Gnosis Pay a indiqué dans sa divulgation du 6 novembre que sa surveillance avait détecté le 3 novembre un accès non autorisé au système derrière ses cartes à sa marque, avec un confinement engagé en moins de deux heures. La société a rapporté que les fonds des clients et sa plateforme d'entreprise n'avaient pas été touchés, mais les notifications envoyées aux clients concernés listent des données personnelles allant des numéros de carte aux adresses domicile et aux portefeuilles crypto liés.

Une violation au sein d'un produit déjà en cours de retrait

Le système touché gère l'activité grand public de Gnosis Pay : les cartes de débit Visa vendues sous son propre nom et émises par Monavate, une société de monnaie électronique agréée par la Financial Conduct Authority du Royaume-Uni. La société avait déjà programmé la retraite de ce système pour le 20 décembre. Elle migre vers sa plateforme d'entreprise, qui gère des programmes de cartes en marque blanche pour d'autres sociétés et qui, selon Gnosis Pay, n'a pas été touchée.

Gnosis Pay indique avoir remplacé les identifiants compromis, corrigé la vulnérabilité et envoyé par e-mail à chaque client concerné la liste exacte des données extraites de son compte.

Il s'agit du deuxième incident de sécurité pour ce produit de cartes cette année. En juin, des attaquants ont exploité une faille dans des modules logiciels de portefeuille utilisés par les comptes Gnosis Pay et extrait environ 1,5 million de dollars. Gnosis a absorbé ces pertes et restauré les fonds des utilisateurs, selon son post-mortem. Les deux incidents diffèrent par leur nature : les attaquants de juin ont visé directement les fonds, tandis que l'intrusion de novembre a visé les données de compte.

L'une des notifications de novembre a été rendue publique. Lefteris Karapetsas, fondateur du tracker de portefeuille Rotki, a partagé son e-mail sur X. CoinDesk a rapporté qu'il listait son nom, son adresse domicile complète, son numéro de carte et toutes les adresses de portefeuilles liées à son compte. Il a déclaré à la société qu'elle « aurait au moins pu protéger mes données ». Les e-mails des autres clients peuvent lister des champs différents ; c'est donc la notification personnelle de chacun, et non la déclaration publique, qui indique ce qu'il faut faire.

Le problème du numéro de carte prend fin le 20 décembre

Un numéro de carte divulgué crée un risque immédiat : les achats en ligne effectués avec les seules informations de la carte. La principale correction de Gnosis Pay cible précisément cela. La société a rendu obligatoire 3D Secure, le contrôle que Visa brande sous le nom de Visa Secure, pour tous les paiements de cartes en ligne. Cela permet à l'émetteur de la carte d'exiger l'approbation du titulaire avant qu'un achat ne soit validé. Gnosis Pay a également renforcé la surveillance anti-fraude des activités de carte et de portefeuille.

La société indique que les deux mesures restent en place jusqu'à la fermeture du système grand public. Après le 20 décembre, un numéro divulgué correspond à une carte qui ne fonctionne plus : cette partie de l'exposition a donc une date de fin fixe.

Le lien avec le portefeuille n'a pas de date de fin

Le reste des données divulguées n'expire pas avec la carte. Une adresse de portefeuille est publique par conception : n'importe qui peut ouvrir un explorateur de blocs et voir son solde et l'intégralité de son historique de transactions. Ce qui manque normalement à une adresse, c'est un nom. Un enregistrement l'associant à l'identité et à l'adresse d'une personne fournit cette pièce manquante, et cette association reste valable tant que le portefeuille est utilisé. Cette association est inhérente aux programmes de cartes réglementés, qui doivent vérifier l'identité d'un client avant de pouvoir émettre une carte.

Cela ne met toutefois pas les fonds à la portée du détenteur des données. Le support de Gnosis Pay indique qu'il n'a jamais détenu les clés des clients, si bien que le système compromis ne pouvait pas les contenir, et personne ne peut dépenser depuis une adresse simplement en la connaissant.

Ce que l'enregistrement offre à un attaquant, c'est du ciblage : qui contacter, où ils vivent et ce qu'ils semblent détenir. La propre divulgation de la société va dans le même sens, conseillant aux clients d'être prudents quant aux personnes avec qui ils partagent leur adresse ou leurs avoirs, en ligne comme hors ligne.

La crypto a un précédent quant à la durée pendant laquelle ce type de données reste utile. En décembre 2020, une base de données volée au fabricant de portefeuilles matériels Ledger a été publiée en ligne. La société a confirmé qu'elle contenait environ 272 000 enregistrements clients avec noms, adresses postales et numéros de téléphone. Le propre récit de Ledger décrit les mois de campagnes de phishing qui ont suivi, et City AM a rapporté que certains clients ont été menacés de visites à domicile s'ils ne payaient pas.

