Gnosis Pay reveló el 6 de noviembre que su sistema de tarjetas de consumo con la marca Gnosis Pay sufrió un acceso no autorizado el 3 de noviembre, un incidente que expuso información personal y los detalles de wallets vinculadas a las cuentas afectadas. La empresa afirmó que los fondos de los clientes no fueron tocados. La revelación apareció en una publicación del blog de la empresa, y la firma repitió los mismos puntos en un comunicado en X. Esa revelación se produjo tres días después del acceso no autorizado.

El sistema afectado es la línea de tarjetas de consumo directo de la empresa, cuya clausura está programada para el 20 de diciembre de 2026. Su plataforma white-label empresarial, sobre la que operan los programas de tarjetas de socios, no fue afectada. La contención comenzó dentro de las dos horas posteriores a la detección, según la empresa, que indicó que reemplazó las credenciales de seguridad afectadas y corrigió la falla que posibilitó el acceso.

Respuesta de la empresa y avisos a los clientes

Hasta la fecha de retiro programada, Gnosis Pay dijo que ha intensificado el monitoreo de la actividad de tarjetas y wallets vinculadas y ha hecho obligatorio 3D Secure para todos los pagos en línea con tarjeta. La empresa indicó que envió correos electrónicos a todos los clientes afectados, y cada aviso detallaba los campos de datos específicos obtenidos de esa cuenta. También reportó el incidente a los socios, al emisor de la tarjeta y a las autoridades de protección de datos.

Los fondos no fueron afectados, reiteró la empresa. Está gestionando un monitoreo especializado ante el posible uso indebido de los datos filtrados y se disculpó por la exposición de información personal.

La exposición no fue uniforme en todas las cuentas. El fundador de Rotki, Lefteris Karapetsas, publicó los detalles de su aviso en X, señalando que el correo incluía su nombre y dirección de domicilio completa, y listaba su número de tarjeta y todas las wallets vinculadas a la cuenta. Si bien el comunicado público de la empresa solo se refería a "cierta información de clientes", los correos individuales detallaban el inventario completo. La combinación de dirección de domicilio, número de tarjeta y direcciones de wallets vinculadas es el tipo de conjunto de datos que puede facilitar el phishing dirigido, y los intentos de ingeniería social pueden llegar mucho después de que los fondos permanezcan intactos. El caso también ilustra cómo un producto de pagos construido en torno a la autocustodia puede generar igualmente un rastro de identidad de nivel KYC que convive con los identificadores on-chain.

Orientación a los clientes

El consejo de la empresa a los clientes es directo: tratar como sospechosos los correos electrónicos, mensajes de texto, llamadas o cartas inesperados —incluidos los que mencionen a Gnosis Pay, una app de socio o la tarjeta—, incluso cuando contengan datos personales reales. No hacer clic en los enlaces de esos mensajes. Usar únicamente la app web oficial o la app del socio. Nunca compartir una frase semilla, claves privadas, PIN ni el número completo de la tarjeta. Gnosis Pay afirma que nunca solicitará esos elementos, nunca pedirá una "reverificación" de identidad por correo o mensaje de texto, y nunca pedirá a los clientes mover fondos a través de esos canales.

Por qué el sistema antiguo sigue siendo relevante

La brecha golpeó a un sistema de tarjetas con marca semanas antes de su clausura programada, no a un archivo remoto. Los usuarios que aún están en esa vía de consumo directo ahora cargan datos filtrados de identidad y vinculación de wallets durante el tramo final antes del 20 de diciembre. La fecha de retiro cierra el servicio, no la exposición: lo que ya se filtró queda fuera del control de la empresa después de esa fecha. Los socios white-label empresariales se salvaron, lo que reduce el alcance del impacto, pero los titulares directos de tarjetas Gnosis Pay siguen expuestos.

El incidente encaja en un patrón observado en otros casos recientes de seguridad cripto en los que las hot wallets se salvan pero los usuarios igual resultan perjudicados: sin saldos drenados, pero con abundantes datos personales utilizables. Los atacantes que no pueden mover fondos pueden seguir suplantando la marca, citar una dirección de domicilio real o un patrón plausible de número de tarjeta, y solicitar una "verificación de seguridad" que en realidad es un intento de obtener la frase semilla. Cuando un sistema orientado al consumidor almacena detalles de envío y wallets vinculadas, una brecha puede causar daño incluso si los saldos nunca se mueven.

Gnosis Pay indicó que el sistema B2C se retira el 20 de diciembre de 2026, y que el 3D Secure obligatorio se mantiene vigente hasta entonces. Para los titulares afectados, el riesgo inmediato es menos el robo de fondos que los mensajes de seguimiento que pueden llegar diciendo provenir de la empresa. La vigilancia ante contactos entrantes, según señaló la empresa, importa tanto como su garantía de que los saldos no fueron tocados.

Fuente: Live Bitcoin News