Sicherheitsbilanz von Strike

Strike Europe unter MiCA von der maltesischen Aufsichtsbehörde zugelassen

Zap (Strike) Europe Limited wurde von der Malta Financial Services Authority nach MiCA, der EU-Verordnung 2023/1114, und Maltas Markets in Crypto Assets Act, Cap. 647, als Anbieter von Kryptowerte-Dienstleistungen zugelassen, und Strike verlegte seinen europäischen Hauptsitz von Polen nach Malta. MiCA setzt einen Standard für den Betrieb in der gesamten EU. Strike führt auf, was sie verlangt: vom Vermögen des Unternehmens getrennte Kundenvermögen, Bitcoin- und Fiat-Bestände im Verhältnis eins zu eins gehalten, niemals verliehen und niemals zur Führung des Unternehmens verwendet, Mindestkapital und laufende Solvenzprüfungen, Zuverlässigkeits- und Eignungsprüfungen der Führungskräfte sowie Regeln zu Bestausführung, Auftragsabwicklung, Verwahrung, Interessenkonflikten und Geldwäscheprävention.

Strike blog

NYDFS erteilte Strike eine BitLicense und eine Geldtransferlizenz

Zap Solutions, Inc. dba Strike kündigte an, dass das New York State Department of Financial Services dem Unternehmen sowohl eine BitLicense als auch eine Geldtransferlizenz erteilt habe, womit die Expansion in alle 50 US-Bundesstaaten abgeschlossen sei. Strike gibt an, dass die Lizenzen das Unternehmen Prüfungen, Kapitalreserveanforderungen und Cybersicherheitsprüfungen unterwerfen und dass Bitcoin und Fiat-Guthaben auf einem Strike-Konto 1:1 gehalten und weder verliehen noch für Unternehmensaktivitäten verwendet werden. Der Kauf, der Verkauf, die Umwandlung von Direkteinzahlungen, Zielaufträge, wiederkehrende Käufe und die Rechnungszahlung wurden an diesem Tag für Kunden in New York geöffnet. Mit Bitcoin gedeckte Kredite und Kreditlinien folgten am 2. April 2026.

Strike blog

Auszahlungen lassen sich jetzt mit Passkey- oder Hardware-Schlüssel-2FA sperren

Strike fügte Passkeys und physische Sicherheitsschlüssel als zweite Faktoren neben Authentifizierungs-Apps hinzu und führte geschützte Aktionen ein, mit denen ein Kunde 2FA für bestimmte Aktivitäten verlangen kann statt nur bei der Anmeldung. Die Liste umfasst Sendungen und Auszahlungen, sowohl für Bitcoin- als auch für Fiat-Transaktionen, sowie Kontoänderungen wie die Änderung einer Telefonnummer. Die erneute Anmeldung erfordert immer 2FA, sobald diese aktiviert ist, und Strike sendet dem Kontoinhaber jedes Mal eine E-Mail, wenn 2FA oder geschützte Aktionen aktiviert oder deaktiviert werden.

Strike blog

Europa startete mit einer polnischen VASP-Registrierung, nicht mit einer EU-Zulassung

Strike startete am 24. April 2024 für berechtigte Kunden in Europa, angekündigt von Jack Mallers am selben Tag, mit dem Kauf, Verkauf, Versand und der Auszahlung von Bitcoin sowie kostenlosen SEPA-Einzahlungen in Euro. Dies geschah über eine in Polen ansässige Gesellschaft als Dienstleister für virtuelle Vermögenswerte, im Rahmen der nationalen Registrierungsregelungen, die der MiCA-Verordnung vorausgingen, und nicht über eine EU-weite Zulassung. Strike bestätigte diese Regelung in der eigenen MiCA-Ankündigung zwei Jahre später, als das Unternehmen die europäische Gesellschaft nach Malta verlegte.

