A vulnerabilidade da Rain no Solana e o que os utilizadores do Ether.fi Cash deviam mesmo verificar

A divulgação recente da Rain dizia respeito a uma vulnerabilidade num contrato Solana desatualizado usado por um pequeno número de programas de cartão. Para quem usa o Ether.fi Cash, a pergunta importante não é se a palavra "Rain" aparece algures na pilha. É se o dinheiro destinado à despesa com cartão está nesse tipo de contrato partilhado de saldo de cartão.

O antigo contrato de cartão internacional da Ether.fi nomeia de facto a Rain no arranjo, por isso seria errado dizer que os dois produtos não têm relação nenhuma. Ao mesmo tempo, os materiais atuais do Cash descrevem outro caminho de carregamento: o utilizador deposita ativos suportados num Safe pessoal; esses fundos ficam disponíveis para Direct Pay ou como colateral no modo Credit; e um levantamento só é executado depois de assinado pelos titulares exigidos do Safe. Isso é materialmente diferente de colocar um saldo de carregamento num contrato de cartão partilhado na Solana.

À data de publicação não se encontrou qualquer artigo público de incidente da Ether.fi que confirme de forma independente um impacto nem uma conclusão formal de ausência de impacto para este evento concreto da Rain. A afirmação sobre uma arquitetura diferente é coerente com o modelo Safe publicado pela Ether.fi, mas deve ler-se como distinção de arquitetura e não como garantia geral de segurança.

O modelo de autocustódia da Ether.fi separa a custódia da emissão do cartão

Com o Ether.fi Cash Card, a vantagem útil é que o fluxo de despesa não tem de começar num fundo pré-pago detido pelo emissor. No Direct Pay, as compras usam o saldo disponível. No Borrow Mode, uma compra cria endividamento contra o colateral em vez de vender o colateral na caixa. A aplicação e o centro de ajuda da Ether.fi descrevem o Safe como o sítio onde os fundos suportados são guardados e onde os levantamentos são autorizados.

Esse modelo separa duas perguntas que, depois de um incidente de cartão, costumam ser misturadas. A emissão do cartão e a liquidação do pagamento podem apoiar-se em parceiros externos; a custódia e o poder de levantamento podem continuar no Safe onchain do utilizador. A separação reduz a exposição a uma falha que envolva um saldo de cartão agrupado, mas não torna o produto isento de risco. Programa de cartão, aplicação, configuração do Safe, contratos suportados, controlos de KYC e qualquer posição de empréstimo continuam a ser superfícies a avaliar em separado.

O benefício é real, mas o Borrow Mode acrescenta risco próprio

O cartão Cash da Ether.fi é também mais flexível do que um pré-pago simples. O Direct Pay permite gastar um por um saldos semelhantes a stablecoins. O Borrow Mode consegue deixar o colateral onde está enquanto o cartão usa capacidade de endividamento, o que serve a quem já gere colateral onchain e não quer que cada compra force uma venda. Compras elegíveis podem gerar cashback, e o produto suporta cartões virtuais e físicos, além de Apple Pay e Google Pay.

Endividar-se muda o risco, não o apaga. Se o valor do colateral cair, contam a capacidade de endividamento e a saúde da posição; um cartão recusado ou a necessidade de acrescentar colateral é um problema diferente de um ataque ao saldo do lado do emissor. O cashback também tem condições de comerciante e faixas de despesa. A leitura mais segura não é "autocustódia significa que nada pode correr mal", mas "os fundos e os modos de falha não estão todos concentrados num saldo de cartão pré-pago".

Depois de um relato como o do incidente da Rain, os utilizadores do Ether.fi Cash podem verificar três coisas concretas: se os ativos estão visíveis no seu próprio Safe, se o modo de cartão selecionado é Direct Pay ou Borrow Mode, e se os limites de despesa continuam a corresponder ao saldo diário pretendido. Essas verificações dizem mais sobre a exposição imediata do que o nome de uma infraestrutura partilhada.

Fontes consultadas: Página do Ether.fi Cash, Perguntas frequentes do Ether.fi Cash, Contrato de cartão internacional da Ether.fi, Cobertura do incidente da Rain.