Gnosis-Pay-Angriff legt Wallet-Adressen und personenbezogene Daten offen und erhöht Betrugsrisiko
Wichtige Erkenntnisse
- •Ein unberechtigter Akteur griff am 3. November auf das Kunden-Kartensystem von Gnosis Pay zu und legte Namen, Heimatadressen, Kartennummern und verknüpfte Kryptowallet-Adressen offen.
- •Gnosis Pay erklärte, es seien keine Kundengelder abgeflossen, und die Unternehmensplattform sei nicht betroffen; die Zahl der betroffenen Nutzer bleibt offen.
- •Das Unternehmen dämmte den Eindringversuch innerhalb von zwei Stunden nach der Entdeckung am 3. November ein, ersetzte Sicherheitsdaten und behob die zugrundeliegende Schwachstelle.
- •Die Offenlegung von Wallet-Adressen zusammen mit persönlichen Identitäten schafft dauerhafte Betrugsrisiken, da öffentliche Blockchain-Aktivitäten dauerhaft sichtbar bleiben – anders als Kartendaten, die gesperrt und neu ausgestellt werden können.
- •Es ist der zweite Sicherheitsvorfall von Gnosis Pay in diesem Jahr – nach einem Wallet-Software-Exploit im Juni mit rund 1,5 Millionen US-Dollar Schaden – und liegt vor der Abschaltung des Altkundensystems am 20. Dezember.
Gnosis Pay teilte mit, dass ein externer Akteur am 3. November unbefugt auf sein Kunden-Kartensystem zugegriffen hat, wodurch Namen, Heimatadressen, Kartennummern und die mit den Konten verknüpften Kryptowallet-Adressen offengelegt wurden. Das Unternehmen erklärte, es seien keine Kundengelder abgeflossen, gab jedoch nicht an, wie viele Nutzer betroffen sind.
Der Vorfall wurde in einem Blogbeitrag zum veralteten Kundensystem von Gnosis Pay bekanntgegeben, das die Karten der Marke Gnosis Pay unterstützt und am 20. Dezember abgeschaltet werden soll. Der Bericht von CoinCentral ist hier verfügbar.
Offengelegte Daten
Lefteris Karapetsas, Gründer des Krypto-Portfolio-Trackers Rotki, teilte eine E-Mail von Gnosis Pay in einem Beitrag auf X. Er erklärte, dass zu den offengelegten Informationen sein Name, seine vollständige Heimatadresse, seine Kartennummer und jede mit seinem Konto verknüpfte Wallet-Adresse gehörten.
„You had already lost me as a user but you could have at least protected my data“, schrieb Karapetsas. Sein Beitrag veranschaulichte, wie der Vorfall die reale Identität eines Kunden mit dessen Kryptobeständen verknüpfen kann.
At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026
Wallet-Adressen auf öffentlichen Blockchains können Salden und Transaktionsverläufe offenbaren. Werden sie mit dem Namen und der Heimatadresse einer Person verknüpft, kann dies das Risiko gezielter Betrugsversuche erhöhen. Anders als bei Zahlungskartendaten, die ein Herausgeber sperren und neu ausstellen kann, ist eine öffentliche Wallet-Adresse dauerhaft, und ihre On-Chain-Aktivität bleibt für jeden sichtbar, der die Verbindung zwischen Adresse und Identität kennt.
Gnosis Pay erklärte, man habe jeden betroffenen Nutzer per E-Mail über die Details der offengelegten Informationen informiert. Das Unternehmen warnte zudem, dass Betrüger gestohlene personenbezogene Daten und frühere Kaufinformationen nutzen könnten, um betrügerische Nachrichten glaubwürdig erscheinen zu lassen.
Die Reaktion von Gnosis Pay
Gnosis Pay erklärte, der Eindringversuch wurde am 3. November entdeckt und die Eindämmung innerhalb von zwei Stunden begonnen. Das Unternehmen ersetzte betroffene Sicherheitsdaten und behob die Schwachstelle, die den unbefugten Zugriff ermöglicht hatte.
Kundengelder und die separate Unternehmensplattform seien nicht betroffen. Die Unternehmensplattform unterstützt Kartenprogramme anderer Unternehmen, die eigene Karten ausgeben.
Gnosis Pay wurde 2023 vorgestellt. Der Dienst ermöglicht Kunden die Ausgabe von Stablecoins über Visa-Debitkarten, die mit ihren Kryptowallets verknüpft sind. Laut Daten von Paymentscan liegt das annualisierte Zahlungsvolumen des Dienstes bei rund 67,6 Millionen US-Dollar. Kunden verwahren ihre Gelder in eigenen Wallets und setzen die Karten bei Händlern ein, die Visa akzeptieren. Diese Struktur hält die Salden außerhalb der Systeme des Unternehmens, wobei der Kartenbetrieb dennoch die personenbezogenen Daten umfasst, die nun offengelegt wurden.
Es ist der zweite Sicherheitsvorfall bei Gnosis Pay in diesem Jahr. Im Juni zog ein Exploit aufgrund einer Schwachstelle in der Wallet-Software rund 1,5 Millionen US-Dollar ab. Dieser Angriff unterschied sich vom aktuellen Vorfall, bei dem Kundendaten offengelegt wurden, aber keine Gelder abflossen.
Gnosis übernahm die Verluste aus dem Juni-Exploit und erstattete die Kundengelder. Später veröffentlichte das Unternehmen eine Post-Mortem-Analyse zur Schwachstelle. Seitdem ist die 3D-Secure-Verifizierung für Online-Kartenzahlungen bei Gnosis Pay Pflicht. Dabei müssen Kunden ihre Identität bestätigen, bevor ein Online-Kauf abgeschlossen wird.
Das Unternehmen hat außerdem die Betrugsüberwachung für seine Kundenkarten verstärkt. Diese Maßnahmen erfolgten vor der geplanten Abschaltung des veralteten Kundensystems am 20. Dezember. Bis zur Abschaltung hat Gnosis Pay Nutzer gewarnt, dass Nachrichten mit ihren persönlichen oder Kaufdaten betrügerisch sein können, selbst wenn sie authentisch wirken. Die Zahl der betroffenen Nutzer bleibt auch im Vorfeld dieses Abschaltdatums offen.
