Gnosis Pay ha dichiarato nella sua comunicazione del 6 novembre che i suoi sistemi di monitoraggio hanno rilevato il 3 novembre un accesso non autorizzato al sistema alla base delle proprie card a marchio, con il contenimento avviato entro due ore. La società ha riferito che i fondi dei clienti e la sua piattaforma enterprise non sono stati interessati, ma le notifiche inviate ai clienti coinvolti elencano dati personali che vanno dai numeri di carta agli indirizzi di residenza e ai wallet crypto collegati.

Una violazione all'interno di un prodotto già in dismissione

Il sistema interessato gestisce l'attività consumer di Gnosis Pay: le card di debito Visa vendute sotto il proprio nome ed emesse da Monavate, una società di e-money autorizzata dalla Financial Conduct Authority del Regno Unito. La società aveva già programmato la dismissione di quel sistema per il 20 dicembre. Sta migrando verso la sua piattaforma enterprise, che gestisce programmi di card white-label per altre imprese e, secondo Gnosis Pay, non è stata interessata.

Gnosis Pay dichiara di aver sostituito le credenziali compromesse, corretto la vulnerabilità e inviato via email a ogni cliente interessato l'elenco esatto di ciò che è stato prelevato dal proprio account.

Si tratta del secondo incidente di sicurezza per il prodotto card quest'anno. A giugno, attaccanti hanno sfruttato una falla nei moduli software dei wallet utilizzati dagli account Gnosis Pay sottraendo circa 1,5 milioni di dollari. Gnosis ha assorbito le perdite e ripristinato i fondi degli utenti, come indicato nel suo post-mortem. I due incidenti sono di natura diversa: gli attaccanti di giugno hanno colpito direttamente i fondi, mentre l'intrusione di novembre ha mirato ai dati degli account.

Una delle notifiche di novembre è stata resa pubblica. Lefteris Karapetsas, fondatore del portfolio tracker Rotki, ha condiviso la sua email su X. CoinDesk ha riferito che essa elencava il suo nome, l'indirizzo di residenza completo, il numero di carta e ogni indirizzo di wallet collegato al suo account. Ha dichiarato alla società che avrebbe "almeno potuto proteggere i miei dati". Le email di altri clienti potrebbero elencare campi diversi, quindi ciascuna notifica personale, non la dichiarazione pubblica, indica cosa occorre fare.

Il problema del numero di carta termina il 20 dicembre

Un numero di carta divulgato crea un rischio immediato: acquisti online effettuati con i soli dati della carta. La principale contromisura di Gnosis Punta esattamente su questo. La società ha reso obbligatorio 3D Secure, la verifica che Visa commercializza come Visa Secure, per tutti i pagamenti online con carta. Ciò consente all'emittente di richiedere l'approvazione del titolare prima che un acquisto venga completato. Gnosis Pay ha inoltre intensificato il monitoraggio antifrode sull'attività di carte e wallet.

La società dichiara che entrambe le misure resteranno in vigore fino alla chiusura del sistema consumer. Dopo il 20 dicembre, un numero divulgato apparterrà a una carta non più funzionante, quindi questa parte dell'esposizione ha una data di scadenza fissa.

Il collegamento al wallet non ha data di scadenza

Il resto dei dati divulgati non scade con la carta. Un indirizzo di wallet è pubblico per natura: chiunque può aprire un block explorer e vedere il saldo e la cronologia completa delle transazioni. Ciò che a un indirizzo manca normalmente è un nome. Un record che lo abbina all'identità di una persona e al suo indirizzo di residenza fornisce quel pezzo mancante, e l'abbinamento resta valido finché il wallet è in uso. Questo abbinamento è insito nei programmi di carta regolamentati, che devono verificare l'identità del cliente prima di emettere una carta.

Questo non mette i fondi alla portata di chi detiene i dati. Le linee guida di supporto di Gnosis Pay dichiarano che la società non ha mai detenuto le chiavi dei clienti, quindi il sistema compromesso non poteva contenerle, e nessuno può spendere da un indirizzo semplicemente conoscendolo.

Ciò che il record offre a un attaccante è il targeting: chi avvicinare, dove vive e cosa sembra detenere. Anche la comunicazione della società punta nella stessa direzione, invitando i clienti a fare attenzione con chi condividono il proprio indirizzo o le proprie disponibilità, online e offline.

Il crypto ha un precedente su quanto a lungo questo tipo di dati resta utile. A dicembre 2020, un database rubato al produttore di hardware wallet Ledger è stato rilasciato online. La società ha confermato che conteneva circa 272.000 record di clienti con nomi, indirizzi postali e numeri di telefono. Il racconto di Ledger descrive mesi di campagne di phishing seguite, e City AM ha riferito che alcuni clienti sono stati minacciati di visite a domicilio se non avessero pagato.

L'elenco di Ledger mostrava solo che qualcuno aveva acquistato un hardware wallet. La notifica di Karapetsas, così come condivisa, va oltre: lega una persona nominata a indirizzi specifici i cui saldi chiunque può verificare.