Strike blog

Kunden-E-Mail-Liste durchgesickert, von Strike bestritten, dann zugegeben

Kunden von Strike begannen, Phishing-Mails an Adressen zu erhalten, die sie niemandem außer Strike gegeben hatten. Am 30. Oktober 2023 teilte Strike The Block mit, dass sein Sicherheitsteam die Behauptungen untersucht habe und dass es zu diesem Zeitpunkt keine Hinweise darauf gebe, dass Strike kompromittiert worden sei. Innerhalb von Minuten veröffentlichte der Ermittler ZachXBT Beweise für das Leck, und innerhalb von Stunden schickte Strike seinen Kunden eine E-Mail, in der das Unternehmen einräumte, dass seine E-Mail-Liste entwendet worden war, und das Leck einem Dritten zuschrieb. Offengelegt wurden die bei der Registrierung angegebenen E-Mail-Adressen, die dann für Phishing verwendet wurden, bei dem andere Krypto-Marken wie Etherscan und OpenSea nachgeahmt wurden. Verluste von Kundengeldern durch das Leck selbst wurden nicht gemeldet.

Protos

Sammelklage wegen biometrischer Privatsphäre in Illinois, von einem Kunden eingereicht

Candice Wilhelm reichte eine vorgeschlagene Sammelklage gegen Zap Solutions, Inc. dba Strike beim Circuit Court of Cook County, Illinois, Chancery Division, Aktenzeichen 2023-CH-08524, nach Abschnitt 15 des Illinois Biometric Information Privacy Act, 740 ILCS 14/15, ein. Dies war eine Privatklage, keine Maßnahme eines Regulators. Zap Solutions verlagerte sie am 3. November 2023 in die Bundesgerichtsbarkeit beim Northern District of Illinois, wo sie als 1:23-cv-15630 vor Richterin Nancy L. Maldonado registriert und am 12. Dezember 2023 eingestellt wurde. Der Aktenbestand von Cook County zeigt den Fall als erledigt. Es wurde kein öffentliches Urteil gegen Strike berichtet, und das öffentliche Aktenverzeichnis gibt nicht an, warum das Bundesverfahren endete.

Cook County complaint via Trellis

Strike holte die Verwahrung von Kunden-Bitcoin und -Dollar ins eigene Haus

Jack Mallers kündigte an, dass Strike seine Verwahrungsintermediäre entfernt habe und nun Kunden-Bitcoin selbst verwahrt, in Multisig-Tresoren mit geografisch verteilten Schlüsseln, die verschlüsselt und physisch sowie digital an getrennten Orten gesichert sind, die Mehrheit in Cold Storage mit einem kleineren Hot-Wallet-Bestand für sofortige Transaktionen. Kunden-Dollar wechselten zu Bankkonten, die von Strike gehalten werden. Der Beitrag besagt, dass alle Bitcoin bei Strike 1:1 gedeckt sind, und offenbart Sicherheitsbewertungen durch Dritte einschließlich SOC-2-Zertifizierung und regelmäßiger Penetrationstests. Es wird nicht gesagt, dass Guthaben nie verliehen werden; Strike veröffentlichte diese Aussage später, in seinen Ankündigungen zu New York und MiCA im Jahr 2026.

Strike blog

Berichtet, nur in einem Bundesstaat eine bundesstaatliche Geldtransferlizenz zu besitzen

Decrypt berichtete, dass Zap Solutions, das Strike betreibt, Kunden überall in den Vereinigten Staaten außer New York und Hawaii bediente, während es nur im Bundesstaat Washington eine bundesstaatliche Geldtransferlizenz besaß. Lucinda Fazio, damals Director of Consumer Services beim Department of Financial Institutions von Washington, sagte gegenüber dem Medium, einer der Grundsätze des Programms sei, dass kein Unternehmen in einem Bundesstaat Geschäfte machen darf ohne die spezifische Lizenz dieses Bundesstaates. Decrypt schrieb, dass Strike und Jack Mallers wiederholt seine Anfragen nach einer Stellungnahme zu den von Strike gehaltenen Lizenzen ignoriert hätten. Strike schloss die Lizenzierung in allen US-Bundesstaaten erst im März 2026 ab.

Decrypt