Gnosis Pay teilte in seiner Bekanntgabe vom 6. November mit, dass seine Überwachung am 3. November einen unbefugten Zugriff auf das System hinter den eigenen Markenkarten erkannt hatte, mit Beginn der Eindämmung innerhalb von zwei Stunden. Das Unternehmen berichtete, dass Kundenmittel und seine Unternehmensplattform nicht betroffen waren, doch die an betroffene Kunden versandten Benachrichtigungen führen persönliche Daten auf, von Kartennummern bis hin zu Heimatadressen und verknüpften Krypto-Wallets.

Ein Angriff innerhalb eines Produkts, das bereits abgeschaltet wird

Das betroffene System betreibt das Konsumentengeschäft von Gnosis Pay: die unter eigenem Namen verkauften und von Monavate herausgegebenen Visa-Debitkarten, einem von der britischen Financial Conduct Authority zugelassenen E-Geld-Institut. Das Unternehmen hatte dieses System bereits für die Abschaltung am 20. Dezember vorgesehen. Es wechselt zu seiner Unternehmensplattform, die White-Label-Kartenprogramme für andere Unternehmen betreibt und nach Angaben von Gnosis Pay nicht betroffen war.

Gnosis Pay sagt, es habe die kompromittierten Zugangsdaten ersetzt, die Schwachstelle behoben und jedem betroffenen Kunden eine Liste genau der Daten per E-Mail zugesandt, die aus seinem Konto entnommen wurden.

Dies ist der zweite Sicherheitsvorfall des Kartenprodukts in diesem Jahr. Im Juni nutzten Angreifer eine Schwachstelle in von Gnosis-Pay-Konten verwendeten Wallet-Softwaremodulen aus und entnahmen rund 1,5 Millionen US-Dollar. Gnosis übernahm diese Verluste und stellte die Guthaben der Nutzer wieder her, wie dem Post-Mortem-Bericht zu entnehmen ist. Die beiden Vorfälle unterscheiden sich in ihrer Art: Die Angreifer im Juni zielten direkt auf Guthaben ab, während der Angriff im November auf Kontodaten abzielte.

Eine der November-Benachrichtigungen wurde öffentlich gemacht. Lefteris Karapetsas, Gründer des Portfolio-Trackers Rotki, teilte seine E-Mail auf X. CoinDesk berichtete, dass sie seinen Namen, seine vollständige Heimatadresse, seine Kartennummer und jede mit seinem Konto verknüpfte Wallet-Adresse enthielt. Er sagte dem Unternehmen, es hätte „zumindest meine Daten schützen können.“ Die E-Mails anderer Kunden können andere Felder enthalten, sodass die jeweilige eigene Benachrichtigung – nicht die öffentliche Erklärung – zeigt, worauf jeder handeln muss.

Das Kartennummern-Problem endet am 20. Dezember

Eine durchgesickerte Kartennummer schafft ein unmittelbares Risiko: Online-Einkäufe allein mit den Kartendaten. Die wichtigste Maßnahme von Gnosis Pay zielt genau darauf ab. Das Unternehmen hat 3D Secure, die Prüfung, die Visa als Visa Secure bezeichnet, für alle Online-Kartenzahlungen verpflichtend gemacht. Dies ermöglicht dem Kartenaussteller, vor einem Kauf die Zustimmung des Karteninhabers zu verlangen. Gnosis Pay hat außerdem die Betrugsüberwachung von Karten- und Wallet-Aktivitäten verstärkt.

Das Unternehmen sagt, beide Maßnahmen bleiben in Kraft, bis das Konsumentensystem abgeschaltet wird. Nach dem 20. Dezember gehört eine durchgesickerte Nummer zu einer Karte, die nicht mehr funktioniert, sodass dieser Teil der Offenlegung ein festes Enddatum hat.

