Potíž s kontraktem Rain na Solaně staví do popředí riziko zůstatku na kartě

Rain 29. srpna uvedla, že její monitorovací systémy našly zranitelnost postihující malý počet programů, které používaly zastaralou verzi jejích kontraktů na Solaně. Rain doplnila, že ostatní programy zasažené nebyly, zastaralé programy prošly aktualizací, byli přizváni externí forenzní experti a postiženým uživatelům bude nahrazena škoda.

Tahle formulace má váhu. Není to totéž jako říct, že byla zasažená každá karta postavená na Rain. Není to ani totéž jako vybraná peněženka. Bezpečnější čtení je užší: některé kartové programy, které pořád visely na starém kontraktu na Solaně, měly skutečný bezpečnostní problém a Rain zasažené programy převedla na aktualizovanou verzi.

Zůstatek na kartě je samostatné vystavení

Uživatelé kryptokaret často oddělují riziko peněženky od rizika burzy, jenže riziko zůstatku na kartě si zaslouží vlastní přihrádku. Jakmile se prostředky přesunou na zůstatek karty nebo na výdajový účet, člověk už nezávisí jen na privátním klíči. Závisí i na vydavateli, kartovém programu, kontraktu pro dobíjení, procesu vypořádání a kontrolách kolem toho všeho.

Proto „nabij si jen tolik, kolik potřebuješ" není obecná bezpečnostní fráze. Mění velikost zůstatku vystaveného incidentu specifickému pro kartu. Když se karta používá hlavně na týdenní předplatné, cestu nebo pár plateb v obchodě, drží-li se uvnitř kartového systému mnohem větší zůstatek, vzniká vystavení navíc, aniž by se platební zážitek zlepšil.

Přesná hranice pořád závisí na kartě. Některé produkty čerpají v okamžiku platby z peněženky. Jiné používají předplacený zůstatek. Další rozdělují prostředky peněženky, výdajový zůstatek a zůstatek karty do samostatných vrstev. Incident u Rain připomíná, že je dobré ověřit, která vrstva skutečně drží utratitelné prostředky, dřív než se s kryptokartou začne zacházet jako s běžnou bankovní kartou.

Hranici zasažených programů není radno natahovat

Několik komunitních příspěvků rychle vyjmenovalo kartové programy, které používají infrastrukturu Rain. Ten seznam je užitečný pro pochopení, jak široce Rain stojí za spotřebitelskými kartovými značkami, ale nemá se brát jako seznam zasažených produktů.

Vlastní formulace Rain byla omezenější: zasažen byl malý počet programů se zastaralým kontraktem na Solaně, ostatní programy ne. KAST rovněž veřejně odpověděla, že zasažena nebyla. Dokud kartový program nebo Rain nepojmenují konkrétní produkt, opatrná věta zní „Rain nahlásila problém v části programů se zastaralými kontrakty na Solaně", ne „karty vydané přes Rain byly hacknuté".

Ten rozdíl není kosmetický. Kryptokartová sestava má značku obrácenou k uživateli, vydavatele karty, řetězec pro vklady či vypořádání, aktivum držené na útratu a kartovou síť. Problém na jedné kontraktní cestě na Solaně automaticky nic neříká o zůstatcích na EVM, zůstatcích v peněženkách, jiných kartových programech ani o každé kartě od stejného poskytovatele infrastruktury.

Praktická kontrola začíná uvnitř kartového účtu

Praktická kontrola začíná uvnitř kartového účtu. Uživatel by se měl podívat, jestli jeho karta používá předplacený zůstatek, jestli prostředky leží na Solaně nebo v jiné síti, jestli kartový program vydal vlastní vyjádření a jestli výběry a placení kartou pořád fungují normálně.

Když kartový program potvrdí, že zasažen nebyl, je to užitečná informace, obecný návyk to ale neruší. Kryptokarta se má dobíjet podle skutečné potřeby útraty. Větší zůstatky patří tam, kde člověk vědomě chce úschovu nebo výnos, ne na zůstatek karty, který existuje jen proto, aby se snáz platilo obchodníkům.

Reakce Rain také ukazuje, co u vydavatele po incidentu sledovat: jestli je pojmenovaný zasažený rozsah, jestli se zastaralé kontrakty aktualizují, jestli se zapojila externí forenzní analýza, jestli se zmiňují orgány činné v trestním řízení nebo regulátoři a jestli se uživatelům řekne, jak náprava proběhne. Plná náhrada je důležitá, ale provozní lekce pro držitele karet je prostší: zůstatek na kartě nejsou ležící peníze. Jsou to peníze uvnitř platební sestavy.