El fallo de la tarjeta de débito criptográfica reveló que algunas billeteras y marcas de fintech tienen un control muy limitado sobre sus servicios de pago; el incidente de una vulnerabilidad en un contrato de $1.1 millones de Rain ilustra los riesgos asociados con la infraestructura compartida.
- Los bancos, procesadores y middleware compartidos pueden exponer simultáneamente a diferentes marcas de tarjetas al mismo tipo de fallo.
- La vulnerabilidad que Rain sufrió en agosto afectó únicamente los saldos de las tarjetas cargadas; los billeteras personales y las claves privadas de los clientes no se vieron afectadas.
- Ron Tarter, CEO de MNEE App, sugiere establecer relaciones bancarias directas y garantizar que los registros de los clientes sean accesibles de forma independiente.
- El seguro de depósitos de EE. UU. cubre los depósitos bancarios elegibles en caso de quiebra del banco, no la quiebra de los proveedores de servicios de tecnología financiera.
Ron Tarter, cofundador y CEO de MNEE App, dijo a crypto.news que las empresas que dependen en gran medida de plataformas de banking-as-a-service pueden tener casi ningún control sobre otros aspectos además de la aplicación, el diseño de tarjetas y el marketing.
Explicó que el banco patrocinador proporciona la licencia bancaria y sostiene depósitos en moneda fiduciaria; el procesador se encarga de autorizar las transacciones; la verificación de identidad, el cumplimiento, la prevención de fraude y los servicios de billeteras criptográficas también podrían ser asumidos por diferentes proveedores.
Puedes tener millones de usuarios y una marca poderosa, pero aún así no tener el control final sobre tu producto.
Las marcas de tarjetas de débito cripto dependen de decisiones de la cadena de suministro.
Según Tarter, los fundadores a menudo subestiman el poder de los bancos patrocinadores. Si el banco o la entidad gestora del proyecto considera que un proyecto presenta un riesgo excesivo, puede limitar o finalizar el proyecto, y las empresas orientadas al consumidor no pueden restaurar el servicio por su cuenta.
Mencionó que Kulipa entró en insolvencia durante el verano, lo que interrumpió los proyectos de tarjetas de aproximadamente 20 billeteras y empresas de tecnología financiera. Los clientes podrían no darse cuenta del interrupción del servicio hasta que intenten realizar un pago.
Otro par de incidentes independientes involucraron pérdidas dentro de la infraestructura de pagos. Gnosis indicó que su ataque del 1 de junio aprovechó un módulo de software utilizado por el sistema de seguridad de tarjetas, obligando a desconectar los servicios de tarjetas. El análisis posterior publicado por la empresa el 3 de julio indicó que los atacantes extrajeron 1,5 millones de dólares y bloquearon otros 300,000 dólares. La empresa asumió las pérdidas y recuperó los fondos de los usuarios, y esta información ya se había revelado previamente en los informes de vulnerabilidad de junio.
Según la investigación de Blockaid sobre el incidente de vulnerabilidad de la tarjeta Rain, el 28 de agosto, un contrato obsoleto de Rain expuso a varios proyectos de tarjetas basados en Solana a un riesgo de robo de aproximadamente 1,1 millones de dólares. Los atacantes objetivo los activos de estabilidad depositados como garantía para gastos de tarjeta, sin acceder a billeteras personales ni claves privadas.
Los registros de los clientes deben seguir estando disponibles después de la quiebra del proveedor de servicios.
Antes de seleccionar un socio, Tarter sugiere aclarar primero dónde se encuentran los fondos de los clientes: en una cuenta bancaria individual o en una cuenta consolidada mantenida en nombre de los clientes, esta última comúnmente conocida como cuenta FBO.
Para los fondos consolidados, dijo que la empresa debería preguntarse quién realiza la conciliación de las cuentas de los clientes, con qué frecuencia se realiza la conciliación y si el banco conserva su propia copia. Las medidas de seguridad que prefiere incluyen: abrir cuentas separadas a nombre del cliente y que la marca mantenga copias diarias de los saldos y registros.
La protección de seguros en Estados Unidos tiene condiciones separadas. El análisis de la Agencia de Protección Financiera del Consumidor de Estados Unidos indica que el seguro de depósitos directo depende del cumplimiento de los requisitos regulatorios. El seguro de depósitos protege contra el riesgo de quiebra de bancos asegurados, pero no cubre la quiebra de empresas que operan aplicaciones no bancarias.
En cuanto a la revisión de seguridad, el ejecutivo sugirió utilizar evaluaciones independientes, como informes SOC 2 Type II, y preguntó cómo la plataforma supervisa otros proyectos que comparten su infraestructura. En cuanto a la discusión sobre seguro, debe quedar claro el alcance de las pérdidas cubiertas y si el proveedor podría enfrentar dificultades financieras en caso de un incidente grave.
Los socios alternativos también podrían compartir el mismo banco subyacente.
Tarter advirtió que elegir dos proveedores no necesariamente significa establecer un verdadero arreglo de respaldo independiente. Ambos podrían depender del mismo banco patrocinador, lo que deja a la marca expuesta a las decisiones de la misma institución.
Él indicó que múltiples emisores y procesadores de respaldo ayudan a manejar interrupciones breves, pero cada capa adicional implica una nueva integración técnica, procesos de cumplimiento y libros contables que deben reconciliarse. Las grandes empresas de tecnología financiera tienen más facilidad para asumir estos arreglos; las empresas más pequeñas podrían tener dificultades para soportar los costos y la carga de trabajo asociados.
Nos llevó más de un año pasar la revisión de crédito de un banco.
Su sugerencia es revisar a cada intermediario, obtener la lista de subcontratistas y confirmar si se puede contactar directamente al banco patrocinador. El contrato debe cubrir situaciones como la adquisición, cese de operaciones, brechas de seguridad o la decisión de retirar el servicio por parte del proveedor aguas arriba.
Otra filtración de datos de Gnosis Pay en noviembre afectó sus tarjetas de consumo, pero la empresa indicó que su plataforma empresarial y los fondos de los clientes no se vieron afectados.
Para hacer frente a la quiebra del proveedor, Tarter sugiere incluir en el contrato el derecho de continuar operando el proyecto o migrarlo directamente, junto con un período de notificación previo a la terminación. Él dijo que MNEE anteriormente descartó el plan de lanzar una cuenta FBO a través de un proveedor no identificado debido a preocupaciones sobre la falta de relaciones bancarias directas. Según él, dicho proveedor posteriormente quebró y entró en un proceso de quiebra bajo el Capítulo 11.