Gnosis Pay gab am Freitag, den 6. November, bekannt, dass Angreifer über das veraltete System, das seine Verbraucherzahlen antrieb, auf persönliche Daten von Kunden zugegriffen haben. In einer offiziellen Erklärung teilte das Unternehmen mit, dass weder Kundengelder noch seine Geschäftsplattform betroffen seien. Die Bekanntgabe erfolgt inmitten rückläufiger Ausgaben über Gnosis-Pay-Karten, während der gesamte Markt weiter wächst.

Was Gnosis Pay berichtet

Nach Unternehmensangaben erkannte das Überwachungssystem am 3. November einen unbefugten Zugriff und leitete zwei Stunden später einen Eindämmungsprozess ein. Gnosis Pay ersetzte kompromittierte Zugangsdaten, behob die Schwachstelle und machte den 3D-Secure-Dienst — den zusätzlichen Authentifizierungsschritt für Online-Kartenzahlungen — für alle Kunden verpflichtend, bis das System abgeschaltet wurde.

Kunden, deren Konten betroffen waren, erhielten E-Mails mit konkreten Angaben dazu, welche ihrer Daten kompromittiert wurden. Gnosis Pay informierte auch seine Partner, kontaktierte den zuständigen Aussteller und meldete die Datenpanne an die Datenschutzbehörden. In der Erklärung des Unternehmens werden Monavate Ltd und UAB Monavate als regionale Aussteller genannt.

Zwei Fragen bleiben unbeantwortet: die Zahl der betroffenen Kunden und die genauen Arten der offengelegten personenbezogenen Daten. Gnosis Pay hat noch nicht klargestellt, ob das Ausmaß der geleakten Informationen von Kunde zu Kunde unterschiedlich war. Das Unternehmen sagte auch, dass Kundengelder und die Kartenplattform, die es für andere Unternehmen betreibt, nicht betroffen seien; diese Angaben sind jedoch nicht unabhängig bestätigt. Diese offenen Details sowie etwaige Erkenntnisse der von Gnosis Pay benachrichtigten Datenschutzbehörden sind die wichtigsten Entwicklungen, die im Verlauf der Reaktion auf die Datenpanne zu beobachten sind.

Warum Self-Custody die Identitätsdaten nicht schützte

Der Vorfall offenbart eine Schwäche selbstverwahrter Zahlungskarten: Kunden kontrollieren zwar die Kryptowährungen in ihren Wallets, doch die Zahlungsunternehmen speichern weiterhin ihre Identitätsdokumente, Adressen und Bankdaten — Informationen, die offengelegt werden können, ohne dass die Gelder jemals berührt werden. Andere Kryptowallet-Verletzungen haben ähnliche Risiken gezeigt, darunter eine kürzliche Phishing-Warnung, die Trezor-Nutzer betrifft.

Die möglichen Folgen wurden deutlich, als Lefteris Karapetsas, Gründer von Rotki, in einem Beitrag auf X mitteilte, dass sein Name, seine Heimatadresse, seine Kartennummer und jede mit seinem Konto verknüpfte Wallet-Adresse offengelegt wurden. Sein Fall bestätigt nicht, was anderen Nutzern widerfahren ist, und Gnosis Pay hat nicht offiziell bestätigt, ob auch E-Mail-Adressen, Telefonnummern, Kartensicherheitscodes oder Bankdaten geleakt wurden.

Die Verknüpfung der Identität und Heimatadresse einer Person mit ihren Krypto-Wallets schafft ein weiteres Risiko. Kriminelle könnten solche Informationen nutzen, um überzeugende Phishing-Nachrichten zu versenden oder potenzielle Ziele zu identifizieren. Chainalysis schätzte, dass gewalttätige Angriffe auf Krypto-Inhaber bis Mitte 2026 zu Verlusten von mehr als 30 Millionen US-Dollar führten, wobei es keinen Beweis für eine Verbindung dieser Angriffe zur Gnosis-Pay-Datenpanne gibt.

Eine Datenpanne, nicht der Exploit im Juni

Die Datenpanne im November ist von der Zodiac-Smart-Contract-Schwachstelle getrennt, die Gnosis Pay im Juni traf. Angreifer nutzten eine Software-Schwachstelle aus, um rund 1,5 Millionen US-Dollar zu sthlen; weitere 300.000 US-Dollar wurden unzugänglich. Gnosis übernahm später die Verluste und erstattete die Kundengelder, wie Cryptopolitan berichtete. Gnosis hat zudem eine Analyse des Schwachstellen-Exploits veröffentlicht.

Die beiden Vorfälle legten unterschiedliche Schwächen offen. Der Angriff im Juni zielte auf die Software zur Sicherung der Karten-Wallets, während die Panne im November personenbezogene Daten aus einem älteren System offenlegte. Gnosis Pay sagt, dass bei dem jüngsten Vorfall keine Kundengelder gestohlen wurden.

Eine schrumpfende Karte, während der Markt wächst

Das von der Panne im November betroffene System war bereits zur Abschaltung vorgesehen. Im September kündigte Gnosis Pay in einer formellen Mitteilung an, dass seine Verbraucherzahlen am 20. Dezember um 23:59 Uhr UTC außer Betrieb gehen werden. Die Web-App bleibt für Auszahlungen verfügbar, während das Unternehmen seinen Fokus auf Kartendienste für andere Unternehmen verlagert. Für von der Datenpanne betroffene Kunden bedeutet dieser Zeitplan, dass die betroffenen Karten ohnehin bereits am 20. Dezember offline gehen, während das verbleibende Kartengeschäft des Unternehmens auf der Plattform läuft, die nach Unternehmensangaben nicht betroffen ist.

Das Konsumgeschäft von Gnosis Pay verlor ebenfalls an Boden. Die Kartenausgaben im Oktober sanken von 12,05 Millionen US-Dollar im Jahr 2025 auf etwa 6,1 Millionen US-Dollar im Jahr 2026, ein Rückgang von fast 50 %.

Der gesamte Markt bewegte sich in die entgegengesetzte Richtung. Die erfassten Krypto-Kartenausgaben haben sich im selben Zeitraum von 464 Millionen auf 1,37 Milliarden US-Dollar fast verdreifacht. Visa berichtete zudem von mehr als 160 stablecoin-basierten Kartenprogrammen mit einem Zahlungsvolumen, das fast 200 % über dem Vorjahr lag — eine Expansion, die auch Cryptopolitan behandelt hat.

Da der Ausgabenrückgang von Gnosis Pay vor der Panne im November begann, können die Zahlen nicht belegen, ob der Vorfall die Kundenaktivität beeinflusst hat. Seine langfristigen Auswirkungen auf den Ruf und das Geschäft des Unternehmens bleiben unklar.