Gnosis Pay ha hecho obligatoria la verificación 3D Secure para todos los pagos con tarjeta en línea tras detectar un acceso no autorizado a su sistema legacy de tarjetas para consumidores. El proveedor de pagos cripto identificó la intrusión el 3 de noviembre de 2026 y reveló el incidente públicamente el 6 de noviembre, confirmando que cierta información de clientes fue expuesta. Reportó ninguna pérdida de fondos de clientes.

Las verificaciones adicionales permanecerán vigentes hasta el 20 de diciembre, cuando Gnosis Pay planea retirar el sistema legacy para consumidores. La compañía señaló que su plataforma de tarjetas empresarial, que impulsa programas de tarjetas white-label para socios, no resultó afectada por el incidente de seguridad.

La verificación extra permanece hasta el cierre de diciembre

Gnosis Pay informó que su equipo de seguridad inició la contención en un plazo de dos horas tras la detección. La compañía reemplazó las credenciales afectadas y corrigió la vulnerabilidad subyacente. También ha incrementado el monitoreo de tarjetas y billeteras ante fraude e intentos de acceso a fondos de clientes.

El 3D Secure obligatorio añade un paso de verificación de identidad a las compras con tarjeta en línea, exigiendo que el titular confirme la transacción con su emisor de tarjeta antes de completarla. El mecanismo es un estándar de autenticación de pagos con tarjeta ampliamente utilizado, diseñado para que los datos de una tarjeta robada no sean suficientes por sí solos para completar una compra en línea. Las medidas de seguridad aplican durante la vida restante de la operación legacy para consumidores. Gnosis Pay ya había anunciado planes para descontinuar sus interfaces de consumo y migrar a los usuarios hacia aplicaciones de socios. La compañía indicó que su plataforma empresarial no resultó afectada, distinción que limita la exposición confirmada al sistema de consumo más antiguo y no a todas las integraciones de Gnosis Pay.

La compañía notifica a clientes y autoridades de privacidad

Gnosis Pay informó que envió correos electrónicos a cada cliente afectado el 6 de noviembre. Esos mensajes detallaban la información a la que se accedió de cada cuenta. El comunicado público no especificó el número de usuarios afectados ni todas las categorías de datos expuestos. Tampoco identificó al intruso ni explicó cómo se obtuvo el acceso no autorizado.

La compañía ha notificado a sus socios y ha iniciado comunicación con las autoridades de protección de datos pertinentes y con su emisor de tarjetas. Está revisando el incidente y gestionando monitoreo especializado ante un posible uso indebido de la información expuesta.

Gnosis Pay advirtió a los clientes que tengan precaución con mensajes inesperados que contengan datos personales o referencias a compras reales con tarjeta. Indicó que el soporte legítimo nunca solicitará frases semilla, claves privadas, PIN ni números completos de tarjeta. La advertencia refleja un patrón común en el fraude de pagos, donde las referencias a compras reales y datos personales dificultan distinguir los mensajes fraudulentos de los legítimos.

Las obligaciones de datos continúan tras el retiro de la tarjeta para consumidores

El cierre de diciembre no significa que Gnosis Pay borrará de inmediato todos los registros de clientes. Según su guía de datos publicada, los registros de identidad y transacciones se conservan durante cinco años tras el cierre de la cuenta, mientras que la correspondencia de soporte se retiene durante seis años.

Los clientes pueden exportar sus historiales de transacciones de tarjeta a través de la aplicación web de consumo hasta el 20 de diciembre. Después de esa fecha, deberán solicitar los registros directamente a la compañía. Gnosis Pay señaló que los exploradores de blockchain no pueden mostrar nombres de comercios ni detalles de transacciones a nivel de tarjeta, por lo que los clientes no pueden reemplazar una exportación del historial de tarjeta con registros on-chain.

El anuncio concierne únicamente a información de clientes y es independiente del exploit de contratos inteligentes de junio que afectó a las billeteras de Gnosis Pay. Gnosis confirmó previamente en su post-mortem que restauró los fondos perdidos en ese incidente.

Fuente: Blockonomi