Der Anbieter kryptoverbundener Visa-Debitkarten Gnosis Pay hat am Freitag eine Sicherheitsverletzung offengelegt, bei der Zahlungskartendaten, Heimatadressen und Krypto-Wallet-Adressen von Kunden offengelegt wurden.

Laut einem offiziellen Blogbeitrag bemerkte das Unternehmen am 3. November einen unbefugten Zugriff auf sein veraltetes Verbraucher-Kartensystem und begann innerhalb von zwei Stunden mit der Eindämmung der Sicherheitsverletzung. Gnosis Pay teilte mit, dass Kundenmittel nicht betroffen seien, ebenso wenig wie die separate Unternehmensplattform, die White-Label-Kartenprogramme betreibt.

Von Cointelegraph eingesehene Benachrichtigungen über die Sicherheitsverletzung zeigten, dass zu den kompromittierten Informationen vollständige Zahlungskartennummern, Ablaufdaten, CVV-Codes, Kundennamen, Heimatadressen und mit den betroffenen Konten verknüpfte Wallet-Adressen gehörten. Die offengelegten Daten umfassten außerdem E-Mail-Adressen, Telefonnummern, Staatsangehörigkeiten und in einigen Fällen Bankdaten wie IBAN- und BIC-Informationen.

Die Bedeutung der offengelegten Daten variiert je nach Kategorie. Vollständige Kartennummern, Ablaufdaten und CVV-Codes sind in der Regel alles, was benötigt wird, um Online-Zahlungen ohne physische Karte durchzuführen. Wallet-Adressen hingegen sind öffentliche Kennungen auf Blockchains und gewähren für sich genommen keinen Zugriff auf Mittel – in dieser Sicherheitsverletzung wurden sie jedoch zusammen mit Kundennamen und Heimatadressen offengelegt, wodurch pseudonyme On-Chain-Aktivitäten mit realen Identitäten verknüpft wurden.

Ein Gnosis-Pay-Kunde teilte eine Benachrichtigung über die Sicherheitsverletzung, die die offengelegten persönlichen und finanziellen Daten im Detail zeigt. Quelle: Lefteris Karapetsas auf X

Eine der Benachrichtigungen bestätigte auch, dass die Karte des Kunden am 3. November gesperrt wurde und keine verdächtigen Transaktionen oder Bewegungen von Mitteln festgestellt wurden.

Als Reaktion darauf teilte Gnosis Pay mit, dass das Unternehmen kompromittierte Sicherheitszugangsdaten ersetzt, die Schwachstelle behoben und die 3D-Secure-Verifizierung für Online-Zahlungen verpflichtend gemacht hat, bis das Altsystem wie geplant am 20. Dezember abgeschaltet wird. 3D Secure erfordert einen zusätzlichen Verifizierungsschritt bei Online-Kartenzahlungen, der über die in der Sicherheitsverletzung offengelegten statischen Kartendaten hinausgeht. Das Unternehmen warnte Kunden außerdem vor Phishing-Versuchen, die ihre persönlichen oder Transaktionsdaten verwenden, und kündigte an, eine Überwachung auf möglichenbrauch der gestohlenen Daten einzurichten.

Laut Daten von OpenRate, einer Plattform eines Drittanbieters, die Aktivitäten von Kryptokarten verfolgt, hatte Gnosis Pay rund 2.400 täglich aktive Karteninhaber und verarbeitete in den vorangegangenen 24 Stunden Transaktionen im Wert von 263.200 US-Dollar – Zahlen, die einen Eindruck von der Größe der Plattform vermitteln.

Das Unternehmen gab nicht an, wie viele Kunden betroffen sind, und reagierte nicht sofort auf eine Anfrage von Cointelegraph zur Stellungnahme. Da die Zahl der betroffenen Konten weiterhin unklar ist, sind die Überwachung des Unternehmens auf Missbrauch der gestohlenen Daten und die Abschaltung des alten Kartensystems am 20. Dezember – der Zeitpunkt, zu dem die verpflichtende 3D-Secure-Anforderung derzeit auslaufen soll – die unmittelbar zu beobachtenden Punkte.

Quelle: Cointelegraph