Gnosis Pay a confirmé une violation de sécurité ayant exposé des informations sensibles de clients, notamment des numéros de carte de paiement complets, des codes de sécurité, des adresses de domicile et des détails de portefeuilles de cryptomonnaies, suscitant des inquiétudes concernant le vol d'identité et les attaques ciblées contre les détenteurs de cryptomonnaies.

L'entreprise a détecté un accès non autorisé à son infrastructure historique de cartes grand public le 3 novembre et a divulgué l'incident le 6 novembre dans un article officiel de blog. Son équipe de sécurité a entamé le confinement en moins de deux heures, remplaçant ensuite les identifiants compromis et corrigeant la vulnérabilité.

Gnosis Pay a indiqué que les fonds des clients n'étaient pas affectés et que son infrastructure entreprise, qui alimente des programmes de cartes en marque blanche pour d'autres sociétés, n'avait pas été compromise. Le nombre de clients touchés et la méthode utilisée pour accéder à leurs informations n'ont pas été divulgués.

Numéros de carte, adresses de domicile et détails de portefeuille exposés

Les notifications envoyées aux clients ont identifié un large éventail d'informations compromises, notamment des noms complets, des adresses e-mail, des numéros de téléphone, des nationalités, des adresses de domicile et des adresses de portefeuilles de cryptomonnaies associées aux comptes Gnosis Pay. Plus préoccupant encore, les enregistrements exposés comprenaient des numéros de carte de paiement complets, des dates d'expiration et des codes de sécurité CVV. Un numéro de carte, une date d'expiration et un code CVV suffisent généralement ensemble pour effectuer un paiement en ligne, ce qui fait de cette combinaison l'une des données les plus directement exploitables de cette exposition. Certains clients ont également vu leurs informations bancaires compromises, notamment leurs détails IBAN et BIC.

Les documents d'identité et les dates de naissance ne faisaient pas partie des informations exposées.

Le fondateur de Rotki, Lefteris Karapetsas, figurait parmi ceux qui ont publiquement remis en question la gestion par l'entreprise des données sensibles de ses clients. Karapetsas a révélé que son adresse de domicile, son nom complet, son numéro de carte de paiement et ses adresses de portefeuilles associées avaient été exposés, exprimant sa frustration de voir l'entreprise avoir échoué à protéger ses informations.

"Extrêmement déçu. Vous m'aviez déjà perdu en tant qu'utilisateur, mais vous auriez au moins pu protéger mes données," a-t-il écrit sur X.

La combinaison d'adresses physiques et d'identifiants de portefeuilles blockchain présente des risques particuliers en matière de confidentialité. Des attaquants pourraient potentiellement associer des personnes identifiables à leurs avoirs en cryptomonnaies, facilitant le phishing ciblé, l'usurpation d'identité ou des menaces physiques. Contrairement aux identifiants de carte volés, qui peuvent être annulés et remplacés, les informations de domicile exposées et les adresses blockchain historiques ne peuvent pas être facilement modifiées ou effacées.

Gnosis Pay annule les cartes et rend 3D Secure obligatoire

Gnosis Pay a annulé les cartes compromises et introduit l'authentification 3D Secure obligatoire pour les paiements en ligne, ajoutant une exigence de vérification supplémentaire avant que les transactions puissent être finalisées. L'entreprise a également renforcé la surveillance de l'activité des cartes et des portefeuilles connectés, a informé individuellement les clients concernés et a signalé la violation à son émetteur de cartes, à ses partenaires commerciaux et aux autorités compétentes en matière de protection des données. Une surveillance supplémentaire est en cours de mise en place pour détecter une éventuelle utilisation frauduleuse des informations compromises.

La plateforme grand public concernée était déjà programmée pour être retirée le 20 décembre 2026, suite à la décision de Gnosis Pay de se concentrer sur l'infrastructure de cartes pour entreprises, comme indiqué dans un avis de fermeture officiel. Le calendrier de fermeture existant reste inchangé, les mesures de sécurité supplémentaires devant rester en place jusqu'à cette date.

Exploitation antérieure et contexte sectoriel

L'incident fait suite à une exploitation distincte en juin impliquant le Zodiac Delay Module de Gnosis Pay, qui avait entraîné le vol d'environ 1,5 million de dollars avant que Gnosis ne rembourse les clients concernés. Aucun lien entre les deux incidents n'a été établi.

Cette violation survient également peu après la divulgation par Chainalysis d'un accès non autorisé à des informations clients et alors que 12 sites web de cryptomonnaies ont été ciblés par des attaques StepDrainer. Prises ensemble, cette série récente d'incidents couvre à la fois des expositions de données côté services et des campagnes d'attaques visant les utilisateurs, plaçant la violation de Gnosis Pay dans une période plus large d'événements de sécurité dans le secteur des cryptomonnaies.

Gnosis Pay a exhorté les clients à se méfier des e-mails, appels et SMS inattendus demandant une vérification de compte ou des transferts de cryptomonnaies, même lorsque ces communications contiennent des informations personnelles authentiques. L'entreprise maintient que les clés de portefeuille et les fonds des clients n'ont pas été compromis, mais l'exposition d'informations financières et d'identification laisse les utilisateurs concernés exposés à des risques de fraude et d'atteinte à la confidentialité au-delà de la fermeture de décembre. L'ampleur de la violation et la méthode d'accès restent non divulguées, et alors que la surveillance de détection d'utilisation frauduleuse est encore en cours de mise en place, ces points en suspens sont les détails clés à suivre dans la période précédant le retrait de la plateforme.

Source : Crypto Adventure