Gnosis Pay dijo en su revelación del 6 de noviembre que su monitoreo detectó acceso no autorizado el 3 de noviembre al sistema detrás de sus tarjetas de marca propia, con la contención iniciando dentro de las dos horas. La empresa informó que los fondos de los clientes y su plataforma empresarial no resultaron afectados, pero las notificaciones enviadas a los clientes afectados incluyen datos personales que van desde números de tarjeta hasta direcciones de domicilio y wallets de criptomonedas vinculadas.

Una filtración dentro de un producto que ya estaba siendo retirado

El sistema afectado opera el negocio de consumo de Gnosis Pay: las tarjetas de débito Visa vendidas bajo su propio nombre y emitidas por Monavate, una firma de dinero electrónico autorizada por la Financial Conduct Authority del Reino Unido. La empresa ya había programado el retiro de ese sistema para el 20 de diciembre. Está migrando a su plataforma empresarial, que opera programas de tarjetas white-label para otras compañías y, según Gnosis Pay, no resultó afectada.

Gnosis Pay dice que reemplazó las credenciales comprometidas, corrigió la vulnerabilidad y envió por correo electrónico a cada cliente afectado una lista de exactamente qué fue tomado de su cuenta.

Este es el segundo incidente de seguridad del producto de tarjetas este año. En junio, atacantes explotaron una falla en módulos de software de wallet utilizados por cuentas de Gnosis Pay y extrajeron alrededor de 1,5 millones de dólares. Gnosis asumió esas pérdidas y restauró los fondos de los usuarios, según su informe post-mortem. Los dos incidentes difieren en naturaleza: los atacantes de junio fueron directamente por los fondos, mientras que la intrusión de noviembre fue por datos de cuentas.

Una de las notificaciones de noviembre se ha hecho pública. Lefteris Karapetsas, fundador del rastreador de portafolios Rotki, compartió su correo electrónico en X. CoinDesk informó que incluía su nombre, dirección de domicilio completa, número de tarjeta y todas las direcciones de wallet vinculadas a su cuenta. Le dijo a la empresa que "podría al menos haber protegido mis datos". Los correos de otros clientes pueden incluir campos diferentes, por lo que la notificación propia de cada persona, y no el comunicado público, muestra lo que debe hacer.

El problema del número de tarjeta termina el 20 de diciembre

Un número de tarjeta filtrado crea un riesgo inmediato: compras en línea realizadas solo con los datos de la tarjeta. La solución principal de Gnosis Pay apunta exactamente a eso. La empresa ha hecho obligatorio 3D Secure, la verificación que Visa promociona como Visa Secure, para todos los pagos con tarjeta en línea. Esto permite que el emisor de la tarjeta requiera la aprobación del titular antes de que una compra se complete. Gnosis Pay también ha intensificado el monitoreo antifraude de la actividad de tarjetas y wallets.

La empresa dice que ambas medidas se mantendrán hasta que el sistema de consumo se apague. Después del 20 de diciembre, un número filtrado pertenece a una tarjeta que ya no funciona, por lo que esta parte de la exposición tiene una fecha de vencimiento fija.

El vínculo con la wallet no tiene fecha de vencimiento

El resto del registro filtrado no caduca con la tarjeta. Una dirección de wallet es pública por diseño: cualquiera puede abrir un explorador de bloques y ver su saldo y todo su historial de transacciones. Lo que normalmente le falta a una dirección es un nombre. Un registro que la vincule con la identidad y el domicilio de una persona aporta esa pieza faltante, y esa vinculación sigue siendo válida mientras la wallet esté en uso. Esa vinculación es inherente a los programas de tarjetas regulados, que deben verificar la identidad del cliente antes de poder emitir una tarjeta.

Eso no pone los fondos al alcance de quien posea los datos. La guía de soporte de Gnosis Pay dice que nunca ha custodiado las claves de los clientes, por lo que el sistema comprometido no podía contenerlas, y nadie puede gastar desde una dirección solo por conocerla.

Lo que el registro ofrece a un atacante es un objetivo: a quién acercarse, dónde vive y qué parece poseer. La propia revelación de la empresa apunta en la misma dirección, advirtiendo a los clientes que tengan cuidado con quién comparten su dirección o sus tenencias, en línea y fuera de línea.

Las criptomonedas tienen un precedente de cuánto tiempo puede seguir siendo útil ese tipo de datos. En diciembre de 2020, una base de datos robada del fabricante de hardware wallets Ledger fue publicada en línea. La empresa confirmó que contenía alrededor de 272.000 registros de clientes con nombres, direcciones postales y números de teléfono. El propio relato de Ledger describe meses de campañas de phishing posteriores, y City AM informó que algunos clientes fueron amenazados con visitas a su domicilio si no pagaban.

La lista de Ledger solo mostraba que alguien había comprado una hardware wallet. La notificación de Karapetsas, tal como la compartió, va más allá: vincula a una persona identificada con direcciones específicas cuyos saldos cualquiera puede consultar.

