Gnosis Pay gab am 6. November bekannt, dass sein Legacy-Kartensystem mit Gnosis-Pay-Branding für Privatkunden am 3. November einem unbefugten Zugriff ausgesetzt war, wodurch persönliche Informationen sowie Details zu Wallets offengelegt wurden, die mit betroffenen Konten verknüpft sind. Das Unternehmen erklärte, Kundengelder seien nicht berührt worden. Die Offenlegung erschien in einem Unternehmens-Blogbeitrag, und das Unternehmen wiederholte dieselben Punkte in einer Erklärung auf X. Diese Offenlegung erfolgte drei Tage nach dem unbefugten Zugriff selbst.

Das betroffene System ist die B2C-Kartenlinie des Unternehmens, deren Abschaltung für den 20. Dezember 2026 geplant ist. Die Enterprise-White-Label-Plattform, auf der die Kartenprogramme der Partner laufen, war nicht betroffen. Die Eindämmung begann laut dem Unternehmen innerhalb von zwei Stunden nach der Entdeckung; die betroffenen Sicherheitszugangsdaten wurden ersetzt und die Schwachstelle, die den Zugriff ermöglicht hatte, behoben.

Unternehmensreaktion und Kundenmitteilungen

Bis zum geplanten Abschaltungsdatum hat Gnosis Pay laut eigenen Angaben die Überwachung der Kartenaktivitäten und verknüpften Wallets erhöht und 3D Secure für alle Online-Kartenzahlungen verpflichtend gemacht. Das Unternehmen teilte mit, dass es jeden betroffenen Kunden per E-Mail informiert hat, wobei jede Mitteilung die konkret aus dem Konto entnommenen Datenfelder auflistete. Der Vorfall wurde zudem Partnern, dem Kartenherausgeber und Datenschutzbehörden gemeldet.

Die Gelder seien nicht betroffen, betonte das Unternehmen erneut. Es veranlasst eine spezialisierte Überwachung hinsichtlich eines möglichen Missbrauchs der geleakten Daten und entschuldigte sich für die Offenlegung persönlicher Informationen.

Die Offenlegung war nicht über alle Konten hinweg einheitlich. Der Rotki-Gründer Lefteris Karapetsas veröffentlichte die Details seiner Mitteilung auf X und erklärte, die E-Mail nenne seine vollständige Wohnadresse und seinen Namen und führe seine Kartennummer sowie jede mit dem Konto verknüpfte Wallet auf. Während die öffentliche Mitteilung des Unternehmens nur von „bestimmten Kundeninformationen" sprach, listen die individuellen E-Mails das vollständige Inventar auf. Die Kombination aus Wohnadresse, Kartennummer und verknüpften Wallet-Adressen ist genau die Art von Daten, die gezieltes Phishing ermöglichen kann, und Social-Engineering-Versuche können lange nach dem Vorfall folgen, während die eigentlichen Gelder unberührt bleiben. Der Fall zeigt zudem, wie ein Zahlungsprodukt rund um Self-Custody dennoch eine KYC-reife Identitätsspur erzeugen kann, die neben On-Chain-Identifikatoren existiert.

Hinweise an Kunden

Der Rat des Unternehmens an die Kunden ist deutlich: Unerwartete E-Mails, SMS, Anrufe oder Briefe — auch solche mit Bezug zu Gnosis Pay, einer Partner-App oder der Karte — sind als verdächtig zu behandeln, selbst wenn sie echte persönliche Daten enthalten. Links in solchen Nachrichten nicht anklicken. Ausschließlich die offizielle Web-App oder Partner-App verwenden. Niemals eine Seed-Phrase, private Schlüssel, PIN oder vollständige Kartennummer weitergeben. Gnosis Pay erklärt, diese Angaben niemals anzufordern, niemals eine Identitäts-„Reverifizierung" per E-Mail oder SMS zu verlangen und niemals Kunden aufzufordern, Gelder über diese Kanäle zu bewegen.

Warum das Legacy-System weiterhin relevant ist

Die Panne traf ein Karten-System mit Branding nur wenige Wochen vor der geplanten Abschaltung — kein fernes Archiv. Nutzer, die noch auf diesem B2C-Weg sind, tragen nun geleakte Identitäts- und Wallet-Verknüpfungsdaten in die letzte Phase vor dem 20. Dezember. Das Abschaltdatum beendet den Dienst, nicht die Offenlegung — was bereits geleakt wurde, liegt nach diesem Datum außerhalb der Kontrolle des Unternehmens. Enterprise-White-Label-Partner blieben verschont, was den Wirkungskreis eingrenzt, doch direkte Gnosis-Pay-Karteninhaber bleiben exponiert.

Der Vorfall fügt sich in ein Muster anderer aktueller Krypto-Sicherheitsfälle, bei denen Hot Wallets verschont bleiben, Nutzer dennoch geschädigt werden: keine geleerten Guthaben, aber reichlich verwertbare personenbezogene Daten. Angreifer, die keine Gelder bewegen können, können dennoch die Marke imitieren, eine echte Wohnadresse oder ein plausibles Kartennummern-Muster anführen und eine „Sicherheitsprüfung" anfordern, die tatsächlich dem Abgreifen einer Seed-Phrase dient. Wenn ein Consumer-System Versanddaten und verknüpfte Wallets speichert, kann eine Panne dennoch Schaden anrichten, selbst wenn Guthaben nie bewegt werden.

Gnosis Pay teilte mit, dass das B2C-System am 20. Dezember 2026 abgeschaltet wird und verpflichtendes 3D Secure bis dahin in Kraft bleibt. Für betroffene Karteninhaber ist das unmittelbare Risiko weniger der Diebstahl von Geldern als vielmehr nachgelagerte Nachrichten, die angeblich vom Unternehmen stammen. Wachsamkeit gegenüber eingehenden Kontakten sei ebenso wichtig wie die Versicherung des Unternehmens, dass Guthaben unberührt blieben.

Quelle: Live Bitcoin News