Die Wallet-Verknüpfung hat kein Enddatum

Der Rest des durchgesickerten Datensatzes verfällt nicht mit der Karte. Eine Wallet-Adresse ist von Natur aus öffentlich: Jeder kann einen Block-Explorer öffnen und ihren Saldo sowie die vollständige Transaktionshistorie einsehen. Was einer Adresse normalerweise fehlt, ist ein Name. Ein Datensatz, der sie mit der Identität einer Person und ihrer Heimatadresse verknüpft, liefert dieses fehlende Element, und die Verknüpfung bleibt gültig, solange die Wallet genutzt wird. Diese Verknüpfung ist bei regulierten Kartenprogrammen inhärent, die die Identität eines Kunden überprüfen müssen, bevor sie eine Karte ausstellen können.

Das bringt die Guthaben nicht in die Reichweite dessen, wer die Daten besitzt. Die Support-Hinweise von Gnosis Pay besagen, dass das Unternehmen niemals die Schlüssel der Kunden verwahrt hat, sodass das angegriffene System sie nicht enthalten konnte und niemand allein durch Kenntnis einer Adresse davon ausgeben kann.

Was der Datensatz einem Angreifer bietet, ist ein Ziel: wen man anspricht, wo die Person wohnt und was sie offenbar besitzt. Die eigene Bekanntgabe des Unternehmens weist in dieselbe Richtung und fordert Kunden auf, vorsichtig zu sein, wem sie ihre Adresse oder Bestände mitteilen – online und offline.

Krypto hat einen Präzedenzfall dafür, wie lange solche Daten nützlich bleiben. Im Dezember 2020 wurde eine gestohlene Datenbank des Hardware-Wallet-Herstellers Ledger online gestellt. Das Unternehmen bestätigte, dass sie etwa 272.000 Kundendatensätze mit Namen, Postadressen und Telefonnummern enthielt. Ledgers eigene Darstellung beschreibt monatelange Phishing-Kampagnen, die folgten, und City AM berichtete, dass einigen Kunden Hausbesuche angedroht wurden, sofern sie nicht zahlten.

Die Ledger-Liste zeigte lediglich, dass jemand ein Hardware-Wallet gekauft hatte. Karapetsas' Benachrichtigung, wie er sie teilte, geht weiter: Sie verknüpft eine namentlich genannte Person mit konkreten Adressen, deren Salden jeder überprüfen kann.

Die Offenlegung hat Grenzen. Für Kunden, die nur Ausgabengeld in der Karten-Wallet hielten, kann der sichtbare Saldo gering sein. Dieser Schutz reicht nur so weit, wie die Wallets getrennt bleiben. Überweisungen in und aus einer Karten-Wallet werden onchain aufgezeichnet und können zu größeren Adressen führen, und die veröffentlichte Benachrichtigung führte jede verknüpfte Adresse auf, nicht nur eine.

Wie ein überzeugender Fake aussehen könnte

Durchgesickerte Details schwächen die Prüfungen, die Menschen üblicherweise bei einer verdächtigen Nachricht anwenden. Das britische National Cyber Security Centre warnt, dass Kriminelle gestohlene Informationen nutzen, um Phishing seriös wirken zu lassen. Es warnt auch, dass die öffentliche Aufmerksamkeit um einen Vorfall es ihnen ermöglicht, Personen zu kontaktieren, deren Daten nie entwendet wurden.

Die Abwicklung liefert Betrügereien ein fertiges Drehbuch. Die Karten-Hilfeseite von Gnosis Pay warnt bereits vor gefälschten „Migriere dein Gnosis-Pay-Konto“-Websites, gefälschten Partnerangeboten und Fremden, die anbieten, bei der Verlagerung von Guthaben zu helfen. Eine Nachricht, die einen echten Kauf, eine echte Heimatadresse und das echte Datum des 20. Dezember nennt, könnte als routinemäßige Kontoverwaltung durchgehen. In der letzten Woche brachte eine ähnliche Taktik eine gefälschte Airdrop-App in den Featured-Store-Slot von Solana Mobile, wo sie Nutzer nach Recovery-Phrases fragte.