La liste Ledger montrait seulement que quelqu'un avait acheté un portefeuille matériel. La notification de Karapetsas, telle qu'il l'a partagée, va plus loin : elle lie une personne nommée à des adresses précises dont tout le monde peut vérifier les soldes.

Cette exposition a des limites. Pour les clients qui ne conservaient que leur argent de dépenses dans le portefeuille de la carte, le solde visible peut être faible. Cette protection ne vaut que dans la mesure où les portefeuilles restent séparés. Les transferts entrant et sortant d'un portefeuille de carte sont enregistrés on-chain et peuvent mener à des adresses plus importantes, et la notification publiée listait toutes les adresses liées plutôt qu'une seule.

À quoi pourrait ressembler une contrefaçon crédible

Les détails divulgués affaiblissent les tests que l'on applique habituellement à un message suspect. Le National Cyber Security Centre du Royaume-Uni avertit que les criminels utilisent les informations volées pour rendre le phishing crédible. Il avertit également que la publicité autour d'une violation leur permet de contacter des personnes dont les données n'ont jamais été prises.

La fermeture progressive offre aux escrocs un scénario tout prêt. La page d'aide cartes de Gnosis Pay met déjà en garde contre de faux sites « migrate your Gnosis Pay account », de fausses offres de partenaires et des inconnus proposant d'aider à déplacer des fonds. Un message citant un achat réel, une vraie adresse domicile et la véritable date du 20 décembre pourrait passer pour une routine administrative de compte. La semaine dernière, une tactique similaire a placé une fausse application d'airdrop dans l'emplacement vedette du store de Solana Mobile, où elle demandait aux utilisateurs leurs phrases de récupération.

Les propres déclarations de Gnosis Pay donnent aux clients des tests fermes à appliquer. La société dit que ni elle ni ses applications partenaires ne demanderont une phrase seed, des clés privées, un PIN ou le numéro complet de carte, ni une reverification d'identité par e-mail ou SMS. Elle précise aussi ne jamais demander de transferts de fonds par e-mail, SMS ou téléphone. Le même support indique qu'il n'y a pas de date limite pour retirer les fonds en autogarde. Tout message liant un transfert au 20 décembre est donc faux à première vue.

Si une notification de violation est arrivée dans votre boîte mail

Lisez votre propre notification par un canal officiel. Ouvrez directement l'application web Gnosis Pay ou votre application partenaire, jamais via un lien dans un message, et vérifiez quels champs votre e-mail liste. Gnosis Pay indique avoir recommandé des actions supplémentaires selon les données perdues par chaque compte. Les applications partenaires officielles sont listées sur son Partner Marketplace.

Gélez la carte si son numéro était listé. Le gel est instantané et réversible depuis l'application. Signaler la carte perdue ou volée l'annule définitivement, et les remplacements ne peuvent être commandés que jusqu'au 20 décembre. Une carte virtuelle peut être ajoutée instantanément dans l'application web pour quiconque a encore besoin de dépenser.

Vérifiez chaque paiement récent. Les transactions non reconnues peuvent être contestées. Gnosis Pay indique continuer à traiter les litiges et les rétrofacturations jusqu'au 24 mai 2028, bien après l'arrêt des cartes.

Commencez de nouveaux avoirs sur une nouvelle adresse. Les fonds reçus sur une adresse jamais apparue dans un enregistrement Gnosis Pay ne sont pas liés à la fuite. Configurez-la dans votre propre application de portefeuille, de votre propre initiative. Déplacer des fonds directement depuis une adresse liée laisse une trace on-chain : cela réduit donc le lien plutôt que de l'effacer.

Demandez votre enregistrement complet. Gnosis Pay est une société enregistrée au Royaume-Uni, et le droit britannique sur la protection des données donne aux individus droit à une copie des données personnelles qu'une société détient sur eux. Les organisations doivent généralement répondre à de telles demandes sous un mois, et cette copie montre exactement ce qui était enregistré.

Ce que Gnosis Pay n'a pas encore dit

Gnosis Pay n'a pas divulgué trois choses :

• combien de clients ont été touchés ;
• quand l'intrusion a commencé, le 3 novembre n'étant que la date de sa détection ;
• si les données de carte exposées incluaient les dates d'expiration ou les codes de sécurité, ce qui détermine l'utilisabilité des numéros divulgués avant le 20 décembre.

La société dit être en contact avec les autorités de protection des données et son émetteur de cartes, et avoir organisé une surveillance spécialisée pour détecter des signes d'utilisation frauduleuse des données volées. Les règles britanniques de protection des données obligent les organisations à notifier l'Information Commissioner's Office, le régulateur national de la protection des données, de toute violation de données personnelles qualifiée dans les 72 heures suivant sa découverte. Une conclusion de cette surveillance, ou une déclaration d'un régulateur, serait la première confirmation publique que les données sont passées du serveur compromis à des arnaques actives. Des signalements de fausses offres de migration citant de vrais détails clients avant la fermeture du 20 décembre iraient dans le même sens.