Gnosis Pay hat die 3D-Secure-Verifizierung für alle Online-Kartenzahlungen verpflichtend eingeführt, nachdem ein unbefugter Zugriff auf das alte Verbraucher-Kartensystem des Unternehmens festgestellt wurde. Der Krypto-Zahlungsanbieter entdeckte den Angriff am 3. November 2026 und meldete den Vorfall am 6. November öffentlich, wobei bestätigt wurde, dass einige Kundendaten offengelegt wurden. Es gab keinen Verlust von Kundengeldern.

Die zusätzlichen Verifizierungsprüfungen bleiben bis zum 20. Dezember in Kraft, wenn Gnosis Pay plant, das alte Verbrauchersystem außer Betrieb zu nehmen. Das Unternehmen erklärte, dass seine separate Unternehmens-Kartenplattform, die White-Label-Kartenprogramme für Partner betreibt, von dem Sicherheitsvorfall nicht betroffen war.

Zusätzliche Verifizierung bleibt bis zur December-Abschaltung bestehen

Gnosis Pay teilte mit, dass sein Sicherheitsteam die Eindämmung innerhalb von zwei Stunden nach der Entdeckung begann. Das Unternehmen ersetzte betroffene Zugangsdaten und behob die zugrunde liegende Schwachstelle. Zudem wurde die Überwachung von Karten und Wallets auf Betrug und Zugriffsversuche auf Kundengelder erhöht.

Die verpflichtende 3D-Secure-Verifizierung fügt Online-Kartenzahlungen einen Identitätsprüfungsschritt hinzu, bei dem der Karteninhaber eine Transaktion vor deren Abschluss bei seinem Kartenherausgeber bestätigen muss. Dieses Verfahren ist ein weit verbreiteter Authentifizierungsstandard für Kartenzahlungen, der sicherstellen soll, dass gestohlene Kartendaten allein nicht ausreichen, um einen Online-Einkauf abzuschließen. Die Schutzmaßnahmen gelten für die verbleibende Laufzeit des alten Verbraucherbetriebs. Gnosis Pay hatte bereits Pläne angekündigt, die Verbraucherschnittstellen einzustellen und Nutzer zu Partneranwendungen zu verlagern. Das Unternehmen erklärte, dass seine Unternehmensplattform nicht betroffen war – eine Unterscheidung, die den bestätigten Vorfall auf das ältere Verbrauchersystem und nicht auf jede Gnosis-Pay-Integration beschränkt.

Unternehmen informiert Kunden und Datenschutzbehörden

Gnosis Pay teilte mit, dass es am 6. November jeden betroffenen Kunden per E-Mail informierte. Diese Nachrichten enthielten Details zu den Informationen, die aus den jeweiligen Konten abgerufen wurden. Die öffentliche Erklärung nannte weder die Anzahl der betroffenen Nutzer noch alle Kategorien der offengelegten Daten. Auch wurde der Angreifer nicht identifiziert oder erklärt, wie der unbefugte Zugriff erfolgte.

Das Unternehmen hat Partner informiert und die Kommunikation mit den zuständigen Datenschutzbehörden sowie seinem Kartenherausgeber aufgenommen. Es prüft den Vorfall und veranlasst eine spezialisierte Überwachung auf möglichen Missbrauch der offengelegten Informationen.

Gnosis Pay warnte Kunden, vorsichtig bei unerwarteten Nachrichten zu sein, die persönliche Daten oder Verweise auf echte Kartenzahlungen enthalten. Das Unternehmen betonte, dass der offizielle Support niemals Seed-Phrasen, private Schlüssel, PINs oder vollständige Kartennummern anfordern würde. Der Hinweis spiegelt ein verbreitetes Muster bei Zahlungsbetrug wider, bei dem Verweise auf echte Einkäufe und persönliche Daten betrügerische Nachrichten schwerer von legitimen unterscheidbar machen.

Datapflichten bestehen nach der Abschaltung des Verbraucherkartendienstes fort

Die Abschaltung im Dezember bedeutet nicht, dass Gnosis Pay alle Kundendaten sofort löscht. Laut veröffentlichter Datenrichtlinie des Unternehmens bleiben Identitäts- und Transaktionsdaten fünf Jahre nach Kontoschließung bestehen, während Supportkorrespondenz sechs Jahre aufbewahrt wird.

Kunden können ihre Karten-Transaktionshistorie bis zum 20. Dezember über die Consumer-Web-App exportieren. Danach müssen sie die Daten direkt beim Unternehmen anfordern. Gnosis Pay wies darauf hin, dass Blockchain-Explorer weder Händlernamen noch Karten-Level-Transaktionsdetails anzeigen können, weshalb Kunden einen Kartenhistorie-Export nicht durch On-Chain-Daten ersetzen können.

Die Offenlegung betrifft ausschließlich Kundendaten und ist getrennt von dem Smart-Contract-Exploit im Juni, der Gnosis-Pay-Wallets betraf. Gnosis bestätigte zuvor in seinem Post-Mortem, dass die bei diesem Vorfall verlorenen Gelder wiederhergestellt wurden.

Quelle: Blockonomi