Gnosis Pay ha dichiarato che un soggetto esterno ha ottenuto l'accesso non autorizzato al proprio sistema di carte consumer il 3 novembre, esponendo nomi dei clienti, indirizzi di residenza, numeri di carta e indirizzi dei wallet di criptovalute collegati ai loro account. La società ha affermato che nessun fondo dei clienti è stato sottratto, ma non ha reso noto quanti utenti siano stati coinvolti.

L'episodio è stato reso noto in un post sul blog relativo al sistema consumer legacy di Gnosis Pay, che supporta le carte a marchio Gnosis Pay ed è programmato per lo spegnimento il 20 dicembre. Il report di CoinCentral è disponibile qui.

Dati esposti nel breach

Lefteris Karapetsas, fondatore del tracker di portafogli crypto Rotki, ha condiviso su X una e-mail di Gnosis Pay. Ha dichiarato che le informazioni esposte includevano il suo nome, l'indirizzo di residenza completo, il numero di carta e ogni indirizzo wallet associato al suo account.

"Avevate già perso me come utente, ma avreste almeno potuto proteggere i miei dati", ha scritto Karapetsas. Il suo post ha illustrato come il breach possa collegare l'identità nel mondo reale di un cliente alle sue disponibilità in criptovalute.

At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026

Gli indirizzi dei wallet su blockchain pubbliche possono rivelare saldi e cronologie delle transazioni. Quando vengono collegati al nome e all'indirizzo di residenza di una persona, tali informazioni possono aumentare il rischio di truffe mirate. A differenza dei dati delle carte di pagamento, che un emittente può bloccare e riemettere, un indirizzo wallet pubblico è permanente, e la sua attività on-chain rimane visibile a chiunque conosca il collegamento tra l'indirizzo e un'identità.

Gnosis Pay ha dichiarato di aver inviato a ogni utente interessato una e-mail con i dettagli sulle informazioni esposte nell'episodio. La società ha inoltre avvertito che i truffatori potrebbero utilizzare le informazioni personali rubate e i dettagli di acquisti passati per far apparire legittimi messaggi fraudolenti.

La risposta di Gnosis Pay

Gnosis Pay ha dichiarato di aver rilevato l'intrusione il 3 novembre e di aver iniziato a contenerla entro due ore. La società ha sostituito le credenziali di sicurezza interessate e ha corretto la vulnerabilità che aveva consentito l'accesso non autorizzato.

Ha affermato che i fondi dei clienti e la sua piattaforma enterprise separata non sono stati toccati. La piattaforma enterprise supporta programmi di carte gestiti da altre aziende che emettono le proprie carte.

Gnosis Pay è stato presentato nel 2023. Il servizio consente ai clienti di spendere stablecoin tramite carte debito Visa collegate ai loro wallet di criptovalute. Secondo i dati di Paymentsscan, il servizio ha un volume di pagamenti annualizzato di circa 67,6 milioni di dollari. I clienti conservano i propri fondi nei loro wallet e utilizzano le carte presso esercenzio che accettano Visa. Questa struttura mantiene i saldi al di fuori dei sistemi della società, sebbene la gestione delle carte coinvolga comunque i dati personali esposti da questo breach.

Il breach è il secondo episodio di sicurezza dell'anno per Gnosis Pay. A giugno, un exploit legato a una vulnerabilità nel software del wallet ha drenato circa 1,5 milioni di dollari. Quell'attacco era diverso dall'ultimo episodio, che ha esposto dati dei clienti ma non ha sottratto fondi.

Gnosis ha coperto le perdite dell'exploit di giugno e ha ripristinato i fondi dei clienti. Successivamente ha pubblicato una post-mortem che spiegava la vulnerabilità. Da allora, Gnosis Pay ha reso obbligatoria la verifica 3D Secure per i pagamenti online con carta. Il processo richiede ai clienti di confermare la propria identità prima del completamento di un acquisto online.

La società ha inoltre rafforzato il monitoraggio antifrode per le sue carte consumer. Tali misure precedono lo spegnimento programmato del sistema consumer legacy il 20 dicembre. Fino alla chiusura del sistema, Gnosis Pay ha avvertito gli utenti che i messaggi contenenti le loro informazioni personali o di acquisto potrebbero essere fraudolenti, anche quando appaiono autentici. Il numero di utenti coinvolti resta non divulgato in vista di tale data di disattivazione.