Die eigenen Aussagen von Gnosis Pay geben den Kunden feste Prüfmaßstäbe. Das Unternehmen sagt, weder es selbst noch seine Partner-Apps werden nach einer Seed Phrase, privaten Schlüsseln, einer PIN oder der vollständigen Kartennummer fragen oder Kunden auffordern, ihre Identität per E-Mail oder SMS erneut zu verifizieren. Es verlangt auch keine Überweisungen von Guthaben per E-Mail, SMS oder Telefon. Dieselben Support-Hinweise sagen, dass es keine Frist für die Entnahme selbstverwahrter Guthaben gibt. Jede Nachricht, die eine Überweisung an den 20. Dezember knüpft, ist daher offensichtlich falsch.

Wenn eine Vorfallsmeldung in Ihrem Posteingang gelandet ist

Lesen Sie Ihre eigene Benachrichtigung über einen offiziellen Weg. Öffnen Sie die Gnosis-Pay-Web-App oder Ihre Partner-App direkt, niemals über einen Link in einer Nachricht, und prüfen Sie, welche Felder Ihre E-Mail enthält. Gnosis Pay sagt, es habe zusätzliche Maßnahmen empfohlen, basierend auf den Daten, die jedes Konto verloren hat. Offizielle Partner-Apps sind im Partner Marketplace aufgeführt.

Frieren Sie die Karte ein, wenn ihre Nummer aufgeführt war. Das Einfrieren ist sofort möglich und in der App reversibel. Die Meldung der Karte als verloren oder gestohlen annulliert sie dauerhaft, und Ersatzkarten können nur bis zum 20. Dezember bestellt werden. Eine virtuelle Karte kann in der Web-App sofort hinzugefügt werden, für alle, die weiterhin Zahlen benötigen.

Prüfen Sie jede aktuelle Zahlung. Nicht erkannte Transaktionen können angefochten werden. Gnosis Pay sagt, es wird Streitfälle und Chargebacks bis zum 24. Mai 2028 weiter bearbeiten, lange nachdem die Karten nicht mehr funktionieren.

Beginnen Sie neue Bestände an einer neuen Adresse. Guthaben, die an eine Adresse eingegangen sind, die nie in einem Gnosis-Pay-Datensatz erschien, sind nicht mit dem Datenleck verknüpft. Richten Sie sie in Ihrer eigenen Wallet-App und auf eigene Initiative ein. Die direkte Verlagerung von Guthaben von einer verknüpften Adresse hinterlässt eine Onchain-Spur, sodass dies die Verbindung einschränkt, aber nicht auslöscht.

Fordern Sie Ihren vollständigen Datensatz an. Gnosis Pay ist ein im Vereinigten Königreich registriertes Unternehmen, und das britische Datenschutzrecht gibt Einzelpersonen das Recht auf eine Kopie der personenbezogenen Daten, die ein Unternehmen über sie speichert. Organisationen müssen solche Anfragen im Allgemeinen innerhalb eines Monats beantworten, und die Kopie zeigt genau, was gespeichert war.

Was Gnosis Pay noch nicht gesagt hat

Gnosis Pay hat drei Dinge nicht offengelegt:

• wie viele Kunden betroffen waren;
• wann der Angriff begann, da der 3. November nur das Datum der Erkennung ist;
• ob die offengelegten Kartendaten Ablaufdaten oder Sicherheitscodes enthielten, was darüber entscheidet, wie nutzbar die durchgesickerten Nummern vor dem 20. Dezember sind.

Das Unternehmen sagt, es stehe mit Datenschutzbehörden und seinem Kartenaussteller in Kontakt und habe eine spezialisierte Überwachung auf Anzeichen dafür eingerichtet, dass die gestohlenen Daten missbraucht werden. Britische Datenschutzvorschriften verlangen von Organisationen, die Information Commissioner's Office, die Datenschutz-Aufsichtsbehörde des Landes, innerhalb von 72 Stunden nach Kenntnisnahme über einen qualifizierenden Verstoß zum Schutz personenbezogener Daten zu informieren. Ein Ergebnis dieser Überwachung oder eine Erklärung der Aufsichtsbehörde wäre die erste öffentliche Bestätigung, dass die Daten vom angegriffenen Server in aktive Betrügereien überführt wurden. Berichte über gefälschte Migrationsangebote, die echte Kundendaten zitieren, vor der Abschaltung am 20. Dezember würden in dieselbe Richtung deuten.