Gnosis Pay hat am 6. November ein Kundendatenleck gemeldet, nachdem ein unbefugter Zugriff auf sein Legacy-System für Verbraucherkarten festgestellt worden war. Das Unternehmen erklärte, Kundengelder und seine Unternehmensplattform seien nicht betroffen, und dass die verschärften Zahlungs Kontrollen bis zum 20. Dezember in Kraft bleiben. Die Ankündigung erfolgte Wochen nachdem Gnosis Pay Kunden bereits mitgeteilt hatte, dass der Verbraucher-Kartendienst eingestellt wird.

Laut der öffentlichen Erklärung des Unternehmens wurde der Eindringversuch am 3. November entdeckt, und das Sicherheitsteam begann innerhalb von zwei Stunden mit der Eindämmung – drei Tage vor der öffentlichen Offenlegung des Vorfalls. Betroffene Zugangsdaten wurden ersetzt und die ausgenutzte Schwachstelle behoben, so das Unternehmen. Gnosis Pay hat den Angreifer nicht identifiziert.

Das Unternehmen kündigte den Vorfall am 6. November in einem Beitrag auf X an:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Welche Informationen wurden durch das Datenleck offengelegt?

Gnosis Pay erklärte, dass das Datenleck in der Infrastruktur hinter seinem markierten Verbraucherkartenprogramm auftrat, der B2C-Geschäftslinie des Unternehmens. Die separate Unternehmensproduktlinie, mit der Gnosis Pay Kartenprogramme für andere Unternehmen betreibt, war nicht betroffen.

Jede betroffene Person erhielt am 6. November eine E-Mail mit einer Beschreibung der von ihrem Konto kompromittierten Informationen. In der öffentlichen Mitteilung wurde nicht angegeben, wie viele Personen betroffen waren oder welche Informationskategorien offengelegt wurden; das Unternehmen nannte auch keinen Zeitplan für die Veröffentlichung weiterer technischer Details. Gnosis Pay erklärte, es habe seine Geschäftspartner, den Kartenherausgeber und die zuständigen Datenschutzbehörden informiert. Nach der Datenschutz-Grundverordnung der Europäischen Union müssen Organisationen Verstöße zum Schutz personenbezogener Daten im Allgemeinen binnen 72 Stunden nach Kenntnisnahme der zuständigen Aufsichtsbehörde melden – eine Anforderung, die die Reaktion auf Datenlecks im Zahlungsverkehrssektor Europas prägt.

Wie Gnosis Pay die Kartensicherheit verschärft hat

Als Reaktion auf den Vorfall führte das Unternehmen das 3D-Secure-Protokoll ein, das vor Abschluss einer Transaktion die Verifizierung der Identität des Nutzers verlangt. Es wird erwartet, dass diese Regelung bis zur Abschaltung des Legacy-Verbrauchersystems in Kraft bleibt.

Die Maßnahmen stießen nach dem Datenleck bei einigen Verbrauchern auf Kritik; Nutzer stellten Fragen zur Verantwortlichkeit und zur Möglichkeit von Phishing-Angriffen über E-Mails mit abgeflossenen Daten. Gnosis Pay wies darauf hin, dass solche E-Mails auf personenbezogene Daten oder frühere legitime Transaktionen verweisen können. Das Unternehmen riet Kunden, keine Links in E-Mails, SMS oder anderen Messaging-Anwendungen anzuklicken, und den Dienst nur über die offizielle Web-App oder eine Partner-App zu nutzen.

Das Unternehmen erklärte, es fordere niemals Seed-Phrasen, private Schlüssel, PINs oder vollständige Kartennummern über Nachrichten an, und warnte Nutzer vor Aufforderungen, Gelder zu verschieben oder die Identitätsverifizierung über unaufgeforderte Kontakte zu wiederholen. Diese Warnungen behalten lange ihre Gültigkeit: Bei einem Datenleck abgeflossene personenbezogene Daten können noch lange nach dem Vorfall in Phishing-Versuchen wieder auftauchen, und Kunden werden die Web-App während der Einstellungsphase weiterhin für Auszahlungen, den Export des Transaktionsverlaufs und die Aktualisierung wiederkehrender Zahlungen nutzen – die Support-Fristen reichen bis 2027 und 2028.

Wann wird der Verbraucher-Kartendienst eingestellt?

Die Einstellung des Verbraucherkartenprogramms wurde eingeleitet, bevor das Datenleck auftrat. In einer offiziellen Mitteilung vom 21. September erklärte Gnosis Pay, dass markierte physische und virtuelle Karten nach 23:59 UTC am selben Tag keine Transaktionen mehr autorisieren würden.

Die Web-App wird ihre Dienste mit Ausnahme von Auszahlungen einstellen. Nutzer behalten das Eigentum an den Geldern auf ihren selbstverwahrten Safe-Konten, die nicht mehr von der Verfügbarkeit des Kartenprogramms abhängen.

Nutzer können optional einem Partnerprogramm beitreten, um weiterhin eine Karte nutzen zu können; dieser Schritt erfordert die Zustimmung zu neuen Bedingungen. Unabhängig davon werden die vorhandenen Gnosis-Pay-Karten ihre Funktion einstellen.

Die Mitteilung fordert die Nutzer auf, ihre Transaktionsverläufe zu exportieren und ihre Informationen zu wiederkehrenden Zahlungen zu aktualisieren. Der allgemeine Karteninhaber-Support endet am 18. Juni 2027, während Unterstützung bei Rückerstattungen und Chargebacks bis zum 12. Juni 2028 verfügbar ist.

Wie sich das Datenleck im November vom Exploit im Juni unterscheidet

Die Offenlegung markiert das zweite Sicherheitsereignis, das die Kartenplattform in diesem Jahr betrifft. Im Juni hatte das Karten-Wallet-System einen separaten Angriff erlitten. In einem Post-Mortem vom 3. Juli räumte Gnosis Pay ein, dass eine Schwachstelle in den Zodiac-Modulen es Hackern ermöglicht hatte, Kryptowährung im Wert von fast 1,5 Millionen US-Dollar abzuziehen. Der Fehler beruhte auf einer fehlerhaften Signaturvalidierung in der Card-Safe-Software. Das Unternehmen erklärte, es habe die Verluste gefasst aufgenommen und die Gelder für Kunden neu ausbalanciert.

Im direkten Vergleich zeigen die beiden Vorfälle unterschiedliche Art en der Exposition: Der Vorfall im Juni war ein On-Chain-Exploit mit gestohlener Kryptowährung, während es im November um Kundendaten geht – wodurch sich die offenen Fragen von der Wiedererlangung von Vermögenswerten zum Datenschutz verschieben.