La défaillance des cartes de débit cryptographiques révèle que certains portefeuilles et marques de fintech ont un contrôle limité sur leurs services de paiement ; la vulnérabilité contractuelle de Rain, d'une valeur de 1,1 million de dollars, illustre les risques liés à l'infrastructure partagée.
- Les banques, processeurs et middleware partagés peuvent exposer simultanément différentes marques de cartes au même type de défaillance.
- La faille subie par Rain en août ciblait les soldes des cartes rechargées ; les portefeuilles personnels et les clés privées des clients n'ont pas été affectés.
- Ron Tarter, PDG de MNEE App, recommande d'établir des relations bancaires directes et de garantir que les dossiers clients soient accessibles de manière indépendante.
- L'assurance-dépôts américaine couvre les dépôts bancaires éligibles en cas de faillite de la banque, et non en cas de faillite du fournisseur de services de technologie financière.
Ron Tarter, cofondateur et PDG de MNEE App, a déclaré à crypto.news que les entreprises fortement dépendantes des plateformes de banking-as-a-service ne peuvent presque pas contrôler d'autres aspects en dehors de l'application, du design des cartes et du marketing.
Il a expliqué que la banque sponsorise fournit une licence bancaire et détient les dépôts en monnaie fiduciaire, tandis que le processeur est chargé d'autoriser les transactions ; l'identification des utilisateurs, la conformité, la prévention de la fraude et les services de portefeuille cryptographique peuvent également être assurés par différents fournisseurs.
Vous pouvez avoir des millions d'utilisateurs et une marque puissante, mais ne pas encore détenir la dernière parole sur votre produit.
Les marques de cartes de débit cryptographiques dépendent des décisions en amont.
Selon Tarter, les fondateurs sous-estiment souvent le pouvoir des banques sponsors. Si une banque ou une entité de gestion de projet estime qu'un projet présente un risque trop élevé, elle peut limiter ou mettre fin au projet, tandis qu'une entreprise orientée consommateur ne peut pas rétablir le service de manière autonome.
Il a mentionné que Kulipa a fait faillite en été, ce qui a perturbé les projets de cartes d'environ 20 entreprises de portefeuilles et de fintech. Les clients pourraient ne pas découvrir l'interruption du service qu'au moment où ils tentent de procéder à un paiement.
D'autres incidents indépendants ont impliqué des pertes au sein de l'infrastructure de paiement. Gnosis a indiqué que son attaque du 1er juin a exploité un module logiciel utilisé par le système de sécurité des cartes, forçant la suspension des services de carte. L'analyse post-incident publiée le 3 juillet par l'entreprise indique que les attaquants ont extrait 1,5 million de dollars et rendu 300 000 dollars supplémentaires inaccessibles. L'entreprise a assumé les pertes et a rétabli les fonds des utilisateurs, des informations déjà divulguées dans les rapports sur la vulnérabilité de juin.
Selon l'enquête de Blockaid sur la vulnérabilité de la carte Rain, le 28 août, un contrat Rain obsolète a exposé plusieurs projets de cartes basés sur Solana à un risque de vol d'environ 1,1 million de dollars. Les attaquants ciblaient les actifs stables déposés comme garantie pour les dépenses de carte, sans accéder aux portefeuilles personnels ni aux clés privées.
Les enregistrements clients doivent rester accessibles après la faillite du fournisseur de services.
Avant de choisir un partenaire, Tarter recommande de déterminer où se trouvent exactement les fonds des clients : dans un compte bancaire séparé ou dans un compte regroupé détenu au nom des clients, généralement appelé compte FBO.
Pour les fonds regroupés, il a déclaré que l'entreprise devrait se demander qui effectue le rapprochement des comptes clients, à quelle fréquence ce rapprochement est effectué, et si la banque conserve une copie propre. Les mesures de sécurité qu'il privilégie incluent : l'ouverture de comptes séparés au nom des clients, ainsi que la détention par la marque de copies quotidiennes des soldes et des enregistrements.
La protection d'assurance aux États-Unis est soumise à des conditions spécifiques. L'analyse de la Consumer Financial Protection Bureau des États-Unis sur les applications de paiement indique que l'assurance dépôt est conditionnée à la conformité aux exigences réglementaires. L'assurance dépôt couvre le risque de faillite des banques assurées, mais ne protège pas contre la faillite des entreprises d'applications non bancaires.
En matière de sécurité, ce cadre supérieur recommande l'adoption d'évaluations indépendantes, telles que les rapports SOC 2 Type II, et demande comment la plateforme surveille les autres projets partageant son infrastructure. Concernant l'assurance, il faut clarifier l'échelle des pertes couvertes et si le fournisseur sera en mesure de supporter financièrement un incident majeur.
Les partenaires de remplacement peuvent également partager la même banque sous-jacente.
Tarter a averti que choisir deux fournisseurs ne signifie pas nécessairement avoir mis en place un véritable plan de sauvegarde indépendant. Les deux pourraient dépendre du même banquier sponsor, laissant ainsi la marque exposée aux décisions d'une même institution.
Il a déclaré que plusieurs émetteurs et processeurs de secours aident à gérer les interruptions courtes, mais chaque couche supplémentaire implique une intégration technique, des processus de conformité et des registres à réconcilier supplémentaires. Les grandes entreprises de technologie financière sont mieux à même de supporter ces arrangements ; les entreprises plus petites pourraient avoir du mal à assumer les coûts et la charge de travail associés.
Nous avons passé plus d’un an à passer l’évaluation de crédit d’une banque.
Il recommande de passer en revue chaque intermédiaire, d'obtenir la liste des sous-traitants et de vérifier s'il est possible de contacter directement la banque sponsor. Le contrat doit couvrir les cas où le fournisseur en amont est racheté, cesse ses activités, subit une faille de sécurité ou décide de retirer ses services.
Une autre fuite de données survenue en novembre a affecté les cartes consommateurs de Gnosis Pay, mais l'entreprise a déclaré que sa plateforme entreprise et les fonds clients n'ont pas été touchés.
Pour faire face à la faillite d'un fournisseur, Tarter recommande d'inclure dans le contrat le droit de continuer directement le projet ou de le migrer, ainsi qu'une période de préavis avant la résiliation. Il affirme que MNEE avait précédemment abandonné un projet visant à lancer un compte FBO via un fournisseur non identifié en raison de préoccupations concernant l'absence de relations bancaires directes. Selon lui, ce fournisseur a ensuite fait faillite et a entamé une procédure de faillite au chapitre 11.