Ризики спільних платіжних провайдерів для криптокарт: досвід Rain і Kulipa

Недоліки у роботі криптодебеткарт показали, що деякі fintech-бренди мають мінімальний контроль над платіжними послугами, що вони пропонують. Нещодавній інцидент із експлуатацією контракту компанії Rain вартістю $1,1 мільйона підкреслив ризики використання спільної інфраструктури постачальників.

Загалом, банки, процесори і проміжне програмне забезпечення, яких використовують різні карткові бренди, можуть залишити усі програми вразливими до збоїв одночасно.

Генеральний директор MNEE App Рон Тартер зазначив у розмові з crypto.news, що компанії, які сильно залежать від банківських сервісів як послуги (BaaS), контролюють у кращому випадку лише власний додаток, дизайн картки і маркетинг. Партнерський банк надає банківські повноваження і зберігає фіатні депозити, а процесор відповідальний за авторизацію транзакцій. Окремі служби, як-от перевірка особи, комплаєнс, запобігання шахрайству та криптогаманці, можуть належати іншим постачальникам.

Ризики рішення “зверху вниз”

На думку Тартера, засновники часто недооцінюють повноваження партнерського банку. Банк або менеджер програми можуть обмежити або припинити обслуговування, якщо вважають продукт надто ризикованим, і при цьому компанії, що працює з клієнтами, залишиться без можливості самостійно відновити сервіс. Як приклад він навів банкрутство компанії Kulipa влітку, яке призвело до зупинки карткових програм приблизно для 20 криптовалютних гаманців і fintech-компаній. Клієнти могли дізнатися про неполадки лише під час спроби оплати.

Інші інциденти пов’язані із внутрішніми втратами в платіжній інфраструктурі. Зокрема, 1 червня Gnosis зазнала кібернападу, який зломав програмні модулі карткового сейфу, через що карткові послуги припинили роботу. У постмортемі від 3 липня повідомлялося про викрадення $1,5 мільйона і блокування ще $300 тисяч. Компанія покрила ці збитки і відновила кошти користувачів.

28 серпня старий контракт Rain виявився уразливим і призвів до викрадення близько $1,1 мільйона зі стейблкойн-колатералів у кількох Solana-карткових програмах, повідомляє Blockaid. Зловмисники цілеспрямовано забрали гроші, не отримавши доступу до особистих гаманців чи приватних ключів клієнтів.

Захист коштів та стійкість даних клієнтів

Перед укладенням партнерства Рон Тартер радить чітко з’ясувати, де саме зберігаються кошти клієнтів: у індивідуальних банківських рахунках або в об’єднаному рахунку (FBO – For Benefit Of), який ведеться від імені клієнтів. Для рахунків із спільними коштами варто дізнатися, хто веде облік клієнтських залишків, як часто оновлюється ця інформація і чи зберігає банк копію книги обліку.

Для додаткової безпеки він пропонує відкрити індивідуальні рахунки на ім’я клієнтів і щоденно робити резервні копії залишків та облікових записів, які належать бренду.

У США депозитне страхування діє лише у випадку проблем із банком, де зберігаються гроші, і не охоплює провал fintech-компанії, яка пропонує платіжні послуги. Цю інформацію підкреслює аналіз Управління фінансового захисту споживачів щодо платіжних додатків.

Для перевірки безпеки Тартер рекомендує незалежні аудити, зокрема SOC 2 Type II, а також дізнаватись про те, як платформа контролює інші програми, які користуються спільною інфраструктурою. При обговоренні страхування важливо встановити максимальні покриті збитки і зрозуміти, чи може провайдер зазнати банкрутства через значний інцидент.

Подвійні провайдери — не завжди подвійна безпека

Рон Тартер застерігає, що співпраця з двома різними постачальниками не гарантує наявність справжнього резервного варіанту, якщо вони залежать від одного й того самого спонсорського банку. Це підвищує ризик одночасного припинення роботи. Великим fintech-компаніям легше впоратися з численними інтеграціями, комплаєнсом і обліком, що виникають при такому розподілі, тоді як менш масштабним фірмам це створює суттєві витрати й складнощі. Процес перевірки банку часто займає більше року.

Тартер радить детально мапувати всі проміжні ланки, отримувати списки субпідрядників і уточнювати, чи можлива пряма комунікація з банком-партнером. Важливо також прописувати у контрактах умови у випадку поглинання, зупинки, витоку даних або відмови їхніх послуг вище розташованим провайдером.

Окремо, у листопаді Gnosis Pay повідомила про інцидент витоку даних, що торкнувся її споживчих карток, водночас платформа для корпоративних користувачів і гроші клієнтів залишилися недоторканими.

Для підготовки до можливих проблем співзасновник MNEE рекомендує домагатися прямих договірних прав на підтримку або перенесення програм. Компанія відмовилася запускати FBO-акаунти з одним провайдером через відсутність прямого банківського партнерства, а цей провайдер згодом закрився та розпочав процедуру банкрутства у Chapter 11.