Historique de sécurité de Strike

Strike Europe agréé au titre de MiCA par le régulateur maltais

Zap (Strike) Europe Limited a été agréé en tant que prestataire de services sur crypto-actifs par la Malta Financial Services Authority au titre de MiCA, le règlement (UE) 2023/1114, et de la loi maltaise sur les marchés de crypto-actifs, Cap. 647, et Strike a transféré son siège européen de la Pologne à Malte. MiCA fixe une seule norme pour exercer dans l'ensemble de l'UE. Strike énumère ce qu'elle exige : des actifs clients séparés de ceux de l'entreprise, des soldes en bitcoin et en fonds détenus à hauteur de un pour un, jamais prêtés ni utilisés pour faire tourner la société, un capital minimum et des tests de solvabilité continus, des vérifications d'honorabilité et de compétence des dirigeants, et des règles sur la meilleure exécution, le traitement des ordres, la conservation, les conflits d'intérêts et la lutte contre le blanchiment d'argent.

Strike blog

Le NYDFS a accordé à Strike une BitLicense et une licence de transmetteur de fonds

Zap Solutions, Inc. exerçant sous le nom de Strike a annoncé que le New York State Department of Financial Services lui avait accordé à la fois une BitLicense et une licence de transmetteur de fonds, achevant son expansion dans les 50 États des États-Unis. Strike indique que ces licences la soumettent à des audits, à des exigences de réserves de capital et à des examens de cybersécurité, et que le bitcoin et les fonds détenus sur un compte Strike le sont à hauteur de 1 pour 1, sans être prêtés ni utilisés pour les opérations de l'entreprise. L'achat, la vente, la conversion des dépôts directs, les ordres à cours cible, les achats récurrents et le paiement de factures ont été ouverts aux clients de New York ce jour-là. Les prêts adossés à du bitcoin et les lignes de crédit ont suivi le 2 avril 2026.

Strike blog

Les retraits peuvent désormais être verrouillés par une clé d'accès ou une clé matérielle en 2FA

Strike a ajouté les clés d'accès et les clés de sécurité physiques comme seconds facteurs, à côté des applications d'authentification, et a introduit les actions protégées, qui permettent à un client d'exiger la 2FA sur une activité précise et pas seulement à la connexion. La liste comprend les envois et les retraits, couvrant les transactions en bitcoin comme en fonds, et les modifications du compte telles que le changement de numéro de téléphone. Se reconnecter exige toujours la 2FA une fois qu'elle est activée, et Strike envoie un courriel au titulaire du compte chaque fois que la 2FA ou les actions protégées sont activées ou désactivées.

Strike blog

Le lancement européen s'est appuyé sur un enregistrement de PSAV polonais, pas sur une licence de l'UE

Strike s'est lancée auprès des clients éligibles en Europe le 24 avril 2024, annoncé par Jack Mallers le jour même, avec l'achat, la vente, l'envoi et le retrait de bitcoin, et des dépôts en euros par virement SEPA gratuits. Elle l'a fait par l'intermédiaire d'une entité prestataire de services sur actifs virtuels basée en Pologne, dans le cadre des régimes d'enregistrement nationaux qui ont précédé MiCA, et non d'une autorisation à l'échelle de l'UE. Strike a confirmé cet arrangement dans sa propre annonce MiCA deux ans plus tard, lorsqu'elle a transféré l'entité européenne à Malte.

Strike blog

Liste d'e-mails de clients divulguée, démentie par Strike, puis confirmée

Les clients de Strike ont commencé à recevoir des courriels d'hameçonnage à des adresses qu'ils n'avaient données à personne d'autre qu'à Strike. Le 30 octobre 2023, Strike a déclaré à The Block que son équipe de sécurité enquêtait sur ces affirmations et qu'à ce moment-là rien ne prouvait que Strike avait été victime d'une intrusion. En quelques minutes, l'enquêteur ZachXBT a publié des preuves de la fuite, et en quelques heures, Strike a envoyé un courriel aux clients reconnaissant que sa liste de diffusion avait été dérobée, attribuant la fuite à un tiers. Ce qui a été exposé, ce sont des adresses électroniques d'inscription, ensuite utilisées pour de l'hameçonnage usurpant l'identité d'autres marques de cryptomonnaies, dont Etherscan et OpenSea. Aucune perte de fonds des clients du fait de la fuite elle-même n'a été signalée.

Protos

Action collective sur la vie privée biométrique déposée en Illinois par un client

Candice Wilhelm a déposé une action collective proposée contre Zap Solutions, Inc. dba Strike devant la Circuit Court du comté de Cook, Illinois, division de la chancellerie, affaire 2023-CH-08524, sur le fondement de l'article 15 de l'Illinois Biometric Information Privacy Act, 740 ILCS 14/15. Il s'agissait d'une action privée, non d'une action d'un régulateur. Zap Solutions l'a transférée à la Northern District of Illinois le 3 novembre 2023, où elle a été enregistrée sous le numéro 1:23-cv-15630 devant la juge Nancy L. Maldonado et clôturée le 12 décembre 2023. Le dossier du comté de Cook indique que l'affaire a été classée. Aucun jugement public contre Strike n'a été signalé, et le dossier public ne précise pas pourquoi l'affaire fédérale a pris fin.

Cook County complaint via Trellis

Strike a internalisé la conservation du bitcoin et des dollars de ses clients

Jack Mallers a annoncé que Strike avait supprimé ses intermédiaires de conservation et conservait désormais elle-même le bitcoin de ses clients, dans des coffres multisig avec des clés réparties géographiquement, chiffrées et sauvegardées physiquement et numériquement dans des lieux distincts, la majorité en stockage à froid avec une petite réserve en portefeuille chaud pour les transactions immédiates. Les dollars des clients ont été transférés vers des comptes bancaires détenus par Strike. La publication indique que tout le bitcoin détenu sur Strike est couvert 1:1 et mentionne des évaluations de sécurité par des tiers, dont une certification SOC 2 et des tests d'intrusion réguliers. Elle ne dit pas que les soldes ne sont jamais prêtés ; Strike a publié cette affirmation plus tard, dans ses annonces de 2026 concernant New York et MiCA.

Strike blog

Signalé comme titulaire d'une licence d'État de transmetteur de fonds dans un seul État

Decrypt a rapporté que Zap Solutions, qui exploite Strike, servait des clients partout aux États-Unis sauf à New York et à Hawaï, alors qu'elle ne détenait une licence d'État de transmetteur de fonds que dans l'État de Washington. Lucinda Fazio, alors directrice des services aux consommateurs au Department of Financial Institutions de Washington, a déclaré à ce média que l'un des principes fondamentaux du programme est qu'aucune entreprise ne peut exercer dans un État sans la licence spécifique de cet État. Decrypt a écrit que Strike et Jack Mallers avaient ignoré à plusieurs reprises les demandes de commentaire de Decrypt sur les licences que détenait Strike. Strike n'a achevé l'obtention de ses licences dans tous les États américains qu'en mars 2026.

Decrypt