Уязвимость Rain в Solana и что на самом деле стоит проверить пользователям Ether.fi Cash

Недавнее раскрытие Rain касалось уязвимости в устаревшем контракте Solana, который использовало небольшое число карточных программ. Для пользователя Ether.fi Cash важный вопрос не в том, встречается ли слово «Rain» где-то в конструкции. Он в том, лежат ли деньги, предназначенные для трат по карте, в контракте общего карточного баланса такого типа.

Прежнее международное карточное соглашение Ether.fi действительно называет Rain в схеме, поэтому говорить, что между продуктами вовсе нет связи, было бы неверно. При этом нынешние материалы Cash описывают другой путь: пользователь вносит поддерживаемые активы в личный Safe; эти средства доступны для Direct Pay или служат обеспечением в режиме Credit; а вывод исполняется только после подписи требуемых владельцев Safe. Это существенно отличается от размещения пополненного баланса в общем карточном контракте на Solana.

На момент публикации не найдено публичной записи Ether.fi об инциденте, которая независимо подтверждала бы затронутость или формально исключала её для этого конкретного случая с Rain. Утверждение об иной архитектуре согласуется с опубликованной моделью Safe у Ether.fi, но читать его следует как архитектурное различие, а не как всеобъемлющую гарантию безопасности.

Модель самостоятельного хранения Ether.fi отделяет хранение от выпуска карты

С Ether.fi Cash Card полезное преимущество в том, что рабочий процесс трат не обязан начинаться с предоплаченного пула у эмитента. В Direct Pay покупки идут из доступного баланса. В Borrow Mode покупка создаёт заём под обеспечение, а не продаёт обеспечение на кассе. Приложение и справочный центр Ether.fi описывают Safe как место, где хранятся поддерживаемые средства и где авторизуются выводы.

Эта модель разделяет два вопроса, которые после карточного инцидента часто смешивают. Выпуск карты и расчёты по платежам могут опираться на внешних партнёров; хранение и право на вывод при этом остаются в ончейн-Safe пользователя. Разделение снижает подверженность сценарию с общим карточным балансом, но не делает продукт безрисковым. Карточная программа, приложение, настройка Safe, поддерживаемые контракты, контроль KYC и любая заёмная позиция остаются отдельными поверхностями для оценки.

Выгода реальна, но Borrow Mode добавляет собственный риск

Карта Cash от Ether.fi к тому же гибче простой предоплаченной. Direct Pay позволяет тратить балансы, близкие к стейблкоинам, один к одному. Borrow Mode может оставить обеспечение на месте, пока карта пользуется заёмной ёмкостью, что выручает тех, кто и так управляет ончейн-обеспечением и не хочет продавать актив при каждой покупке. Подходящие покупки могут приносить кэшбэк, а продукт поддерживает виртуальные и физические карты наряду с Apple Pay и Google Pay.

Заимствование меняет риск, а не стирает его. Если стоимость обеспечения падает, значение приобретают заёмная ёмкость и здоровье позиции; отказ по карте или необходимость довнести обеспечение — иная задача, чем эксплойт баланса на стороне эмитента. У кэшбэка тоже есть условия по продавцам и полосам трат. Более безопасное прочтение звучит не как «самостоятельное хранение значит, что ничего не случится», а как «средства и способы отказа не собраны в одном предоплаченном карточном балансе».

После сообщения вроде истории с Rain пользователи Ether.fi Cash могут проверить три конкретные вещи: видны ли активы в собственном Safe, какой режим карты выбран — Direct Pay или Borrow Mode, и по-прежнему ли лимиты трат соответствуют задуманному повседневному балансу. Эти проверки говорят о непосредственной подверженности больше, чем одно лишь название общей инфраструктуры.

Источники: Страница Ether.fi Cash, Частые вопросы по Ether.fi Cash, Международное карточное соглашение Ether.fi, Освещение инцидента Rain.