Gnosis Pay confirmó una brecha de seguridad que expuso información sensible de clientes, incluidos números completos de tarjetas de pago, códigos de seguridad, direcciones de domicilio y datos de wallets de criptomonedas, lo que genera preocupaciones sobre robo de identidad y ataques dirigidos contra holders de cripto.

La empresa detectó un acceso no autorizado a su infraestructura heredada de tarjetas de consumo el 3 de noviembre y divulgó el incidente el 6 de noviembre en una publicación oficial en su blog. Su equipo de seguridad inició el confinamiento en un plazo de dos horas y, posteriormente, reemplazó las credenciales comprometidas y atendió la vulnerabilidad.

Gnosis Pay señaló que los fondos de los clientes no se vieron afectados y que su infraestructura empresarial, que impulsa programas de tarjetas white-label para otras empresas, no fue comprometida. El número de clientes afectados y el método utilizado para acceder a su información no han sido divulgados.

Números de tarjetas, direcciones de domicilio y datos de wallets expuestos

Las notificaciones de brecha a los clientes identificaron un amplio abanico de información comprometida, incluidos nombres completos, correos electrónicos, números de teléfono, nacionalidades, direcciones de domicilio y direcciones de wallets de criptomonedas vinculadas a cuentas de Gnosis Pay. Más preocupante aún, los registros expuestos incluían números completos de tarjetas de pago, fechas de vencimiento y códigos de seguridad CVV. Un número de tarjeta, una fecha de vencimiento y un CVV juntos suelen ser todo lo necesario para completar un pago en línea con tarjeta, lo que convierte esa combinación en uno de los datos más directamente utilizables de la exposición. Algunos clientes también tuvieron información bancaria comprometida, incluidos los datos IBAN y BIC.

Los documentos de identidad y las fechas de nacimiento no figuraron entre la información expuesta.

Lefteris Karapetsas, fundador de Rotki, estuvo entre quienes cuestionaron públicamente la gestión de los registros sensibles de clientes por parte de la empresa. Karapetsas reveló que su dirección de domicilio, nombre completo, número de tarjeta de pago y direcciones de wallets vinculadas habían sido expuestos, expresando su frustración porque la empresa no había protegido su información.

"Extremadamente decepcionado. Ya me habían perdido como usuario, pero al menos podrían haber protegido mis datos", escribió en X.

La combinación de direcciones físicas e identificadores de wallets en la cadena presenta riesgos de privacidad particulares. Los atacantes podrían asociar a individuos identificables con sus criptoactivos, facilitando phishing dirigido, suplantación de identidad o amenazas físicas. A diferencia de las credenciales de tarjetas robadas, que pueden cancelarse y reemplazarse, la información residencial expuesta y las direcciones históricas de la cadena no pueden cambiarse ni borrarse fácilmente.

Gnosis Pay cancela tarjetas e implementa 3D Secure obligatorio

Gnosis Pay canceló las tarjetas comprometidas e implementó la autenticación 3D Secure obligatoria para pagos en línea, añadiendo otro requisito de verificación antes de poder completar las transacciones. La empresa también intensificó la monitorización de la actividad de tarjetas y wallets conectadas, notificó individualmente a los clientes afectados y reportó la brecha a su emisor de tarjetas, socios comerciales y autoridades de protección de datos pertinentes.

Se está organizando monitorización adicional para detectar el posible uso indebido de la información comprometida.

La plataforma de consumo afectada ya estaba programada para su retiro el 20 de diciembre de 2026, tras la decisión de Gnosis Pay de enfocarse en la infraestructura de tarjetas empresariales, como se detalló en un aviso formal de cierre. El calendario de cierre existente se mantiene sin cambios, y se espera que las medidas de seguridad adicionales permanezcan vigentes hasta entonces.

Exploit previo y contexto de la industria

El incidente sigue a un exploit separado de junio que involucró el Zodiac Delay Module de Gnosis Pay, que resultó en el robo de aproximadamente 1,5 millones de dólares antes de que Gnosis reembolsara a los clientes afectados. No se ha establecido ninguna conexión entre los dos incidentes.

La brecha también se produce poco después de que Chainalysis divulgara un acceso no autorizado a información de clientes y de que 12 sitios web de criptomonedas fueran objetivo de ataques StepDrainer. En conjunto, la reciente cadena de incidentes abarca tanto exposiciones de datos del lado de los servicios como campañas de ataque dirigidas a consumidores, situando la brecha de Gnosis Pay dentro de una serie más amplia de eventos de seguridad en el sector cripto.

Gnosis Pay ha instado a los clientes a evitar correos electrónicos, llamadas y mensajes de texto inesperados que soliciten verificación de cuentas o transferencias de criptomonedas, incluso cuando esas comunicaciones contengan datos personales genuinos. La empresa sostiene que las claves de las wallets y los fondos de los clientes no fueron comprometidos, pero la exposición de información financiera e identificativa deja a los usuarios afectados enfrentando posibles riesgos de fraude y privacidad más allá del cierre de diciembre. La escala de la brecha y el método de acceso siguen sin divulgarse y, con la monitorización para detectar usos indebidos aún en organización, esos puntos pendientes son los detalles clave a observar en el camino hacia el retiro de la plataforma.

Fuente: Crypto Adventure