Gnosis Pay a révélé le 6 novembre que son ancien système de cartes grand public de marque Gnosis Pay avait subi un accès non autorisé le 3 novembre, un incident qui a exposé des informations personnelles et les détails des portefeuilles liés aux comptes concernés. La société a indiqué que les fonds des clients n'avaient pas été touchés. La révélation a été publiée dans un article de blog de la société, et l'entreprise a répété les mêmes points dans une déclaration sur X. Cette révélation est survenue trois jours après l'accès non autorisé lui-même.

Le système affecté est la gamme de cartes direct-to-consumer de la société, dont la fermeture est prévue le 20 décembre 2026. Sa plateforme enterprise white-label, sur laquelle fonctionnent les programmes de cartes partenaires, n'a pas été affectée. Le confinement a commencé dans les deux heures suivant la détection, selon la société, qui a indiqué avoir remplacé les identifiants de sécurité concernés et corrigé la faille ayant permis l'accès.

Réponse de la société et notifications aux clients

Jusqu'à la date de retrait prévue, Gnosis Pay a déclaré avoir renforcé la surveillance de l'activité des cartes et des portefeuilles liés et avoir rendu 3D Secure obligatoire pour tous les paiements de cartes en ligne. La société a indiqué avoir envoyé un e-mail à chaque client concerné, chaque notification listant les champs de données spécifiques extraits de ce compte. Elle a également signalé l'incident aux partenaires, à l'émetteur de la carte et aux autorités de protection des données.

Les fonds n'ont pas été affectés, a réitéré la société. Elle organise une surveillance spécialisée contre l'éventuelle utilisation abusive des données divulguées et s'est excusée pour l'exposition des informations personnelles.

L'exposition n'était pas uniforme d'un compte à l'autre. Le fondateur de Rotki, Lefteris Karapetsas, a publié les détails de sa notification sur X, indiquant que l'e-mail mentionnait son adresse domiciliaire complète et son nom, et listait son numéro de carte ainsi que tous les portefeuilles liés au compte. Alors que la note publique de la société se limitait à « certaines informations clients », les e-mails individuels détaillaient l'inventaire complet. La combinaison d'une adresse domiciliaire, d'un numéro de carte et d'adresses de portefeuilles liées constitue le type de données pouvant alimenter du phishing ciblé, et des tentatives d'ingénierie sociale peuvent suivre bien après que les fonds sous-jacents sont restés en place. Cette affaire illustre également comment un produit de paiement construit autour du self-custody peut tout de même générer une trace d'identité de niveau KYC qui s'ajoute aux identifiants on-chain.

Conseils aux clients

Les conseils de la société aux clients sont directs : considérer comme suspects les e-mails, SMS, appels ou courriers inattendus — y compris ceux mentionnant Gnosis Pay, une application partenaire ou la carte — même lorsqu'ils contiennent de vraies données personnelles. Ne pas cliquer sur les liens de tels messages. Utiliser uniquement l'application web officielle ou l'application partenaire. Ne jamais partager de phrase de récupération (seed phrase), de clés privées, de code PIN ou de numéro de carte complet. Gnosis Pay affirme ne jamais demander ces éléments, ne jamais solliciter de « re-vérification » d'identité par e-mail ou SMS, et ne jamais demander aux clients de déplacer des fonds via ces canaux.

Pourquoi l'ancien système reste important

La violation a touché un système de cartes de marque quelques semaines avant sa fermeture programmée, et non une archive lointaine. Les utilisateurs encore sur cette voie direct-to-consumer portent désormais des données d'identité divulguées et des liens de portefeuilles dans la dernière ligne droite avant le 20 décembre. La date de retrait ferme le service, pas l'exposition — ce qui a déjà été divulgué échappe au contrôle de la société après cette date. Les partenaires enterprise white-label ont été épargnés, ce qui réduit le périmètre d'impact, mais les détenteurs directs de cartes Gnosis Pay restent exposés.

L'incident s'inscrit dans un schéma observé dans d'autres récentes affaires de sécurité crypto où les hot wallets sont épargnés alors que les utilisateurs subissent néanmoins des dommages : aucun solde drainé, mais une abondance de données personnelles exploitables. Des attaquants incapables de déplacer des fonds peuvent toujours se faire passer pour la marque, invoquer une véritable adresse domiciliaire ou un schéma de numéro de carte plausible, et demander une « vérification de sécurité » qui est en réalité une tentative de récupération d'une phrase de récupération. Lorsqu'un système destiné aux consommateurs stocke des détails d'expédition et des portefeuilles liés, une violation peut continuer à causer des dommages même lorsque les soldes ne bougent jamais.

Gnosis Pay a indiqué que le système B2C sera retiré le 20 décembre 2026, et que 3D Secure obligatoire reste en vigueur jusque-là. Pour les détenteurs de cartes concernés, le risque immédiat réside moins dans le vol de fonds que dans les messages de suivi qui peuvent arriver en se réclamant de la société. La vigilance face aux contacts entrants, a indiqué la société, compte autant que son assurance que les soldes n'ont pas été touchés.

Source : Live Bitcoin News