Histórico de segurança da Strike

A Strike Europe autorizada nos termos do MiCA pelo regulador maltês

A Zap (Strike) Europe Limited foi autorizada como prestadora de serviços de criptoativos pela Malta Financial Services Authority nos termos do MiCA, o Regulamento (UE) 2023/1114, e da Markets in Crypto Assets Act de Malta, Cap. 647, e a Strike transferiu sua sede europeia da Polônia para Malta. O MiCA estabelece um único padrão para operar em toda a UE. A Strike lista o que ele exige: ativos dos clientes segregados dos da própria empresa, saldos em bitcoin e em dinheiro mantidos um para um, nunca emprestados e nunca usados para administrar a empresa, capital mínimo e testes contínuos de solvência, verificações de idoneidade e reputação dos executivos, e regras sobre melhor execução, tratamento de ordens, custódia, conflitos de interesse e prevenção à lavagem de dinheiro.

Strike blog

O NYDFS concedeu à Strike uma BitLicense e uma licença de empresa de transferência de dinheiro

A Zap Solutions, Inc. dba Strike anunciou que o New York State Department of Financial Services havia concedido a ela tanto uma BitLicense quanto uma licença de empresa de transferência de dinheiro, concluindo sua expansão para todos os 50 estados dos Estados Unidos. A Strike afirma que as licenças a sujeitam a auditorias, exigências de reservas de capital e exames de cibersegurança, e que o bitcoin e o saldo em uma conta da Strike são mantidos 1:1 e não são emprestados nem usados em operações da empresa. Compra, venda, conversão de depósito direto, ordens com preço-alvo, compras recorrentes e pagamento de contas foram abertos aos clientes de Nova York naquele dia. Empréstimos e linhas de crédito lastreados em bitcoin vieram em 2 de abril de 2026.

Strike blog

Os saques agora podem ser bloqueados por 2FA com passkey ou chave de hardware

A Strike adicionou passkeys e chaves de segurança físicas como segundos fatores, junto com aplicativos de autenticação, e introduziu as ações protegidas, que permitem ao cliente exigir 2FA em atividades específicas, e não apenas no login. A lista inclui envios e saques, abrangendo transações em bitcoin e em dinheiro, e atualizações da conta, como a troca de número de celular. Entrar novamente sempre exige 2FA depois que ela é ativada, e a Strike envia um e-mail ao titular da conta sempre que o 2FA ou as ações protegidas são ativados ou desativados.

Strike blog

A Europa abriu com um registro de PSAV na Polônia, não uma licença da UE

A Strike foi lançada para clientes elegíveis na Europa em 24 de abril de 2024, anunciada por Jack Mallers no mesmo dia, oferecendo compra, venda, envio e saque de bitcoin com depósitos em euros por SEPA gratuitos. Isso foi feito por meio de uma entidade prestadora de serviços de ativos virtuais sediada na Polônia, sob os regimes nacionais de registro anteriores ao MiCA, e não uma autorização válida em toda a UE. A Strike confirmou esse arranjo em seu próprio anúncio sobre o MiCA dois anos depois, quando transferiu a entidade europeia para Malta.

Strike blog

Lista de e-mails de clientes vazada, negada pela Strike e depois admitida

Clientes da Strike começaram a receber mensagens de phishing em endereços que não haviam informado a ninguém além da Strike. Em 30 de outubro de 2023, a Strike disse ao The Block que sua equipe de segurança vinha investigando as alegações e que, naquele momento, não havia evidências de que a Strike tivesse sido invadida. Em questão de minutos, o investigador ZachXBT publicou evidências do vazamento e, em questão de horas, a Strike enviou um e-mail aos clientes reconhecendo que sua lista de e-mails havia sido tomada, atribuindo o vazamento a um terceiro. O que foi exposto foram endereços de e-mail de cadastro, que depois foram usados em phishing que se passava por outras marcas de cripto, incluindo Etherscan e OpenSea. Não foi relatada perda de fundos de clientes decorrente do vazamento em si.

Protos

Ação coletiva sobre privacidade biométrica em Illinois ajuizada por uma cliente

Candice Wilhelm ajuizou uma ação coletiva proposta contra a Zap Solutions, Inc. dba Strike no Circuit Court of Cook County, Illinois, Chancery Division, processo 2023-CH-08524, nos termos da seção 15 da Illinois Biometric Information Privacy Act, 740 ILCS 14/15. Foi uma ação privada, não uma ação de um regulador. A Zap Solutions a transferiu para o Northern District of Illinois em 3 de novembro de 2023, onde foi registrada como 1:23-cv-15630 perante a juíza Nancy L. Maldonado e encerrada em 12 de dezembro de 2023. O registro do condado de Cook mostra o caso como concluído. Nenhuma sentença pública contra a Strike foi relatada, e o processo público não indica por que o caso federal terminou.

Cook County complaint via Trellis

A Strike internalizou a custódia do bitcoin e dos dólares dos clientes

Jack Mallers anunciou que a Strike havia removido seus intermediários de custódia e agora guarda ela mesma o bitcoin dos clientes, em cofres multiassinatura com chaves distribuídas geograficamente, criptografadas e com backup físico e digital em locais separados, a maioria em armazenamento a frio, com um saldo menor em carteira quente para transações imediatas. Os dólares dos clientes passaram para contas bancárias mantidas pela Strike. A publicação diz que todo o bitcoin na Strike está lastreado 1:1 e divulga avaliações de segurança de terceiros, incluindo a certificação SOC 2 e testes de penetração regulares. Não diz que os saldos nunca são emprestados; a Strike publicou essa afirmação mais tarde, em seus anúncios de 2026 sobre Nova York e o MiCA.

Strike blog

Segundo relatos, tinha licença estadual de empresa de transferência de dinheiro em apenas um estado

A Decrypt informou que a Zap Solutions, que opera a Strike, atendia clientes em todos os Estados Unidos, exceto Nova York e Havaí, enquanto tinha licença estadual de empresa de transferência de dinheiro apenas em Washington. Lucinda Fazio, então diretora de serviços ao consumidor do Department of Financial Institutions de Washington, disse ao veículo que um dos principais princípios do programa é que nenhuma empresa pode fazer negócios em qualquer estado sem a licença específica daquele estado. A Decrypt escreveu que a Strike e Jack Mallers haviam ignorado repetidamente seus pedidos de comentário sobre quais licenças a Strike tinha. A Strike só concluiu o licenciamento em todos os estados dos Estados Unidos em março de 2026.

Decrypt