La exposición tiene límites. Para los clientes que mantuvieron solo dinero de gasto en la wallet de la tarjeta, el saldo visible puede ser pequeño. Esa protección solo alcanza mientras las wallets permanezcan separadas. Las transferencias hacia y desde una wallet de tarjeta quedan registradas onchain y pueden llevar a direcciones más grandes, y la notificación publicada incluía todas las direcciones vinculadas, no solo una.

Cómo podría verse una estafa convincente

Los datos filtrados debilitan las pruebas que la gente suele aplicar a un mensaje sospechoso. El National Cyber Security Centre del Reino Unido advierte que los delincuentes usan información robada para hacer que el phishing parezca legítimo. También advierte que la publicidad en torno a una filtración les permite acercarse a personas cuyos datos nunca fueron robados.

El cierre del servicio les entrega a los estafadores un guion listo. La página de ayuda de tarjetas de Gnosis Pay ya advierte sobre sitios falsos de "migra tu cuenta de Gnosis Pay", ofertas falsas de socios y desconocidos que ofrecen ayudar a mover fondos. Un mensaje que cite una compra real, un domicilio real y la fecha real del 20 de diciembre podría pasar como una gestión de cuenta rutinaria. La semana pasada, una táctica similar colocó una app falsa de airdrop en el espacio destacado de la tienda de Solana Mobile, donde solicitaba a los usuarios frases de recuperación.

Las declaraciones de la propia Gnosis Pay dan a los clientes pruebas firmes que aplicar. La empresa dice que ni ella ni sus apps asociadas pedirán una frase semilla, claves privadas, PIN o el número completo de la tarjeta, ni pedirán a los clientes que reverifiquen su identidad por correo electrónico o mensaje de texto. También dice que no solicita transferencias de fondos por correo electrónico, mensaje o teléfono. La misma guía de soporte indica que no hay fecha límite para retirar fondos autocustodiados. Por lo tanto, cualquier mensaje que vincule una transferencia con el 20 de diciembre es falso a simple vista.

Si una notificación de filtración llegó a tu bandeja de entrada

Lee tu propia notificación por una vía oficial. Abre la app web de Gnosis Pay o tu app asociada directamente, nunca a través de un enlace en un mensaje, y revisa qué campos incluye tu correo. Gnosis Pay dice que recomendó acciones adicionales según los datos que perdió cada cuenta. Las apps asociadas oficiales están listadas en su Partner Marketplace.

Congela la tarjeta si su número fue incluido. Congelar es instantáneo y reversible desde la app. Reportar la tarjeta como perdida o robada la cancela de forma permanente, y los reemplazos solo pueden solicitarse hasta el 20 de diciembre. Quien aún necesite gastar puede agregar una tarjeta virtual al instante en la app web.

Revisa cada pago reciente. Las transacciones no reconocidas pueden disputarse. Gnosis Pay dice que seguirá gestionando disputas y contracargos hasta el 24 de mayo de 2028, mucho después de que las tarjetas dejen de funcionar.

Comienza tenencias nuevas en una dirección nueva. Los fondos recibidos en una dirección que nunca apareció en un registro de Gnosis Pay no están vinculados a la filtración. Configúrala en tu propia app de wallet, por iniciativa propia. Mover fondos directamente desde una dirección vinculada deja un rastro onchain, por lo que esto reduce la conexión en lugar de borrarla.

Solicita tu registro completo. Gnosis Pay es una empresa registrada en el Reino Unido, y la ley británica de protección de datos otorga a las personas el derecho a obtener una copia de los datos personales que una empresa posea sobre ellas. Las organizaciones generalmente deben responder a dichas solicitudes en un plazo de un mes, y esa copia muestra exactamente lo que estaba archivado.

Lo que Gnosis Pay aún no ha dicho

Gnosis Pay no ha revelado tres cosas:

• cuántos clientes fueron afectados;
• cuándo comenzó la intrusión, ya que el 3 de noviembre es solo la fecha en que fue detectada;
• si los datos de tarjetas expuestos incluían fechas de vencimiento o códigos de seguridad, lo que determina qué tan utilizables son los números filtrados antes del 20 de diciembre.

La empresa dice que está en contacto con las autoridades de protección de datos y con su emisor de tarjetas, y que ha contratado monitoreo especializado para detectar señales de uso indebido de los datos robados. Las reglas de protección de datos del Reino Unido exigen que las organizaciones notifiquen a la Information Commissioner's Office, el regulador de protección de datos del país, cualquier filtración de datos personales calificada dentro de las 72 horas posteriores a su conocimiento. Un hallazgo de ese monitoreo, o un comunicado del regulador, sería la primera confirmación pública de que los datos han pasado del servidor comprometido a estafas activas. Reportes de ofertas falsas de migración que citen detalles reales de clientes antes del cierre del 20 de diciembre apuntarían en la misma dirección.