Storico di sicurezza di Strike

Strike Europe autorizzata ai sensi di MiCA dal regolatore maltese

Zap (Strike) Europe Limited è stata autorizzata come prestatore di servizi per le cripto-attività dalla Malta Financial Services Authority ai sensi di MiCA, il regolamento UE 2023/1114, e del Markets in Crypto Assets Act di Malta, Cap. 647, e Strike ha trasferito la sua sede europea dalla Polonia a Malta. MiCA stabilisce un unico standard per operare in tutta l'UE. Strike elenca ciò che richiede: attività dei clienti separate da quelle della società, saldi in bitcoin e in denaro tenuti uno a uno, mai prestati e mai usati per gestire la società, capitale minimo e verifiche di solvibilità continue, controlli di idoneità e onorabilità sugli executive, e norme su migliore esecuzione, gestione degli ordini, custodia, conflitti di interesse e antiriciclaggio.

Strike blog

Il NYDFS ha concesso a Strike una BitLicense e una licenza di operatore di trasferimento di denaro

Zap Solutions, Inc. dba Strike ha annunciato che il New York State Department of Financial Services le ha concesso sia una BitLicense sia una licenza di operatore di trasferimento di denaro, completando la sua espansione a tutti i 50 stati degli Stati Uniti. Strike afferma che le licenze la sottopongono a revisioni contabili, requisiti di riserve di capitale ed esami di cybersicurezza, e che il bitcoin e i fondi in un conto Strike sono tenuti 1:1 e non vengono prestati né usati per le operazioni aziendali. Acquisto, vendita, conversione del deposito diretto, ordini a prezzo obiettivo, acquisti ricorrenti e pagamento delle bollette sono stati resi disponibili ai clienti di New York quel giorno. A questi hanno fatto seguito, il 2 aprile 2026, i prestiti e le linee di credito garantiti da bitcoin.

Strike blog

Ora i prelievi possono essere protetti da 2FA con passkey o chiave hardware

Strike ha aggiunto le passkey e le chiavi di sicurezza fisiche come secondi fattori accanto alle app di autenticazione, e ha introdotto le azioni protette, che consentono a un cliente di richiedere la 2FA su attività specifiche e non solo all'accesso. L'elenco comprende invii e prelievi, che riguardano sia transazioni in bitcoin sia movimenti di fondi, e aggiornamenti del conto come il cambio del numero di telefono. Accedere di nuovo richiede sempre la 2FA una volta attivata, e Strike invia un'email al titolare del conto ogni volta che la 2FA o le azioni protette vengono attivate o disattivate.

Strike blog

L'Europa è partita con una registrazione VASP in Polonia, non con una licenza UE

Strike è stata lanciata per i clienti idonei in Europa il 24 aprile 2024, annunciata da Jack Mallers lo stesso giorno, offrendo acquisto, vendita, invio e prelievo di bitcoin con depositi SEPA in euro gratuiti. Lo ha fatto tramite un'entità prestatore di servizi per le attività virtuali con sede in Polonia, nell'ambito dei regimi nazionali di registrazione che hanno preceduto MiCA e non di un'autorizzazione valida in tutta l'UE. Strike ha confermato questo assetto nel proprio annuncio su MiCA due anni dopo, quando ha trasferito l'entità europea a Malta.

Strike blog

Lista email dei clienti trapelata, negata da Strike e poi ammessa

I clienti di Strike hanno iniziato a ricevere email di phishing a indirizzi che avevano fornito solo a Strike. Il 30 ottobre 2023 Strike ha dichiarato a The Block che il suo team di sicurezza stava indagando sulle segnalazioni e che in quel momento non c'erano prove che Strike fosse stata violata. Nel giro di pochi minuti l'investigatore ZachXBT ha pubblicato le prove della fuga di dati, e nel giro di poche ore Strike ha inviato un'email ai clienti riconoscendo che la sua lista di indirizzi email era stata sottratta, attribuendo la fuga di dati a una terza parte. Ciò che è stato esposto erano gli indirizzi email di registrazione, poi usati per phishing che impersonava altri marchi cripto, tra cui Etherscan e OpenSea. Non è stata segnalata alcuna perdita di fondi dei clienti dovuta alla fuga di dati stessa.

Protos

Azione collettiva sulla privacy biometrica in Illinois presentata da un cliente

Candice Wilhelm ha presentato un'azione collettiva proposta contro Zap Solutions, Inc. dba Strike presso il Circuit Court of Cook County, Illinois, Chancery Division, caso 2023-CH-08524, ai sensi della sezione 15 della Illinois Biometric Information Privacy Act, 740 ILCS 14/15. Si è trattato di una causa privata, non di un'azione di un regolatore. Zap Solutions l'ha trasferita al Northern District of Illinois il 3 novembre 2023, dove è stata iscritta come 1:23-cv-15630 davanti alla giudice Nancy L. Maldonado e chiusa il 12 dicembre 2023. Il registro della Cook County mostra il caso come concluso. Non è stata resa nota alcuna sentenza pubblica contro Strike e il fascicolo pubblico non indica perché il caso federale si sia concluso.

Cook County complaint via Trellis

Strike ha internalizzato la custodia dei bitcoin e dei dollari dei clienti

Jack Mallers ha annunciato che Strike aveva eliminato i propri intermediari di custodia e ora custodisce direttamente i bitcoin dei clienti, in vault multisig con chiavi distribuite geograficamente, cifrate e sottoposte a backup fisico e digitale in località separate, per la maggior parte in cold storage con una quota minore in un hot wallet per le transazioni immediate. I dollari dei clienti sono passati a conti bancari detenuti da Strike. Il post afferma che tutti i bitcoin su Strike sono coperti 1:1 e rende note valutazioni di sicurezza di terze parti, tra cui la certificazione SOC 2 e regolari penetration test. Non afferma che i saldi non vengano mai prestati; Strike ha pubblicato questa dichiarazione più tardi, nei suoi annunci del 2026 su New York e MiCA.

Strike blog

Secondo le notizie, aveva una licenza statale di operatore di trasferimento di denaro in un solo Stato

Decrypt ha riferito che Zap Solutions, che gestisce Strike, serviva clienti in tutti gli Stati Uniti tranne nello Stato di New York e alle Hawaii pur avendo una licenza statale di operatore di trasferimento di denaro solo nello Stato di Washington. Lucinda Fazio, allora direttrice dei servizi ai consumatori del Department of Financial Institutions dello Stato di Washington, ha detto alla testata che uno dei principi fondamentali del programma è che nessuna azienda può operare in uno Stato senza la licenza specifica di quello Stato. Decrypt ha scritto che Strike e Jack Mallers avevano ripetutamente ignorato le sue richieste di commento su quali licenze detenesse Strike. Strike non ha completato le licenze in tutti gli Stati degli Stati Uniti fino a marzo 2026.

Decrypt