Kegagalan kartu debit kripto mengungkapkan bahwa beberapa dompet dan merek fintech memiliki kendali terbatas atas layanan pembayaran mereka; insiden kerentanan kontrak senilai $1,1 juta oleh Rain menunjukkan risiko yang ditimbulkan oleh infrastruktur bersama.
- Berbagi bank, prosesor, dan middleware dapat menyebabkan berbagai merek kartu terpapar pada kegagalan yang sama secara bersamaan.
- Lubang keamanan yang dialami Rain pada Agustus menargetkan saldo kartu yang telah diisi, sedangkan dompet pribadi dan kunci pribadi pelanggan tidak terpengaruh.
- CEO MNEE App, Ron Tarter, menyarankan untuk membangun hubungan perbankan langsung dan memastikan catatan pelanggan dapat diakses secara independen.
- Asuransi simpanan Amerika melindungi simpanan bank yang memenuhi syarat terhadap kebangkrutan bank, bukan kebangkrutan penyedia layanan fintech itu sendiri.
Ron Tarter, co-founder dan CEO MNEE App, mengatakan kepada crypto.news bahwa perusahaan yang sangat bergantung pada platform banking-as-a-service mungkin hampir tidak memiliki kendali atas aspek lain selain aplikasi, desain kartu, dan pemasaran.
Dia menjelaskan bahwa bank sponsor menyediakan izin perbankan dan menyimpan deposit fiat, sedangkan prosesor bertanggung jawab atas otorisasi transaksi; verifikasi identitas, kepatuhan, anti-penipuan, serta layanan dompet kripto juga mungkin ditangani oleh pemasok yang berbeda secara terpisah.
Anda bisa memiliki jutaan pengguna dan merek yang kuat, tetapi tetap tidak menguasai keputusan akhir atas produk Anda.
Merek kartu debit kripto bergantung pada keputusan hulu
Menurut Tarter, pendiri sering meremehkan kekuatan bank sponsor. Jika bank atau pihak pengelola proyek menganggap suatu proyek terlalu berisiko, mereka dapat membatasi atau menghentikan proyek tersebut, sementara perusahaan yang berhadapan dengan konsumen tidak dapat memulihkan layanan secara mandiri.
Dia menyebut Kulipa mengalami ketidakmampuan membayar utang selama musim panas, yang mengganggu proyek kartu dari sekitar 20 perusahaan dompet dan fintech. Pelanggan mungkin baru menyadari gangguan layanan saat mencoba melakukan pembayaran.
Beberapa insiden independen lainnya melibatkan kerugian di dalam infrastruktur pembayaran. Gnosis menyatakan bahwa serangan pada 1 Juni memanfaatkan modul perangkat lunak yang digunakan oleh sistem keamanan kartu, memaksa layanan kartu offline. Analisis pasca-insiden yang dirilis pada 3 Juli menyebutkan bahwa penyerang mengekstraksi $1,5 juta dan membuat $300.000 lainnya tidak dapat diakses. Perusahaan menanggung kerugian tersebut dan memulihkan dana pengguna, informasi terkait sebelumnya telah diungkap dalam laporan kerentanan bulan Juni.
Berdasarkan penyelidikan Blockaid dalam insiden kerentanan kartu Rain, pada 28 Agustus, kontrak Rain yang usang membuat beberapa proyek kartu berbasis Solana berisiko kehilangan sekitar $1,1 juta. Penyerang menargetkan jaminan stablecoin yang disetorkan untuk pengeluaran kartu, bukan dompet pribadi atau kunci pribadi.
Catatan pelanggan harus tetap tersedia setelah penyedia layanan bangkrut
Sebelum memilih mitra, Tarter menyarankan untuk terlebih dahulu menentukan di mana dana klien ditempatkan: apakah di rekening bank terpisah, atau di rekening agregat yang dipegang atas nama klien, yang biasanya disebut rekening FBO.
Untuk dana agregat, ia mengatakan perusahaan harus bertanya siapa yang melakukan reconciliasi buku pelanggan, seberapa sering reconciliasi dilakukan, dan apakah bank menyimpan salinan sendiri. Langkah-langkah keamanan yang ia sukai meliputi: membuka rekening terpisah atas nama pelanggan, serta memiliki salinan saldo harian dan catatan yang dipegang oleh pihak merek.
Perlindungan asuransi di Amerika Serikat memiliki syarat tersendiri. Analisis oleh Consumer Financial Protection Bureau Amerika Serikat menunjukkan bahwa perlindungan deposit asuransi bersifat tembus pandang tergantung pada pemenuhan persyaratan regulasi. Perlindungan deposit hanya mencakup risiko kebangkrutan bank yang diasuransikan, dan tidak mencakup kebangkrutan perusahaan aplikasi non-bank.
Dalam hal tinjauan keamanan, eksekutif ini menyarankan penggunaan penilaian independen, seperti laporan SOC 2 Type II, dan menanyakan bagaimana platform mengawasi proyek-proyek lain yang berbagi infrastrukturnya. Mengenai diskusi asuransi, harus jelas seberapa besar kerugian yang dapat ditanggung, serta apakah penyedia akan mampu menanggung secara finansial jika terjadi insiden besar.
Mitras cadangan juga mungkin berbagi bank dasar yang sama
Tarter memperingatkan bahwa memilih dua penyedia layanan tidak selalu berarti telah membuat pengaturan cadangan yang benar-benar independen. Keduanya mungkin bergantung pada bank sponsor yang sama, sehingga merek tetap terpapar pada keputusan lembaga yang sama.
Dia menyatakan bahwa banyak penerbit dan prosesor cadangan membantu mengatasi gangguan singkat, tetapi setiap penambahan tingkat hubungan berarti tambahan satu set integrasi teknis, proses kepatuhan, dan buku besar yang perlu direkonsiliasi. Perusahaan fintech besar lebih mampu menanggung pengaturan ini; perusahaan yang lebih kecil mungkin kesulitan menanggung biaya dan beban kerja terkait.
Kami menghabiskan lebih dari satu tahun hanya untuk melewati persetujuan kredit dari sebuah bank.
Sarannya adalah meninjau setiap perantara, mendapatkan daftar subkontraktor, dan memastikan apakah dapat langsung menghubungi bank sponsor. Kontrak harus mencakup situasi seperti akuisisi, penghentian operasi, kebocoran keamanan, atau keputusan untuk menarik diri dari layanan oleh penyedia layanan hulu.
Pelanggaran data lainnya yang terjadi pada November memengaruhi kartu konsumen Gnosis Pay, sementara perusahaan menyatakan bahwa platform perusahaan dan dana pelanggan tidak terdampak.
Untuk mengatasi kegagalan penyedia layanan, Tarter menyarankan agar kontrak memberikan hak untuk terus mengoperasikan proyek secara langsung atau memindahkan proyek tersebut, serta menetapkan masa pemberitahuan sebelum penghentian. Ia mengatakan bahwa MNEE sebelumnya pernah meninggalkan rencana untuk meluncurkan akun FBO melalui penyedia layanan yang tidak disebutkan namanya karena khawatir kurangnya hubungan perbankan langsung. Menurutnya, penyedia layanan tersebut kemudian bangkrut dan memasuki proses kebangkrutan Chapter 11.