Strike 보안 기록

Strike Europe, 몰타 규제 당국으로부터 MiCA에 따라 인가

Zap (Strike) Europe Limited는 MiCA, EU Regulation 2023/1114 및 몰타의 Markets in Crypto Assets Act, Cap. 647에 따라 Malta Financial Services Authority로부터 가상자산서비스 제공자(CASP)로 인가받았으며, Strike는 유럽 본사를 폴란드에서 몰타로 이전했습니다. MiCA는 EU 전역에서 운영하기 위한 단일 기준을 정합니다. Strike는 MiCA가 요구하는 사항을 열거합니다. 고객 자산을 회사 자산과 분리하고, 비트코인과 현금 잔액을 1대1로 보관하며 절대 대출하거나 회사 운영에 사용하지 않고, 최소 자본을 보유하고 지속적인 지급 능력 검사를 받으며, 임원에 대한 적격성 및 건전성 심사를 실시하며, 최선 집행, 주문 처리, 수탁, 이해 상충 및 자금세탁방지에 관한 규칙을 준수해야 합니다.

Strike blog

NYDFS, Strike에 BitLicense와 자금 이체업자 라이선스 부여

Zap Solutions, Inc. dba Strike는 New York State Department of Financial Services가 자사에 BitLicense와 자금 이체업자 라이선스를 모두 부여했으며, 이로써 미국 50개 주 전역으로의 확장을 완료했다고 발표했습니다. Strike는 이 라이선스로 감사, 자본 준비금 요건 및 사이버보안 검사를 받게 되며, Strike 계좌의 비트코인과 현금은 1:1로 보관되고 대출되거나 회사 운영에 사용되지 않는다고 밝혔습니다. 구매, 매도, 직접 입금 전환, 목표가 주문, 정기 구매 및 청구서 결제가 그날 뉴욕 고객에게 개방되었습니다. 비트코인 담보 대출과 신용 한도는 2026년 4월 2일에 이어서 제공되었습니다.

Strike blog

이제 패스키 또는 하드웨어 키 기반 2FA로 출금 잠금 가능

Strike는 인증 앱과 함께 패스키와 물리적 보안 키를 2차 인증 수단으로 추가했고, 로그인할 때뿐 아니라 특정 활동에 2FA를 요구할 수 있는 보호 조치를 도입했습니다. 대상 목록에는 비트코인과 현금 거래 모두를 포함하는 전송 및 출금, 그리고 전화번호 변경 같은 계정 변경이 포함됩니다. 2FA를 활성화하면 다시 로그인할 때마다 항상 필요하며, Strike는 2FA 또는 보호 조치가 활성화되거나 비활성화될 때마다 계정 소유자에게 이메일을 보냅니다.

Strike blog

유럽 서비스, EU 라이선스가 아닌 폴란드의 가상자산사업자(VASP) 등록으로 시작

Strike는 2024년 4월 24일에 유럽의 적격 고객을 대상으로 서비스를 시작했으며, 같은 날 Jack Mallers가 이를 발표했습니다. 무료 SEPA 유로 입금과 함께 비트코인 구매, 매도, 전송 및 출금을 제공했습니다. 이는 EU 전역의 인가가 아니라 MiCA 이전의 국가별 등록 제도를 따른 폴란드 소재 가상자산사업자(VASP) 법인을 통해 이루어졌습니다. Strike는 2년 후 유럽 법인을 몰타로 이전했을 때 자사의 MiCA 발표에서 그 구조를 확인했습니다.

Strike blog

고객 이메일 목록 유출, Strike의 부인 뒤 인정

Strike 고객들이 Strike 외에는 누구에게도 알려 준 적 없는 주소로 피싱 메일을 받기 시작했습니다. 2023년 10월 30일에 Strike는 The Block에 보안팀이 해당 주장을 조사하고 있었으며 당시 Strike가 침해당했다는 증거는 없었다고 밝혔습니다. 몇 분 만에 조사관 ZachXBT가 유출 증거를 공개했고, 몇 시간 만에 Strike는 고객에게 이메일을 보내 자사의 이메일 목록이 빼앗겼음을 인정하고 유출 원인을 제3자로 돌렸습니다. 노출된 것은 가입 이메일 주소였고, 이 주소는 이후 Etherscan과 OpenSea를 비롯한 다른 가상자산 브랜드를 사칭한 피싱에 사용되었습니다. 유출 자체로 인한 고객 자금 손실은 보고되지 않았습니다.

Protos

고객이 제기한 일리노이주 생체정보 프라이버시 집단 소송

Candice Wilhelm은 일리노이주 Cook County Circuit Court, Chancery Division에 Zap Solutions, Inc. dba Strike를 상대로 사건 번호 2023-CH-08524로, Illinois Biometric Information Privacy Act 740 ILCS 14/15의 15조에 따라 집단 소송으로 인정받기를 구하는 소송을 제기했습니다. 이는 규제 당국의 조치가 아닌 민간 소송이었습니다. Zap Solutions는 2023년 11월 3일에 이를 Northern District of Illinois로 이송했고, 그곳에서 Nancy L. Maldonado 판사 앞에 1:23-cv-15630으로 접수되어 2023년 12월 12일에 종결되었습니다. Cook County 기록에는 사건이 종결된 것으로 표시되어 있습니다. Strike에 대한 공개 판결은 보도된 바 없으며, 공개 재판 기록은 연방 사건이 종결된 이유를 밝히지 않습니다.

Cook County complaint via Trellis

Strike, 고객 비트코인과 달러 직접 수탁으로 전환

Jack Mallers는 Strike가 수탁 중개 기관을 없애고 이제 고객 비트코인을 직접 수탁한다고 발표했습니다. 지리적으로 분산된 키를 사용하는 멀티시그 금고에 보관하며, 키는 암호화되어 물리적·디지털 방식으로 서로 다른 장소에 백업되고, 대부분은 콜드 스토리지에, 일부는 즉시 거래를 위한 핫월렛 유동성으로 보관됩니다. 고객의 달러는 Strike 명의의 은행 계좌로 옮겨졌습니다. 이 게시물은 Strike에 있는 모든 비트코인이 1:1로 뒷받침된다고 밝히고, SOC 2 인증과 정기 모의 침투 테스트를 포함한 제3자 보안 평가를 공개합니다. 잔액이 절대 대출되지 않는다고는 밝히지 않았으며, Strike는 그 주장을 나중에 2026년 뉴욕주 및 MiCA 관련 발표에서 공개했습니다.

Strike blog

미국 내 한 주에서만 자금 이체업자 라이선스를 보유한 것으로 보도됨

Decrypt는 Strike를 운영하는 Zap Solutions가 워싱턴주에서만 자금 이체업자 라이선스를 보유한 상태로 뉴욕주와 하와이주를 제외한 미국 전역에서 고객에게 서비스를 제공했다고 보도했습니다. 당시 워싱턴주 Department of Financial Institutions의 소비자 서비스 담당 이사였던 Lucinda Fazio는 해당 매체에, 이 프로그램의 주요 원칙 중 하나는 어떤 기업도 해당 주의 별도 라이선스 없이 그 주에서 영업할 수 없다는 것이라고 말했습니다. Decrypt는 Strike와 Jack Mallers가 Strike가 보유한 라이선스에 관한 논평 요청을 여러 차례 무시했다고 전했습니다. Strike는 2026년 3월에 이르러서야 미국 전 주의 라이선스 취득을 마쳤습니다.

Decrypt