Por Canuto  

Un exploit de aproximadamente USD $1,1 millones en un contrato de Rain y otros incidentes ponen el foco en una vulnerabilidad estructural: marcas distintas de tarjetas cripto pueden depender de los mismos bancos, procesadores y proveedores. Ron Tarter, CEO de MNEE App, advierte que esa dependencia limita el control de las empresas y complica la protección de los clientes cuando un intermediario falla.
***

  • Un contrato desactualizado de Rain permitió sustraer cerca de USD $1,1 millones en colateral de tarjetas; los wallets personales y las claves privadas de los clientes no fueron afectados.
  • Los programas de tarjetas suelen repartir funciones entre bancos patrocinadores, procesadores y proveedores de identidad, cumplimiento, prevención de fraude y wallets.
  • El seguro de depósitos de Estados Unidos puede proteger depósitos bancarios elegibles frente al colapso de un banco, pero no cubre por sí mismo la quiebra de una fintech.

Las tarjetas de débito vinculadas a criptomonedas suelen presentarse bajo una sola marca, pero su funcionamiento depende de una cadena de instituciones y empresas con tareas distintas. Los incidentes de Gnosis y Rain muestran que una falla en esa infraestructura puede interrumpir servicios o poner en riesgo los fondos destinados al gasto, incluso cuando los wallets personales y las claves privadas permanecen intactos.

Ron Tarter, cofundador y CEO de MNEE App, explicó a crypto.news que algunas empresas que recurren a plataformas de banca como servicio controlan sobre todo la aplicación, el diseño de la tarjeta y el marketing, no necesariamente los componentes que permiten procesar pagos. Su advertencia apunta a una brecha entre la marca que ve el usuario y las entidades que custodian depósitos, autorizan transacciones y sostienen controles operativos.

Una tarjeta, varios proveedores y decisiones externas

El modelo descrito por Tarter distribuye responsabilidades entre varios intermediarios. Un banco patrocinador aporta los permisos bancarios y custodia depósitos en moneda fiduciaria, mientras un procesador autoriza las transacciones; las verificaciones de identidad, el cumplimiento, la prevención de fraude y los servicios de wallets cripto pueden quedar en manos de otras compañías.

Para el usuario, esa estructura no siempre resulta visible: la tarjeta puede llevar el nombre de una fintech o de una marca cripto, aunque sus operaciones dependan de proveedores externos. La consecuencia, según Tarter, es que una empresa puede reunir millones de usuarios y una identidad comercial reconocida sin tener la autoridad final sobre el producto que ofrece ni la capacidad de restablecerlo por sí sola.

El banco patrocinador y el gestor del programa pueden restringir o terminar un servicio si consideran que entraña demasiado riesgo, señaló el ejecutivo. En ese escenario, la empresa que mantiene la relación cotidiana con sus clientes podría no tener poder para revertir la decisión, y el usuario quizá solo descubra el problema cuando intente pagar con la tarjeta.

Tarter citó la insolvencia de Kulipa durante el verano como ejemplo de una interrupción que, según su relato, afectó a programas de tarjetas vinculados con unos veinte wallets y empresas fintech. El caso ilustra el alcance potencial de un proveedor compartido: una sola crisis en la cadena puede repercutir en varias marcas, aunque cada una tenga una aplicación y una identidad distintas.

Los incidentes de Gnosis y Rain mostraron distintos tipos de exposición

Los problemas de infraestructura no siempre afectan a los mismos fondos ni de la misma manera. El ataque del 1 de junio contra Gnosis estuvo relacionado con el módulo Zodiac Delay, que permite poner transacciones en cola antes de su ejecución, según la información publicada por Gnosis. El incidente llevó a desconectar los servicios de tarjeta.

El informe posterior de Gnosis, publicado el 3 de julio, indicó que los atacantes extrajeron USD $1,5 millones y dejaron inutilizables otros USD $300.000. La compañía absorbió las pérdidas y restituyó los fondos de los usuarios, una respuesta que evitó trasladarles directamente el costo reportado, aunque el servicio de tarjetas tuvo que desconectarse tras el ataque.

