Stripeが発表した内容
Stripeは11月5日、新しいSamsung Wallet Stablecoin Accountでの購入をCrypto Onrampが支えると発表しました。同社によると、米国のeligible userを対象に8,200万台のGalaxy deviceで利用でき、Samsung Pay、credit card、debit card、ACHを使ってUSDCを購入できます。
Stripeはtransactionの一部として、Crypto Onrampがidentity verification、compliance、fraud preventionを処理すると説明しています。また、Crypto Onrampを利用する他のbusinessでもSamsung Payが使えるようになったとしています。発表ではblockchain network、custody model、delivery timing、transaction limit、pricing、refund rule、supportとdisputeの責任分担は示されていません。
ここまではStripeが公表したproduct scopeとavailability statementです。以下の本番controlと運用上の意味はIneezaの分析です。
One Tapでも複数のAuthorization Domainを通過する
Customerにはwallet内の一つの購入に見えても、instructionはdevice authentication、Samsung Wallet、選択したfunding rail、Stripeのonramp control、USDCをdeliverするsystemを通過し得ます。各domainが承認する事実は異なり、deviceの所持、cardやbank accountを使う権限、取引eligibility、assetを受け取るauthorityは同じではありません。
Ineezaの分析: 最初のexternal callより前に一つのimmutable transaction identityを作り、すべての判断を結び付けるべきです。証跡には認証済みuserとdevice context、funding instrument token、要求fiat amount、quoteされたUSDC amount、fee、destination accountまたはaddress、complianceとfraud decisionのversion、user confirmation、expiryを記録します。Payment authorizationをstablecoin destinationの承認証明として扱ってはならず、identity checkの通過が変更後のquoteやrecipientを暗黙に承認してもいけません。
購入には明示的なState Machineが必要
Card authorization、ACH movement、on-chainまたはcustodialなUSDC deliveryでは、finalityとfailure behaviorが異なります。Wallet画面が先へ進んだ後でもfunding instructionはpending、reversal、return、disputeになり得ます。Funding側が進んだ後にstablecoin deliveryが失敗または不確実な状態に残る可能性もあります。
Ineezaの分析: 購入を一つのsuccess flagではなく、名前付きstateとしてmodel化します。少なくともquote accepted、funding authorized、funding pending、funding settled、asset delivery submitted、asset delivery final、failed、reversed、manually reconciledを分離します。Funding methodごとのirreversible point、各transitionをretryできる主体、compensationがcancel、fiat refund、回収なし、後日のasset deliveryのどれを意味するかを定義します。Idempotency keyは企業境界を越えて維持し、timeoutが二重購入にならないようにすべきです。
Complianceの責任をRuntimeで検証可能にする
StripeはCrypto Onrampがidentity verification、compliance、fraud preventionを処理すると述べています。これは重要なservice boundaryですが、短いproduct statementだけでは、transactionに適用され得るすべてのpolicy owner、jurisdiction rule、wallet screening input、exception path、retention obligationは定義されません。
Ineezaの分析: Eligibilityをversion付きdecisionとして実装し、jurisdiction、product、funding method、asset、destination、limit、data freshnessを明示的なinputにします。SamsungとStripeにはdeny、review、stale-data、control unavailableの各outcomeに対する共有contractと、不要なpersonal dataを開示せずに実行policyを証明する方法が必要です。Support toolはdecision ownerと許可されたremedyを示すべきであり、別railでpaymentをreplayしてcompliance denialを迂回できてはいけません。
Reconciliationが本当のIntegration Surfaceになる
Consumer向けwalletが購入完了を表示していても、card processor、bank rail、onramp ledger、stablecoin delivery system、internal accountingはそれぞれ異なるidentifierとsettlement timeを持ちます。Durableなcorrelationがなければ、運用teamは表示遅延、資金不足、duplicate delivery、ACH return、未解決のledger breakを区別できません。
Ineezaの分析: Customer instruction、funding event、fee、USDC amount、destination credit、すべてのreversalを一つのeconomic lifecycleとしてreconcileします。Append-only eventを使い、共通transaction identityとともにprovider固有identifierを保存します。Expected balanceとobserved balanceを継続比較し、financial exposureでbreakをage分類し、manual adjustmentにはdual controlを要求します。Customer receiptにはfinalなもの、pendingなもの、適用quoteとfee、次のactionを担当するpartyを示すべきです。
Ineezaの見解
今回のlaunchは、stablecoin取得をmainstream walletのsurfaceへ移し、重要なcontrolをembedded financial infrastructureへ委任するため重要です。本番で難しいのはbuy buttonの表示ではありません。異なる企業が運用するdevice identity、fiat payment、compliance、fraud、asset delivery、support、accountingのsystemを通して、一つのauthorizedかつ説明可能なtransactionを維持することです。Embedded onrampを導入するteamは、wallet confirmationをfinancial finalityとして扱う前に、明示的state、domain横断idempotency、policy evidence、end-to-end reconciliationで共有control planeを検証すべきです。