Gnosis Pay hat einen Sicherheitsvorfall bestätigt, bei dem sensible Kundendaten offengelegt wurden, darunter vollständige Kreditkartenummern, Sicherheitscodes, Wohnadressen und Details zu Krypto-Wallets. Dies wirft Bedenken hinsichtlich Identitätsdiebstahl und gezielter Angriffe auf Krypto-Inhaber auf.

Das Unternehmen entdeckte am 3. November einen unbefugten Zugriff auf seine veraltete Karteninfrastruktur für Privatkunden und machte den Vorfall am 6. November in einem offiziellen Blogbeitrag öffentlich. Das Sicherheitsteam begann innerhalb von zwei Stunden mit der Eindämmung, ersetzte anschließend kompromittierte Zugangsdaten und behob die Schwachstelle.

Gnosis Pay erklärte, die Gelder der Kunden seien unberührt geblieben und seine Enterprise-Infrastruktur, die White-Label-Kartenprogramme für andere Unternehmen betreibt, sei nicht kompromittiert worden. Die Zahl der betroffenen Kunden und die Methode des Zugriffs auf ihre Daten wurden nicht mitgeteilt.

Kartenummern, Wohnadressen und Wallet-Details offengelegt

Kundenbenachrichtigungen über den Datenpanch nannten ein breites Spektrum kompromittierter Informationen, darunter vollständige Namen, E-Mail-Adressen, Telefonnummern, Staatsangehörigkeiten, Wohnadressen und mit Gnosis-Pay-Konten verknüpfte Krypto-Wallet-Adressen. Besorgniserregender ist, dass die offengelegten Datensätze vollständige Kartennummern, Ablaufdaten und CVV-Sicherheitscodes enthielten. Eine Kartennummer, das Ablaufdatum und der CVV-Code sind zusammen in der Regel alles, was benötigt wird, um eine Online-Kartenzahlung abzuschließen, was diese Kombination zu den unmittelbar nutzbarsten Daten des Vorfalls macht. Bei einigen Kunden wurden auch Bankdaten, darunter IBAN- und BIC-Angaben, kompromittiert.

Ausweisdokumente und Geburtsdaten zählten nicht zu den offengelegten Informationen.

Der Rotki-Gründer Lefteris Karapetsas gehörte zu denen, die den Umgang des Unternehmens mit sensiblen Kundendaten öffentlich kritisierten. Karapetsas gab an, dass seine Wohnadresse, sein vollständiger Name, seine Kartennummer und verknüpfte Wallet-Adressen offengelegt worden seien, und äußerte Frustration darüber, dass das Unternehmen seine Daten nicht geschützt habe.

"Äußerst enttäuscht. Ihr hattet mich bereits als Nutzer verloren, aber ihr hättet wenigstens meine Daten schützen können", schrieb er auf X.

Die Kombination aus physischen Adressen und Blockchain-Wallet-Identifikatoren birgt besondere Datenschutzrisiken. Angreifer könnten identifizierbare Personen mit ihren Krypto-Beständen in Verbindung bringen, was gezieltes Phishing, Identitätsdiebstahl oder physische Bedrohungen erleichtert. Anders als gestohlene Kartendaten, die gesperrt und ersetzt werden können, lassen sich offengelegte Wohnadressen und historische Blockchain-Adressen nicht ohne Weiteres ändern oder löschen.

Gnosis Pay sperrt Karten und führt verpflichtende 3D-Secure-Authentifizierung ein

Gnosis Pay hat kompromittierte Karten gesperrt und für Online-Zahlungen eine verpflichtende 3D-Secure-Authentifizierung eingeführt, wodurch eine zusätzliche Verifizierung vor Abschluss von Transaktionen erforderlich wird. Das Unternehmen hat zudem die Überwachung der Kartenaktivitäten und verbundenen Wallets verstärkt, betroffene Kunden einzeln informiert und den Vorfall seinem Kartenherausgeber, Geschäftspartnern und den zuständigen Datenschutzbehörden gemeldet. Zusätzliche Überwachungsmaßnahmen werden eingerichtet, um einen möglichen Missbrauch der kompromittierten Daten zu erkennen.

Die betroffene Plattform für Privatkunden war bereits auf die Abschaltung am 20. Dezember 2026 terminiert, nachdem Gnosis Pay beschlossen hatte, sich auf seine Enterprise-Karteninfrastruktur zu konzentrieren, wie in einer offiziellen Schließungsmitteilung dargelegt. Der bestehende Abschaltplan bleibt unverändert; die zusätzlichen Sicherheitsmaßnahmen sollen bis dahin in Kraft bleiben.

Früherer Exploit und Branchenkontext

Der Vorfall folgt auf einen separaten Exploit im Juni, der das Zodiac Delay Module von Gnosis Pay betraf und bei dem rund 1,5 Millionen US-Dollar gestohlen wurden, bevor Gnosis die betroffenen Kunden entschädigte. Ein Zusammenhang zwischen den beiden Vorfällen wurde nicht festgestellt.

Der Datenpanch kommt zudem kurz nach der Meldung von Chainalysis über einen unbefugten Zugriff auf Kundendaten und StepDrainer-Angriffen auf 12 Krypto-Websites. Insgesamt umfasst die aktuelle Serie von Vorfällen sowohl datenseitige Offenlegungen als auch Angriffskampagnen gegen Endnutzer und ordnet den Gnosis-Pay-Vorfall in eine breitere Reihe von Sicherheitsereignissen im Krypto-Sektor ein.

Gnosis Pay hat seine Kunden aufgefordert, unerwartete E-Mails, Anrufe und Textnachrichten, die eine Konto­verifizierung oder Krypto-Überweisungen verlangen, zu ignorieren – selbst wenn diese Nachrichten echte persönliche Daten enthalten. Das Unternehmen betont, dass Wallet-Schlüssel und Kundengelder nicht kompromittiert wurden, doch die Offenlegung finanzieller und identifizierender Informationen lässt betroffene Nutzer auch nach der Abschaltung im Dezember potenziellen Betrugs- und Datenschutzrisiken ausgesetzt. Das Ausmaß des Vorfalls und die Zugriffsmethode bleiben unveröffentlicht, und da die Überwachung zur Missbrauchserkennung noch eingerichtet wird, sind dies die zentralen Punkte, die im Vorfeld der Abschaltung der Plattform zu beobachten sind.

Quelle: Crypto Adventure