El episodio de Rain, ocurrido el 28 de agosto de 2026, tuvo otro alcance: un contrato desactualizado expuso varios programas de tarjetas basados en Solana a un robo de aproximadamente USD $1,1 millones, según el análisis de Blockaid. El atacante se dirigió al colateral en stablecoins depositado para financiar gastos con tarjeta, no a los wallets personales de los clientes ni a sus claves privadas.

La diferencia importa para entender qué se vio comprometido: los fondos asignados al gasto con tarjeta pueden residir en una infraestructura separada de los activos que cada cliente conserva en su wallet. Que las claves privadas no resultaran afectadas en el caso de Rain no elimina la pérdida reportada, pero sí delimita el incidente y evita confundirlo con un acceso general a los wallets de los usuarios.

Qué revisar sobre custodia, registros y seguros

Antes de contratar un socio, Tarter recomienda aclarar dónde se encuentran los fondos de los clientes: en cuentas bancarias individuales o en una cuenta agrupada a nombre de los clientes, conocida como cuenta FBO. Si el dinero se mantiene agrupado, sugiere preguntar quién concilia el libro mayor de clientes, con qué frecuencia lo hace y si el banco conserva una copia propia de esos registros.

Entre las salvaguardas que considera preferibles están las cuentas individuales a nombre de cada cliente y las copias diarias de los saldos y registros bajo custodia de la marca. La lógica de esas medidas es que la información sobre lo que corresponde a cada usuario no dependa exclusivamente de que el proveedor fintech siga operando o pueda entregar sus datos durante una crisis.

El seguro de depósitos en Estados Unidos tiene límites que conviene distinguir de una garantía general para cualquier aplicación de pagos. El análisis de la Oficina de Protección Financiera del Consumidor citado en la información de origen explica que la cobertura de paso depende del cumplimiento de requisitos regulatorios: protege depósitos bancarios elegibles frente al fallo de un banco asegurado, pero no cubre por sí sola la quiebra de una empresa no bancaria.

Para evaluar controles de seguridad, Tarter recomienda revisar evaluaciones independientes como los informes SOC 2 Type II y preguntar cómo la plataforma supervisa otros programas que utilizan la misma infraestructura. También aconseja precisar el alcance del seguro del proveedor, qué pérdidas cubre y si una incidencia importante podría superar su capacidad financiera.

Los proveedores de respaldo también pueden compartir riesgos

Contar con dos proveedores no garantiza que una empresa tenga dos rutas realmente independientes, advirtió Tarter: ambos podrían depender del mismo banco patrocinador y quedar expuestos a las decisiones de esa institución. Incorporar emisores y procesadores alternativos puede ayudar ante interrupciones breves, pero agrega integraciones técnicas, procesos de cumplimiento y libros contables que también deben conciliarse.

Ese esfuerzo puede resultar más abordable para fintechs grandes que para compañías pequeñas, que deben sopesar los costos y el trabajo de mantener relaciones adicionales. Tarter afirmó que superar el proceso de evaluación de un solo banco les tomó más de un año, una experiencia que refleja el tiempo y los recursos que puede exigir la construcción de una relación bancaria directa.

Como preparación, el ejecutivo recomienda identificar cada intermediario, solicitar la lista de subcontratistas y averiguar si la empresa puede establecer contacto directo con el banco patrocinador. También propone que los contratos contemplen qué ocurre ante una adquisición, un cierre, una brecha de seguridad o la decisión de un proveedor aguas arriba de retirar sus servicios, además de prever aviso anticipado y derechos para continuar o trasladar un programa.

Tarter contó que MNEE abandonó planes de lanzar cuentas FBO mediante un proveedor no identificado porque le preocupaba no tener una relación directa con el banco. Según su relato, ese proveedor cerró después y entró en procedimientos bajo el Capítulo 11; es un antecedente que, en su opinión, refuerza la necesidad de revisar cómo se pueden recuperar los registros y mantener la operación si un intermediario desaparece.

En un incidente separado de noviembre, una filtración de datos afectó las tarjetas de consumo de marca de Gnosis Pay, mientras la compañía dijo que su plataforma empresarial y los fondos de los clientes no sufrieron impacto. El caso vuelve a mostrar que una marca puede operar servicios distintos con exposiciones diferentes, por lo que los usuarios y las empresas necesitan conocer no solo quién aparece en la tarjeta, sino también qué partes de la cadena podrían verse afectadas ante una falla.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados