Gnosis Pay a révélé vendredi 6 novembre que des attaquants avaient accédé aux données personnelles de clients via l'ancien système qui alimentait ses cartes grand public. Dans un communiqué officiel, l'entreprise a déclaré que ni les fonds des clients ni sa plateforme professionnelle n'avaient été touchés. Cette annonce intervient dans un contexte de baisse des dépenses sur les cartes Gnosis Pay, alors même que le marché dans son ensemble continue de croître.

Ce que Gnosis Pay dit s'être passé

Selon l'entreprise, son système de surveillance a détecté un accès non autorisé le 3 novembre et a lancé un processus de confinement deux heures plus tard. Gnosis Pay a remplacé les identifiants compromis, corrigé la vulnérabilité et rendu obligatoire le service 3D Secure — l'étape d'authentification supplémentaire pour les paiements en ligne par carte — pour tous les clients jusqu'à la mise hors service du système.

Les clients dont les comptes ont été affectés ont reçu des courriels contenant des informations précises sur les données compromises les concernant. Gnosis Pay a également informé ses partenaires, contacté l'émetteur concerné et signalé la violation aux autorités de protection des données. Le communiqué de l'entreprise identifie Monavate Ltd et UAB Monavate comme les émetteurs régionaux.

Deux questions demeurent sans réponse : le nombre de clients affectés et les types exacts de données personnelles exposées. Gnosis Pay n'a pas encore précisé si le volume d'informations divulguées différait d'un client à l'autre. L'entreprise a également indiqué que les fonds des clients et la plateforme de cartes qu'elle exploite pour d'autres sociétés n'ont pas été touchés, mais aucune confirmation indépendante de ces affirmations n'a été apportée. Ces éléments en attente, ainsi que les éventuelles conclusions des autorités de protection des données notifiées par Gnosis Pay, constituent les principaux développements à suivre à mesure que la gestion de la violation progresse.

Pourquoi l'autodétention n'a pas protégé les données d'identité

L'incident met en lumière une faille des cartes de paiement autodétenues : les clients peuvent contrôler les cryptomonnaies de leurs portefeuilles, mais les sociétés de paiement conservent toujours leurs documents d'identité, adresses et informations bancaires — des données qui peuvent être exposées sans jamais toucher aux fonds. D'autres violations de portefeuilles cryptomonnaies ont révélé des risques similaires, notamment une récente alerte de phishing visant les utilisateurs de Trezor.

Les conséquences possibles sont devenues évidentes lorsque Lefteris Karapetsas, fondateur de Rotki, a déclaré dans une publication sur X que son nom, son adresse de domicile, son numéro de carte et toutes les adresses de portefeuilles liées à son compte avaient été exposés. Son cas ne confirme pas ce qu'il est advenu des autres utilisateurs, et Gnosis Pay n'a pas officiellement confirmé si les adresses électroniques, numéros de téléphone, codes de sécurité des cartes ou coordonnées bancaires avaient également été divulgués.

Le rattachement de l'identité et de l'adresse d'une personne à ses portefeuilles cryptomonnaies crée un autre niveau de risque. Des criminels pourraient utiliser ces informations pour envoyer des messages de phishing convaincants ou identifier des cibles potentielles. Chainalysis a estimé que les attaques violentes contre des détenteurs de cryptomonnaies avaient entraîné plus de 30 millions de dollars de pertes d'ici à la mi-2026, bien qu'aucune preuve ne relie ces attaques à la violation de Gnosis Pay.

Une violation de données, pas l'exploit de juin

La violation de novembre est distincte de l'exploit du contrat intelligent Zodiac qui a touché Gnosis Pay en juin. Des attaquants avaient exploité une vulnérabilité logicielle pour voler environ 1,5 million de dollars, tandis que 300 000 dollars supplémentaires sont devenus inaccessibles. Gnosis avait ensuite couvert les pertes et restauré les fonds des clients, comme l'avait rapporté Cryptopolitan. Gnosis a également publié un post-mortem de l'exploit de la vulnérabilité.

Les deux incidents ont exposé des faiblesses différentes. L'attaque de juin visait le logiciel sécurisant les portefeuilles de cartes, tandis que la violation de novembre a exposé des informations personnelles stockées dans un système plus ancien. Gnosis Pay affirme qu'aucun fonds de client n'a été volé lors du dernier incident.

Une carte en déclin alors que le marché s'élargit

Le système affecté par la violation de novembre était déjà programmé pour être retiré. En septembre, Gnosis Pay avait annoncé dans un avis formel que ses cartes grand public cesseraient de fonctionner à 23 h 59 UTC le 20 décembre. L'application web restera disponible pour les retraits tandis que l'entreprise recentre son activité sur la fourniture de services de cartes à d'autres entreprises. Pour les clients touchés par la violation, ce calendrier signifie que les cartes concernées doivent déjà cesser de fonctionner le 20 décembre, tandis que l'activité de cartes restante de l'entreprise fonctionne sur la plateforme qu'elle dit avoir été épargnée.

L'activité grand public de Gnosis Pay perdait également du terrain. Ses dépenses par carte en octobre sont passées de 12,05 millions de dollars en 2025 à environ 6,1 millions de dollars en 2026, soit une baisse de près de 50 %.

Le marché dans son ensemble a évolué dans le sens inverse. Les dépenses suivies par carte cryptomonnaie ont presque triplé, passant de 464 millions de dollars à 1,37 milliard de dollars sur la même période. Parallèlement, Visa a indiqué compter plus de 160 programmes de cartes liés aux stablecoins, avec un volume de paiements en hausse de près de 200 % sur un an — une expansion également couverte par Cryptopolitan.

Comme le déclin des dépenses de Gnosis Pay a commencé avant la violation de novembre, les chiffres ne permettent pas d'établir si l'incident a affecté l'activité des clients. Son impact à plus long terme sur la réputation et l'activité de l'entreprise reste incertain.