L'esposizione ha dei limiti. Per i clienti che tenevano solo denaro di spesa nel wallet della carta, il saldo visibile può essere ridotto. Questa protezione vale solo finché i wallet restano separati. I trasferimenti in entrata e in uscita da un wallet della carta sono registrati onchain e possono portare a indirizzi più grandi, e la notifica pubblicata elencava ogni indirizzo collegato, non uno soltanto.

Come potrebbe apparire un falso convincente

I dati divulgati indeboliscono i controlli che le persone di solito applicano a un messaggio sospetto. Il National Cyber Security Centre del Regno Unito avverte che i criminali usano informazioni rubate per rendere il phishing credibile. Avverte inoltre che la pubblicità around una violazione consente loro di avvicinare persone i cui dati non sono mai stati prelevati.

La dismissione offre ai truffatori uno script già pronto. La pagina di assistenza per le card di Gnosis Pay mette già in guardia contro falsi siti di "migrazione del tuo account Gnosis Pay", false offerte di partner e sconosciuti che offrono aiuto per spostare fondi. Un messaggio che citi un acquisto reale, un indirizzo di residenza reale e la vera data del 20 dicembre potrebbe sembrare una normale pratica amministrativa dell'account. La settimana scorsa, una tattica simile ha collocato una falsa app di airdrop nello slot in evidenza dello store di Solana Mobile, dove chiedeva agli utenti le frasi di recupero.

Le dichiarazioni di Gnosis Pay forniscono ai clienti controlli precisi da applicare. La società dichiara che né essa né le app partner chiederanno una seed phrase, chiavi private, PIN o il numero completo della carta, né chiederanno ai clienti di riverificare la propria identità via email o SMS. Dichiara inoltre di non richiedere trasferimenti di fondi via email, SMS o telefono. Le stesse linee guida di supporto indicano che non esiste una scadenza per il prelievo dei fondi in self-custody. Qualsiasi messaggio che leghi un trasferimento al 20 dicembre è quindi falsamente strutturato.

Se una notifica di violazione è arrivata nella tua casella email

Leggi la tua notifica tramite un canale ufficiale. Apri direttamente la web app di Gnosis Pay o la tua app partner, mai tramite un link in un messaggio, e verifica quali campi elenca la tua email. Gnosis Pay dichiara di aver raccomandato azioni aggiuntive in base ai dati persi da ciascun account. Le app partner ufficiali sono elencate nel suo Partner Marketplace.

Blocca la carta se il suo numero era elencato. Il blocco è immediato e reversibile dall'app. Segnalare la carta come perduta o rubata la annulla in modo permanente, e i rimpiazzi possono essere ordinati solo fino al 20 dicembre. Una carta virtuale può essere aggiunta istantaneamente nella web app per chi ha ancora bisogno di spendere.

Verifica ogni pagamento recente. Le transazioni non riconosciute possono essere contestate. Gnosis Pay dichiara che continuerà a gestire contestazioni e chargeback fino al 24 maggio 2028, molto dopo che le card avranno smesso di funzionare.

Inizia nuove disponibilità su un nuovo indirizzo. I fondi ricevuti su un indirizzo mai comparso in un record di Gnosis Pay non sono collegati alla violazione. Configuralo nella tua app wallet, di tua iniziativa. Spostare fondi direttamente da un indirizzo collegato lascia una traccia onchain, quindi questo restringe il collegamento senza cancellarlo.

Richiedi il tuo record completo. Gnosis Pay è una società registrata nel Regno Unito, e la legge britannica sulla protezione dei dati dà agli individui diritto a una copia dei dati personali che una società detiene su di loro. Le organizzazioni devono in genere rispondere a tali richieste entro un mese, e la copia mostra esattamente cosa era in archivio.

Ciò che Gnosis Pay non ha ancora detto

Gnosis Pay non ha divulgato tre cose:

• quanti clienti sono stati coinvolti;
• quando è iniziata l'intrusione, dato che il 3 novembre è solo la data in cui è stata rilevata;
• se i dati esposti delle carte includevano date di scadenza o codici di sicurezza, il che determina quanto saranno utilizzabili i numeri divulgati prima del 20 dicembre.

La società dichiara di essere in contatto con le autorità per la protezione dei dati e con il suo emittente di carte, e di aver predisposto un monitoraggio specializzato per segni di uso improprio dei dati rubati. Le regole britanniche sulla protezione dei dati richiedono alle organizzazioni di notificare all'Information Commissioner's Office, il regolatore nazionale della protezione dei dati, una violazione di dati personali qualificata entro 72 ore dal momento in cui ne vengono a conoscenza. Un riscontro da quel monitoraggio, o una dichiarazione di un regolatore, sarebbe la prima conferma pubblica che i dati sono passati dal server compromesso a truffe attive. Segnalazioni di false offerte di migrazione che citano dati reali di clienti prima della chiusura del 20 dicembre punterebbero nella stessa direzione.