف عن هذه التفاصيل سابقًا في تقارير الثغرات التي صدرت في يونيو.
وفقًا للتحقيق الذي أجرته Blockaid في حادثة ثغرة بطاقة Rain، في 28 أغسطس، عرضت عقد Rain القديم مشاريع بطاقات متعددة قائمة على Solana لخطر سرقة تقدر بحوالي 1.1 مليون دولار. استهدف المهاجمون الضمانات المودعة للعملات المستقرة لاستخدامها في إنفاق البطاقات، ولم يلمسوا المحافظ الشخصية أو المفاتيح الخاصة.
يجب أن تظل سجلات العملاء متاحة بعد إفلاس مزود الخدمة
قبل اختيار شريك، يقترح تارتر تحديد مكان أموال العملاء بالضبط: هل هي في حساب مصرفي منفصل، أم في حساب مجمّع يُحتفظ به لصالح العميل، والذي يُعرف عادةً باسم حساب FBO.
بالنسبة للمبالغ المجمعة، قال إنه ينبغي للشركة أن تسأل من يقوم بتطابق حسابات العملاء، وكم مرة يتم هذا التطابق، وما إذا كانت البنوك تحتفظ بنسخة خاصة بها. وتشمل التدابير الوقائية التي يفضلها: فتح حسابات منفصلة باسم العميل، واحتفاظ العلامة التجارية بنسخ من الأرصدة اليومية والسجلات.
توجد شروط منفصلة لحماية التأمين في الولايات المتحدة. أشار تحليل مكتب حماية المستهلك المالي الأمريكي إلى أن تغطية التأمين على الودائع تعتمد على استيفاء المتطلبات التنظيمية. ويحمي التأمين على الودائع من مخاطر إفلاس البنوك المؤمنة، ولا يغطي إفلاس شركات تطبيقات غير مصرفية.
فيما يتعلق بالمراجعة الأمنية، يقترح هذا المسؤول استخدام تقييمات مستقلة مثل تقرير SOC 2 Type II، ويسأل عن كيفية إشراف المنصة على المشاريع الأخرى التي تشارك بنية تحتيتها. وفيما يتعلق بالتأمين، يجب توضيح حجم الخسائر المغطاة، وما إذا كان المزود سيتحمل عبئًا ماليًا في حالة وقوع حادث كبير.
قد تشترك الشركاء البديلون أيضًا في نفس البنك الأساسي
حذّر تارتر من أن اختيار خدمتين لا يعني بالضرورة إنشاء ترتيبات احتياطية مستقلة حقًا. فقد تعتمد الشركتان على نفس البنك الراعي، مما يترك العلامة التجارية عرضة لقرارات نفس المؤسسة.
أشار إلى أن وجود عدة جهات إصدار ومعالجين احتياطيين يساعد في التعامل مع الانقطاعات القصيرة، لكن كل إضافة لطبقة إضافية تعني مجموعة إضافية من التكاملات التقنية وعمليات الامتثال ودفاتر تحتاج إلى مطابقة. من الأسهل على شركات التكنولوجيا المالية الكبرى تحمل هذه الترتيبات؛ بينما قد تجد الشركات الأصغر صعوبة في تحمل التكاليف والجهد المرتبطين بها.
استغرقنا أكثر من عام للمرور بعملية مراجعة الائتمان من قبل أحد البنوك.
يُوصي بفحص كل وسيط، وجمع قائمة بالمتعاقدين الفرعيين، والتحقق مما إذا كان يمكن التواصل مباشرة مع البنك الراعي. يجب أن تغطي العقود حالات استحواذ مزودي الخدمة من الطرف العلوي، أو إيقاف أعمالهم، أو حدوث ثغرات أمنية، أو قرارهم بالانسحاب من الخدمة.
كما تأثرت بطاقات المستهلكين لـ Gnosis Pay في حادث تسريب بيانات آخر في نوفمبر، بينما أفادت الشركة أن منصتها المؤسسية وأموال عملائها لم تتأثر.
للتغلب على إفلاس مزود الخدمة، يقترح تارتر إدراج شروط في العقد تمنح الحق في الاستمرار المباشر في تشغيل المشروع أو نقله، مع تحديد فترة إشعار قبل الإنهاء. وقال إن MNEE سبق أن تخلت عن خطة إطلاق حساب FBO من خلال مزود خدمة غير مسمى بسبب مخاوف من نقص العلاقات المصرفية المباشرة. ووفقًا له، أفلس هذا المزود لاحقًا ودخل إجراءات الإفلاس بموجب الفصل 11.