Kegagalan kad debit kripto menunjukkan bahawa beberapa dompet dan jenama fintech mempunyai kuasa terhad terhadap perkhidmatan pembayaran mereka; insiden lubang kontrak Rain bernilai $1.1 juta menggambarkan risiko yang dibawa oleh infrastruktur bersama.
- Perbankan, pemproses, dan middleware yang dikongsi mungkin menyebabkan pelbagai jenama kad terdedah kepada kegagalan yang sama secara serentak.
- Lubang keamanan yang dialami Rain pada bulan Ogos menjejaskan baki kad yang telah didepositkan, tetapi dompet peribadi dan kunci peribadi pelanggan tidak terkesan.
- CEO aplikasi MNEE, Ron Tarter, mencadangkan untuk membina hubungan bank secara langsung dan memastikan rekod pelanggan boleh diakses secara bebas.
- Perisian deposit Amerika Syarikat melindungi simpanan bank yang memenuhi syarat terhadap kegagalan bank, bukan kegagalan penyedia perkhidmatan fintech itu sendiri.
Ron Tarter, pengetua dan pengasas bersama MNEE App, memberitahu crypto.news bahawa syarikat yang sangat bergantung kepada platform banking-as-a-service mungkin hampir tidak mempunyai kawalan atas sebarang perkara selain aplikasi, reka bentuk kad, dan pemasaran.
Dia menjelaskan bahawa bank penyokong menyediakan lesen perbankan dan menyimpan deposit mata wang asing, sementara pemproses bertanggungjawab untuk mengesahkan transaksi; pengesahan identiti, kesesuaian, pencegahan penipuan, dan perkhidmatan dompet kripto juga mungkin ditangani oleh pembekal yang berbeza.
Anda boleh memiliki jutaan pengguna dan jenama yang kuat, tetapi masih tidak menguasai keputusan akhir atas produk anda.
Brank kad kripto bergantung kepada keputusan hulu
Menurut Tarter, pengasas sering meremehkan kuasa bank penyokong. Jika bank atau pihak pengurusan projek menganggap projek tertentu terlalu berisiko, mereka boleh membatasi atau menghentikan projek tersebut, manakala syarikat yang berhadapan dengan pengguna tidak boleh memulihkan perkhidmatan secara berasingan.
Dia menyebut Kulipa mengalami kegagalan modal pada musim panas, dan ia menyatakan hal ini mengganggu projek kad bagi kira-kira 20 syarikat dompet dan fintech. Pelanggan mungkin tidak menyedari gangguan perkhidmatan sehingga mencuba membuat pembayaran.
Beberapa insiden berasingan lain melibatkan kerugian di dalam infrastruktur pembayaran. Gnosis menyatakan serangan pada 1 Jun memanfaatkan modul perisian yang digunakan oleh sistem keselamatan kad, memaksa perkhidmatan kad dimatikan. Analisis pasca-serangan yang dikeluarkan pada 3 Julai menyatakan bahawa penyerang mengekstrak $1.5 juta dan membuat $300,000 lagi tidak boleh diakses. Syarikat menanggung kerugian tersebut dan memulihkan dana pengguna, yang sebelum ini telah didedahkan dalam laporan lubang keamanan Jun.
Berdasarkan penyiasatan oleh Blockaid mengenai kebocoran kad Rain, pada 28 Ogos, satu kontrak Rain yang usang membahayakan beberapa projek kad berbasis Solana dengan risiko pencurian sebanyak $1.1 juta. Penyerang menargetkan jaminan stabelcoin yang disimpan untuk penggunaan kad, dan tidak mengakses dompet peribadi atau kunci peribadi.
Rekod pelanggan perlu kekal boleh diakses selepas penyedia perkhidmatan tutup
Sebelum memilih rakan kongsi, Tarter mencadangkan agar menentukan di mana dana pelanggan sebenarnya disimpan: sama ada akaun bank terpisah atau akaun gubahan yang dipegang atas nama pelanggan, yang biasanya dikenali sebagai akaun FBO.
Untuk dana teragregasi, beliau mengatakan bahawa syarikat seharusnya bertanya siapa yang melakukan penyesuaian buku pelanggan, seberapa kerap penyesuaian dilakukan, dan sama ada bank menyimpan salinan sendiri. Langkah-langkah keselamatan yang disukainya termasuk: membuka akaun berasingan atas nama pelanggan, serta memiliki salinan baki harian dan rekod oleh pihak pemilik jenama.
Perlindungan insurans di Amerika Syarikat mempunyai syarat tersendiri. Analisis oleh Bahagian Perlindungan Kewangan Pengguna Amerika Syarikat menunjukkan bahawa perlindungan insurans deposit bergantung pada sama ada syarat peraturan dipenuhi. Perlindungan insurans deposit melindungi risiko kegagalan bank yang dilindungi, tetapi tidak merangkumi kegagalan syarikat aplikasi bukan bank.
Dalam hal pemeriksaan keselamatan, eksekutif ini mencadangkan penggunaan penilaian bebas, seperti laporan SOC 2 Type II, dan bertanya bagaimana platform mengawasi projek lain yang berkongsi infrastruktur mereka. Mengenai perbincangan insurans, perlu dinyatakan dengan jelas skala kerugian yang boleh dicover, serta sama ada penyedia akan mengalami kesukaran kewangan sekiranya berlaku kejadian besar.
Pihak kerjasama alternatif juga mungkin berkongsi bank dasar yang sama
Tarter memperingatkan bahawa memilih dua penyedia perkhidmatan tidak semestinya bermakna telah membina cadangan yang benar-benar bebas. Kedua-duanya mungkin bergantung kepada bank penyokong yang sama, sehingga merek masih terdedah kepada keputusan institusi yang sama.
Beliau menyatakan bahawa pelbagai penerbit dan pemproses alternatif membantu mengatasi gangguan jangka pendek, tetapi setiap penambahan lapisan hubungan bermakna satu set tambahan integrasi teknologi, proses kepatuhan, dan buku besar yang perlu diselaraskan. Syarikat fintech besar lebih mudah menanggung susunan ini; syarikat yang lebih kecil mungkin kesukaran menanggung kos dan beban kerja yang berkaitan.
Kami mengambil lebih daripada satu tahun untuk lulus semakan kredit daripada sebuah bank.
Cadangannya ialah mengkaji setiap perantara, mendapatkan senarai subkontraktor, dan mengesahkan sama ada boleh menghubungi bank penyokong secara langsung. Kontrak seharusnya merangkumi kes-kes di mana penyedia perkhidmatan hulu dibeli, berhenti beroperasi, mengalami kebocoran keselamatan, atau memutuskan untuk menarik diri daripada perkhidmatan.
Pendedihan data lain yang berlaku pada November mempengaruhi kad pengguna Gnosis Pay, tetapi syarikat menyatakan bahawa platform perniagaannya dan dana pelanggan tidak terjejas.
Untuk mengatasi kegagalan penyedia perkhidmatan, Tarter mencadangkan agar kontrak memberikan hak untuk terus mengendalikan projek atau memindahkan projek secara langsung, serta menetapkan tempoh pemberitahuan sebelum penghentian. Beliau berkata, MNEE sebelum ini telah membatalkan rancangan untuk memperkenalkan akaun FBO melalui penyedia perkhidmatan yang tidak disebut nama kerana risau tentang kurangnya hubungan bank langsung. Menurut beliau, penyedia perkhidmatan tersebut kemudian gagal dan memasuki prosedur kebangkrutan Chapter 11.