暗号資産デビットカードの障害は、一部のウォレットおよびフィンテックブランドがその支払いサービスに対して実際には限られた制御権しか持っていないことを明らかにした。Rainの110万ドルの契約バグは、インフラを共有することによるリスクを示している。
- 共有の銀行、プロセッサ、ミドルウェアにより、異なるカードブランドが同じ障害に同時にさらされる可能性があります。
- 8月にRainが遭遇した脆弱性は、チャージ済みカード残高に影響を与えましたが、顧客の個人ウォレットや秘密鍵には影響ありませんでした。
- MNEEアプリのCEO、ロン・ターターは、直接的な銀行関係を構築し、顧客記録を独立して取得できるようにすることを提案しています。
- 米国の預金保険は、フィンテックサービスプロバイダー自体の破綻ではなく、条件を満たす銀行預金を銀行の破綻から守ります。
MNEEアプリの共同設立者兼CEOであるRon Tarterは、crypto.newsに対して、banking-as-a-serviceプラットフォームに大きく依存する企業は、アプリケーション、カードデザイン、マーケティング以外のほとんどすべてのプロセスを制御できない可能性があると語りました。
彼は、スポンサー銀行が銀行業務の許可を提供し、法定通貨の預金を保有し、プロセッサーが取引の承認を担当すると説明しました。本人確認、コンプライアンス、不正防止、および暗号資産ウォレットサービスは、別々のサプライヤーが担当することもあります。
何百万ものユーザーと強力なブランドを持っていても、自社製品の最終決定権を握っていないことがある。
暗号資産デビットカードブランドは上流の意思決定に依存する
タルターの説によると、創業者はスポンサー銀行の権限を過小評価しがちである。銀行またはプロジェクト管理側が特定のプロジェクトのリスクが高すぎると判断した場合、そのプロジェクトを制限または終了させることができるが、消費者向け企業は単独でサービスを復旧することはできない。
彼は、Kulipaが夏に資産超過状態に陥り、約20社のウォレットおよびフィンテック企業のカードプロジェクトに混乱をもたらしたと述べた。顧客は、支払いを試みるまでサービスの停止に気づかない可能性がある。
他に、支払いインフラ内部での損失に関連する複数の独立したイベントが発生しました。Gnosisは、6月1日の攻撃がカードセキュリティシステムで使用されるソフトウェアモジュールを悪用し、カードサービスをダウンさせたと述べています。同社は7月3日に公開した事後分析で、攻撃者が150万ドルを引き出し、さらに30万ドルを凍結したと報告しています。同社は損失を負担し、ユーザーの資金を回復しました。この件については、すでに6月の脆弱性報告で公表されています。
BlockaidがRainカードの脆弱性イベントについて調査したところ、8月28日、古くなったRain契約により、Solanaベースの複数のカードプロジェクトが約110万ドルの盗難リスクにさらされた。攻撃者はカード利用のために預けられたステーブルコインの抵当物を標的にし、個人ウォレットや秘密鍵にはアクセスしていない。
顧客の記録はサービスプロバイダーが破綻した後も利用可能でなければならない
提携先を選択する前に、Tarterは、顧客資金が個別の銀行口座にあるか、顧客のために保有される合計口座、後者は通常FBO口座と呼ばれるかを明確にすることを推奨しています。
彼は、集約資金に関して、顧客帳簿の照合を誰が行っているか、照合の頻度はどの程度か、および銀行が独自のコピーを保持しているかを企業が確認すべきだと述べた。彼が好むセーフガードには、顧客名義での個別口座の開設、およびブランド側が日次残高および記録のコピーを保持することが含まれる。
米国における保険保護には別途条件があります。米国消費者金融保護局のペイメントアプリに関する分析では、透過的な預金保険は規制要件を満たすかどうかに依存します。預金保険は保険対象の銀行の破綻リスクをカバーしますが、非銀行アプリ企業の破綻はカバーしません。
セキュリティ監査に関して、この経営陣はSOC 2 Type IIレポートなどの独立した評価を推奨し、プラットフォームが自社インフラを共有する他のプロジェクトをどのように監督しているかを質問しました。保険に関する議論では、カバー可能な損失の規模を明確にし、重大な事故が発生した場合にプロバイダーが財務的に破綻しないかどうかを確認する必要があります。
代替の提携先も、同じ下位銀行を共有する可能性があります。
ターターは、2つのサービスプロバイダーを選択しても、真正に独立したバックアップ体制を構築したとは限らないと警告した。両者が同じスポンサー銀行に依存している可能性があり、その場合、ブランドは依然として同じ機関の決定にさらされることになる。
彼は、複数の発行体とバックアッププロセッサが短時間の中断に備えるのに役立つが、関係が一つ増えるたびに、技術的統合、コンプライアンスプロセス、および照合が必要な台帳が一つ増えることを意味すると述べた。大規模なフィンテック企業はこうした仕組みを負担しやすいが、小規模な企業は関連するコストと作業量を負いきれない可能性がある。
私たちが銀行のクレジット審査を通過するのに1年以上かかりました。
彼の提案は、すべての仲介業者を整理し、サブコントラクターリストを入手して、直接スポンサー銀行と連絡できるかを確認することです。契約には、アップストリームサービスプロバイダーの買収、事業停止、セキュリティーブレッチ、またはサービス撤退などの状況を含めるべきです。
Gnosis Payの11月に発生した別のデータ漏洩は、そのブランドの消費者カードに影響を与えましたが、同社は企業プラットフォームおよび顧客資金には影響がなかったと述べています。
サービスプロバイダーの破綻に備えて、Tarterは、契約にプロジェクトを直接継続または移行する権利を付与し、終了前に通知期間を設けることを提案した。彼によると、MNEEは直接の銀行関係の欠如を懸念し、名前を明かさないサービスプロバイダーを通じてFBOアカウントを導入する計画を断念した。その後、そのサービスプロバイダーは破綻し、Chapter 11破産手続きに入ったという。