La vulnerabilità di Rain su Solana e cosa dovrebbero davvero controllare gli utenti di Ether.fi Cash
La recente divulgazione di Rain riguardava una vulnerabilità in un contratto Solana obsoleto usato da un piccolo numero di programmi di carta. Per chi usa Ether.fi Cash, la domanda importante non è se la parola "Rain" compaia da qualche parte nello stack. È se il denaro destinato alla spesa con carta si trovi in quel tipo di contratto condiviso di saldo carta.
Il vecchio contratto di carta internazionale di Ether.fi nomina effettivamente Rain nell'assetto, quindi sarebbe sbagliato dire che i due prodotti non abbiano alcuna relazione. Allo stesso tempo, i materiali attuali di Cash descrivono un percorso di ricarica diverso: l'utente deposita asset supportati in un Safe personale; quei fondi sono disponibili per Direct Pay o come collaterale in modalità Credit; e un prelievo viene eseguito solo dopo la firma dei titolari richiesti dal Safe. È materialmente diverso dal collocare un saldo di ricarica in un contratto di carta condiviso su Solana.
Alla pubblicazione non è stato trovato alcun post pubblico di Ether.fi sull'incidente che confermi in modo indipendente un impatto né una conclusione formale di assenza di impatto per questo specifico evento di Rain. L'affermazione su un'architettura diversa è coerente con il modello Safe pubblicato da Ether.fi, ma va letta come distinzione architetturale, non come garanzia generale di sicurezza.
Il modello di autocustodia di Ether.fi separa la custodia dall'emissione della carta
Con la Ether.fi Cash Card, il vantaggio utile è che il flusso di spesa non deve partire da una riserva prepagata detenuta dall'emittente. In Direct Pay gli acquisti usano il saldo disponibile. In Borrow Mode un acquisto crea un indebitamento contro il collaterale invece di vendere il collaterale alla cassa. L'app e il centro assistenza di Ether.fi descrivono il Safe come il luogo dove i fondi supportati sono custoditi e dove i prelievi vengono autorizzati.
Quel modello separa due domande che dopo un incidente di carta finiscono spesso mescolate. Emissione della carta e regolamento del pagamento possono appoggiarsi a partner esterni; custodia e potere di prelievo possono restare nel Safe onchain dell'utente. La separazione riduce l'esposizione a un guasto che coinvolga un saldo carta condiviso, ma non rende il prodotto privo di rischi. Programma di carta, app, configurazione del Safe, contratti supportati, controlli KYC ed eventuale posizione a debito restano superfici da valutare separatamente.
Il vantaggio è reale, ma Borrow Mode aggiunge un rischio proprio
La carta Cash di Ether.fi è anche più flessibile di una semplice prepagata. Direct Pay consente di spendere uno a uno saldi simili a stablecoin. Borrow Mode può lasciare il collaterale al suo posto mentre la carta usa capacità di indebitamento, cosa utile a chi già gestisce collaterale onchain e non vuole che ogni acquisto imponga una vendita. Gli acquisti idonei possono generare cashback, e il prodotto supporta carte virtuali e fisiche oltre ad Apple Pay e Google Pay.
Indebitarsi cambia il rischio, non lo cancella. Se il valore del collaterale scende, contano capacità di indebitamento e salute della posizione; una carta rifiutata o la necessità di aggiungere collaterale sono un problema diverso da un exploit sul saldo lato emittente. Anche il cashback ha condizioni di commerciante e fasce di spesa. La lettura più prudente non è "autocustodia significa che nulla può andare storto", ma "fondi e modi di rottura non sono tutti concentrati in un saldo di carta prepagata".
Dopo un rapporto come quello sull'incidente di Rain, chi usa Ether.fi Cash può controllare tre cose concrete: se gli asset sono visibili nel proprio Safe, se la modalità carta selezionata è Direct Pay o Borrow Mode, e se i limiti di spesa corrispondono ancora al saldo quotidiano previsto. Quei controlli dicono di più sull'esposizione immediata di quanto faccia il nome di un'infrastruttura condivisa.
Fonti consultate: Pagina di Ether.fi Cash, Domande frequenti su Ether.fi Cash, Contratto di carta internazionale di Ether.fi, Copertura dell’incidente di Rain.