Gnosis Pay a indiqué qu'un tiers a obtenu un accès non autorisé à son système de cartes grand public le 3 novembre, exposant les noms, adresses domiciliaires, numéros de carte et adresses de portefeuilles de cryptomonnaies liées aux comptes des clients. La société a déclaré qu'aucun fonds client n'a été volé, mais elle n'a pas précisé combien d'utilisateurs sont concernés.

L'incident a été révélé dans un article de blog concernant le système grand public hérité de Gnosis Pay, qui prend en charge les cartes à la marque Gnosis Pay et dont l'arrêt est prévu le 20 décembre. Le rapport de CoinCentral est disponible ici.

Données exposées lors de la violation

Lefteris Karapetsas, fondateur du outil de suivi de portefeuille crypto Rotki, a partagé un e-mail de Gnosis Pay dans une publication sur X. Il a déclaré que les informations exposées comprenaient son nom, son adresse domiciliaire complète, son numéro de carte et toutes les adresses de portefeuilles associées à son compte.

« Vous m'aviez déjà perdu en tant qu'utilisateur, mais vous auriez au moins pu protéger mes données », a écrit Karapetsas. Sa publication illustrait comment la violation pouvait relier l'identité réelle d'un client à ses avoirs en cryptomonnaies.

At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026

Les adresses de portefeuilles sur les blockchains publiques peuvent révéler les soldes et l'historique des transactions. Lorsqu'elles sont associées au nom et à l'adresse domiciliaire d'une personne, ces informations peuvent accroître le risque d'arnaques ciblées. Contrairement aux détails de carte de paiement, qu'un émetteur peut bloquer et réémettre, une adresse de portefeuille publique est permanente, et son activité on-chain reste visible pour quiconque connaît le lien entre l'adresse et une identité.

Gnosis Pay a indiqué avoir envoyé un e-mail à chaque utilisateur concerné avec des détails sur les informations exposées lors de l'incident. La société a également averti que des escrocs pourraient utiliser les informations personnelles volées et les détails d'achats antérieurs pour donner aux messages frauduleux une apparence légitime.

La réponse de Gnosis Pay

Gnosis Pay a déclaré avoir détecté l'intrusion le 3 novembre et avoir commencé à la contenir en moins de deux heures. La société a remplacé les identifiants de sécurité affectés et corrigé la faille ayant permis l'accès non autorisé.

Elle a précisé que les fonds des clients et sa plateforme entreprise distincte n'ont pas été touchés. La plateforme entreprise prend en charge des programmes de cartes exploités par d'autres sociétés qui émettent leurs propres cartes.

Gnosis Pay a été lancé en 2023. Le service permet aux clients de dépenser des stablecoins via des cartes de débit Visa liées à leurs portefeuilles de cryptomonnaies. Selon les données de Paymentscan, le service affiche un volume de paiements annualisé d'environ 67,6 millions de dollars. Les clients conservent leurs fonds dans leurs propres portefeuilles et utilisent les cartes chez les commerçants acceptant Visa. Cette structure maintient les soldes hors des systèmes de la société, bien que l'exploitation des cartes implique toujours les données personnelles exposées par cette violation.

Cette violation est le second incident de sécurité de Gnosis Pay cette année. En juin, un exploit impliquant une faille dans le logiciel de portefeuille avait drainé environ 1,5 million de dollars. Cette attaque différait du dernier incident, qui a exposé des données clients mais n'a pas pris de fonds.

Gnosis a couvert les pertes de l'exploit de juin et restitué les fonds des clients. Elle a ensuite publié un post-mortem expliquant la vulnérabilité. Depuis, Gnosis Pay a rendu obligatoire la vérification 3D Secure pour les paiements en ligne par carte. Ce processus exige que les clients confirment leur identité avant qu'un achat en ligne ne soit finalisé.

La société a également renforcé la surveillance de la fraude sur ses cartes grand public. Ces mesures interviennent avant l'arrêt prévu du système grand public hérité le 20 décembre. Jusqu'à la fermeture du système, Gnosis Pay a averti les utilisateurs que les messages contenant leurs informations personnelles ou d'achat peuvent être frauduleux, même lorsqu'ils semblent authentiques. Le nombre d'utilisateurs concernés reste non divulgué à l'approche de cette date d'arrêt.