Historial de seguridad de Strike

Strike Europe, autorizada bajo MiCA por el regulador maltés

Zap (Strike) Europe Limited fue autorizada como proveedor de servicios de criptoactivos por la Malta Financial Services Authority en virtud de MiCA, el Reglamento (UE) 2023/1114, y de la Markets in Crypto Assets Act de Malta, Cap. 647, y Strike trasladó su sede europea de Polonia a Malta. MiCA fija un único estándar para operar en toda la UE. Strike enumera lo que exige: activos de los clientes segregados de los de la propia empresa, saldos en bitcoin y en efectivo mantenidos uno a uno, nunca prestados y nunca usados para gestionar la empresa, capital mínimo y pruebas de solvencia continuas, verificaciones de idoneidad y honorabilidad de los directivos, y normas sobre mejor ejecución, tramitación de órdenes, custodia, conflictos de intereses y prevención del lavado de activos.

Strike blog

El NYDFS otorgó a Strike una BitLicense y una licencia de transmisor de dinero

Zap Solutions, Inc. dba Strike anunció que el New York State Department of Financial Services le había otorgado tanto una BitLicense como una licencia de transmisor de dinero, con lo que completó su expansión a los 50 estados de EE. UU. Strike dice que las licencias la someten a auditorías, requisitos de reservas de capital y exámenes de ciberseguridad, y que el bitcoin y el efectivo de una cuenta de Strike se mantienen 1:1 y no se prestan ni se usan para las operaciones de la empresa. La compra, la venta, la conversión de depósitos directos, las órdenes con precio objetivo, las compras recurrentes y el pago de facturas se abrieron ese día a los clientes de Nueva York. Los préstamos y las líneas de crédito respaldados por bitcoin llegaron el 2 de abril de 2026.

Strike blog

Los retiros ya pueden protegerse con 2FA mediante clave de acceso o clave de hardware

Strike añadió las claves de acceso (passkeys) y las claves de seguridad físicas como segundos factores junto a las aplicaciones de autenticación, e introdujo las acciones protegidas, que permiten al cliente exigir 2FA en actividades concretas y no solo al iniciar sesión. La lista incluye envíos y retiros, tanto de transacciones en bitcoin como en efectivo, y cambios en la cuenta como el cambio de número de teléfono. Volver a iniciar sesión siempre requiere 2FA una vez activado, y Strike envía un correo al titular de la cuenta cada vez que se activan o desactivan el 2FA o las acciones protegidas.

Strike blog

Europa se abrió con un registro de VASP en Polonia, no con una licencia de la UE

Strike se lanzó para los clientes elegibles de Europa el 24 de abril de 2024, con el anuncio de Jack Mallers ese mismo día, y ofrecía compra, venta, envío y retiro de bitcoin con depósitos gratuitos en euros por SEPA. Lo hizo a través de una entidad proveedora de servicios de activos virtuales con sede en Polonia, bajo los regímenes nacionales de registro anteriores a MiCA y no con una autorización válida en toda la UE. Strike confirmó ese esquema en su propio anuncio sobre MiCA dos años después, cuando trasladó la entidad europea a Malta.

Strike blog

Filtración de la lista de correos de clientes, negada por Strike y luego admitida

Clientes de Strike empezaron a recibir correos de phishing en direcciones que no habían dado a nadie más que a Strike. El 30 de octubre de 2023 Strike dijo a The Block que su equipo de seguridad había estado investigando las denuncias y que en ese momento no había pruebas de que Strike hubiera sido vulnerada. En cuestión de minutos el investigador ZachXBT publicó pruebas de la filtración, y en cuestión de horas Strike envió un correo a sus clientes en el que reconocía que su lista de correos había sido sustraída y atribuía la filtración a un tercero. Lo que quedó expuesto fueron las direcciones de correo electrónico de registro, que luego se usaron para phishing que suplantaba a otras marcas cripto, entre ellas Etherscan y OpenSea. No se informó de ninguna pérdida de fondos de clientes a causa de la propia filtración.

Protos

Demanda colectiva por privacidad biométrica en Illinois presentada por una clienta

Candice Wilhelm presentó una demanda propuesta como colectiva contra Zap Solutions, Inc. dba Strike ante el Circuit Court of Cook County, Illinois, Chancery Division, caso 2023-CH-08524, al amparo de la sección 15 de la Illinois Biometric Information Privacy Act, 740 ILCS 14/15. Fue una demanda privada, no una acción de un regulador. Zap Solutions la trasladó al Northern District of Illinois el 3 de noviembre de 2023, donde se registró como 1:23-cv-15630 ante la jueza Nancy L. Maldonado y se dio por terminada el 12 de diciembre de 2023. El registro del condado de Cook muestra el caso como concluido. No se ha informado de ninguna sentencia pública contra Strike, y el expediente público no indica por qué terminó el caso federal.

Cook County complaint via Trellis

Strike asumió internamente la custodia del bitcoin y los dólares de sus clientes

Jack Mallers anunció que Strike había eliminado a sus intermediarios de custodia y ahora custodia por sí misma el bitcoin de los clientes, en bóvedas multisig con claves distribuidas geográficamente que están cifradas y respaldadas de forma física y digital en ubicaciones separadas, la mayoría en almacenamiento en frío, con un saldo menor en una billetera caliente para transacciones inmediatas. Los dólares de los clientes pasaron a cuentas bancarias a nombre de Strike. La publicación dice que todo el bitcoin en Strike está respaldado 1:1 y divulga evaluaciones de seguridad de terceros, incluida la certificación SOC 2 y pruebas de penetración periódicas. No dice que los saldos nunca se presten; Strike publicó esa afirmación más tarde, en sus anuncios de 2026 sobre Nueva York y MiCA.

Strike blog

Según se informó, tenía licencia estatal de transmisor de dinero en un solo estado

Decrypt informó que Zap Solutions, que opera Strike, atendía a clientes en todo Estados Unidos excepto Nueva York y Hawái mientras tenía una licencia estatal de transmisor de dinero solo en Washington. Lucinda Fazio, entonces directora de servicios al consumidor del Department of Financial Institutions de Washington, dijo al medio que uno de los principios fundamentales del programa es que ninguna empresa puede operar en ningún estado sin la licencia específica de ese estado. Decrypt escribió que Strike y Jack Mallers habían hecho caso omiso en repetidas ocasiones de sus solicitudes de comentarios sobre qué licencias tenía Strike. Strike no terminó de obtener licencias en todos los estados de EE. UU. hasta marzo de 2026.

Decrypt