Gnosis Pay informó el viernes 6 de noviembre que atacantes accedieron a datos personales de clientes a través del sistema antiguo que respaldaba sus tarjetas de consumo. En un comunicado oficial, la empresa señaló que ni los fondos de los clientes ni su plataforma de negocios fueron afectados. El anuncio llega en medio de una caída en el gasto con las tarjetas de Gnosis Pay, incluso mientras el mercado más amplio sigue creciendo.

Lo que Gnosis Pay dice que ocurrió

Según la empresa, su sistema de monitoreo detectó un acceso no autorizado el 3 de noviembre e inició un proceso de contención dos horas después. Gnosis Pay reemplazó las credenciales comprometidas, corrigió la vulnerabilidad y hizo obligatorio el servicio 3D Secure —el paso adicional de autenticación para pagos con tarjeta en línea— para todos los clientes hasta que el sistema fue apagado.

Los clientes cuyas cuentas fueron afectadas recibieron correos electrónicos con información específica sobre cuáles de sus datos habían sido comprometidos. Gnosis Pay también informó a sus socios, contactó al emisor correspondiente y reportó la brecha a las autoridades de protección de datos. El comunicado de la empresa identifica a Monavate Ltd y UAB Monavate como los emisores regionales.

Dos preguntas siguen sin respuesta: el número de clientes afectados y los tipos exactos de datos personales expuestos. Gnosis Pay aún no ha aclarado si el volumen de información filtrada varió de un cliente a otro. También dijo que los fondos de los clientes y la plataforma de tarjetas que opera para otras empresas no fueron afectados, aunque no ha habido confirmación independiente de esas afirmaciones. Esos detalles pendientes, junto con cualquier hallazgo de las autoridades de protección de datos que Gnosis Pay notificó, son los principales puntos a seguir a medida que avanza la respuesta a la brecha.

Por qué la autocustodia no protegió los registros de identidad

El incidente destaca una falla en las tarjetas de pago de autocustodia: los clientes pueden controlar la criptomoneda en sus billeteras, pero las empresas de pagos todavía conservan sus documentos de identidad, direcciones e información bancaria —datos que pueden quedar expuestos sin tocar jamás los fondos—. Otras brechas de billeteras de criptomonedas han mostrado riesgos similares, incluida una reciente alerta de phishing que afecta a usuarios de Trezor.

Las posibles consecuencias se hicieron evidentes cuando Lefteris Karapetsas, fundador de Rotki, dijo en una publicación en X que su nombre, dirección de domicilio, número de tarjeta y todas las direcciones de billeteras vinculadas a su cuenta quedaron expuestos. Su caso no confirma lo que ocurrió con otros usuarios, y Gnosis Pay no ha confirmado oficialmente si también se filtraron direcciones de correo electrónico, números de teléfono, códigos de seguridad de tarjetas o datos bancarios.

Vincular la identidad y la dirección de domicilio de una persona con sus billeteras de criptomonedas crea otra capa de riesgo. Los delincuentes podrían usar esa información para enviar mensajes de phishing convincentes o identificar posibles objetivos. Chainalysis estimó que los ataques violentos contra tenedores de criptomonedas generaron pérdidas de más de 30 millones de dólares a mediados de 2026, aunque no hay evidencia que conecte esos ataques con la brecha de Gnosis Pay.

Una brecha de datos, no el exploit de junio

La brecha de noviembre es distinta del exploit del contrato inteligente Zodiac que golpeó a Gnosis Pay en junio. Los atacantes explotaron una vulnerabilidad de software para robar aproximadamente 1,5 millones de dólares, mientras que otros 300.000 dólares quedaron inaccesibles. Gnosis luego cubrió las pérdidas y restauró los fondos de los clientes, como informó Cryptopolitan. Gnosis también publicó un análisis post-mortem del exploit de la vulnerabilidad.

Los dos incidentes expusieron debilidades diferentes. El ataque de junio apuntó al software que protegía las billeteras de las tarjetas, mientras que la brecha de noviembre expuso información personal almacenada en un sistema más antiguo. Gnosis Pay dice que no se robaron fondos de clientes en el incidente más reciente.

Una tarjeta en declive mientras el mercado se expande

El sistema afectado por la brecha de noviembre ya estaba programado para su retiro. En septiembre, Gnosis Pay anunció en una notificación formal que sus tarjetas de consumo dejarían de funcionar a las 23:59 UTC del 20 de diciembre. La aplicación web seguirá disponible para retiros mientras la empresa traslada su enfoque a proporcionar servicios de tarjetas para otras empresas. Para los clientes afectados por la brecha, ese calendario significa que las tarjetas comprometidas ya están programadas para desconectarse el 20 de diciembre, mientras que el negocio restante de tarjetas de la empresa opera sobre la plataforma que dice no fue afectada.

El negocio de consumo de Gnosis Pay también perdía terreno. Su gasto con tarjetas en octubre cayó de 12,05 millones de dólares en 2025 a unos 6,1 millones de dólares en 2026, una disminución de casi el 50%.

El mercado más amplio se movió en la dirección opuesta. El gasto rastreado con tarjetas cripto casi se triplicó de 464 millones de dólares a 1.370 millones de dólares en el mismo período. Mientras tanto, Visa reportó más de 160 programas de tarjetas vinculadas a stablecoins, con un volumen de pagos que aumentó casi un 200% interanual —una expansión que Cryptopolitan también ha cubierto.

Como el declive en el gasto de Gnosis Pay comenzó antes de la brecha de noviembre, las cifras no pueden establecer si el incidente afectó la actividad de los clientes. Su impacto a largo plazo en la reputación y el negocio de la empresa sigue siendo incierto.