Ошибка с криптовалютной дебетовой картой выявила, что некоторые кошельки и финтех-бренды имеют ограниченный контроль над своими платежными сервисами; инцидент с уязвимостью в контракте Rain на сумму 1,1 миллиона долларов продемонстрировал риски, связанные с использованием общих инфраструктур.
- Общие банки, процессоры и промежуточное программное обеспечение могут одновременно подвергнуть различные бренды карт одному и тому же сбою.
- Уязвимость, с которой столкнулся Rain в августе, затрагивала только балансы загруженных карт; личные кошельки и приватные ключи клиентов не были затронуты.
- Генеральный директор MNEE App Рон Таттер рекомендует установить прямые банковские отношения и обеспечить независимый доступ к клиентским записям.
- Страхование депозитов в США покрывает соответствующие банковские депозиты в случае банкротства банка, а не банкротства самих финтех-провайдеров.
Генеральный директор и сооснователь MNEE App Рон Таттер сказал crypto.news, что компании, сильно зависящие от платформ banking-as-a-service, могут практически не иметь контроля над другими аспектами, кроме приложения, дизайна карт и маркетинга.
Он пояснил, что спонсирующий банк предоставляет банковскую лицензию и хранит фиатные депозиты, а процессор отвечает за авторизацию транзакций; проверку личности, соответствие требованиям, борьбу с мошенничеством и услуги криптокошельков также могут предоставляться различными поставщиками.
You can have millions of users and a powerful brand, but still not have the final say over your product.
Криптовалютная дебетовая карта зависит от решений на верхнем уровне
Согласно Тартеру, основатели часто недооценивают власть спонсирующих банков. Если банк или управляющая сторона проекта считают, что проект слишком рискован, они могут ограничить или прекратить его, тогда как потребительские компании не могут самостоятельно восстановить сервис.
Он упомянул, что Kulipa в летний период оказалась неплатежеспособной, что нарушило картовые проекты примерно 20 кошельков и финтех-компаний. Клиенты могут обнаружить перебои в обслуживании только при попытке произвести платеж.
Еще несколько независимых инцидентов связаны с потерями внутри платежной инфраструктуры. Gnosis сообщила, что атака 1 июня использовала программный модуль, применяемый в системе безопасности карт, что вынудило сервисы карт отключиться. Согласно постфактум-анализу компании от 3 июля, злоумышленники извлекли 1,5 миллиона долларов и заблокировали еще 300 тысяч долларов. Компания покрыла убытки и восстановила средства пользователей; эта информация уже была раскрыта в отчетах о уязвимости в июне.
Согласно расследованию Blockaid в связи с уязвимостью карт Rain, 28 августа устаревший смарт-контракт Rain подверг риску кражи на сумму около 1,1 миллиона долларов США несколько проектов карт на базе Solana. Злоумышленники нацелились на стабильные монеты, используемые в качестве залога для расходов по картам, но не имели доступа к личным кошелькам или закрытым ключам.
Записи клиентов должны оставаться доступными после банкротства провайдера
Перед выбором партнера Tarter рекомендует сначала определить, где именно находятся средства клиентов: на отдельном банковском счете или на общем счете, открытом от имени клиентов, который обычно называется FBO-счетом.
Что касается сводных средств, он сказал, что компании следует уточнить, кто проводит сверку счетов клиентов, как часто это происходит, и сохраняет ли банк собственные копии. Его предпочтительные меры защиты включают: открытие отдельных счетов на имя клиентов, а также хранение копий ежедневных остатков и записей брендом.
В США страховая защита имеет отдельные условия. Анализ Управления по защите финансовых интересов потребителей США показывает, что прозрачное страхование депозитов зависит от соблюдения регуляторных требований. Страхование депозитов защищает от риска банкротства застрахованных банков, но не покрывает банкротство компаний, работающих с небанковскими приложениями.
В отношении безопасности руководитель рекомендует использовать независимые оценки, такие как отчет SOC 2 Type II, и спрашивает, как платформа контролирует другие проекты, использующие ее инфраструктуру. В обсуждении страхования необходимо четко определить масштаб покрываемых убытков и сможет ли провайдер финансово выдержать последствия серьезного инцидента.
Альтернативные партнеры также могут использовать один и тот же базовый банк.
Тартер предупредил, что выбор двух поставщиков услуг не обязательно означает создание действительно независимой резервной системы. Оба могут зависеть от одного и того же спонсирующего банка, что оставляет бренд подверженным решениям одного и того же учреждения.
Он отметил, что наличие нескольких эмитентов и резервных процессоров помогает справляться с кратковременными перебоями, но каждое дополнительное звено означает дополнительную техническую интеграцию, процедуры соблюдения нормативных требований и необходимость сверки книг. Крупные финтех-компании легче справляются с такими соглашениями; более мелкие компании могут испытывать трудности с покрытием связанных расходов и объема работы.
Мы потратили более года на прохождение кредитного одобрения от одного банка.
Его рекомендация заключается в том, чтобы проанализировать каждого посредника, получить список субподрядчиков и уточнить, можно ли напрямую связаться с спонсирующим банком. Договор должен охватывать случаи, когда поставщики услуг верхнего уровня были приобретены, прекратили деятельность, столкнулись с уязвимостями в безопасности или решили отказаться от предоставления услуг.
Еще один инцидент утечки данных в Gnosis Pay, произошедший в ноябре, затронул потребительские карты бренда, однако компания заявила, что ее корпоративная платформа и средства клиентов не пострадали.
Чтобы смягчить риски, связанные с банкротством провайдера, Тартер рекомендует включать в договоры право напрямую продолжать работу над проектом или мигрировать его, а также устанавливать уведомительный период до расторжения. Он отметил, что ранее MNEE отказалась от плана запуска FBO-счета через неназванного провайдера из-за опасений по поводу отсутствия прямых банковских отношений. По его словам, этот провайдер впоследствии обанкротился и подал заявление о банкротстве по главе 11.