Gnosis Pay ha reso noto una violazione dei dati dei clienti il 6 novembre, dopo aver rilevato un accesso non autorizzato al suo sistema legacy di card consumer. L'azienda ha dichiarato che i fondi dei clienti e la sua piattaforma enterprise non sono stati interessati, e che i controlli di pagamento rafforzati resteranno in vigore fino al 20 dicembre. L'annuncio è arrivato poche settimane dopo che Gnosis Pay aveva già comunicato ai clienti la chiusura del servizio di card consumer.

Secondo la dichiarazione pubblica dell'azienda, l'intrusione è stata rilevata il 3 novembre e il personale di sicurezza ha avviato il contenimento entro due ore — tre giorni prima della divulgazione pubblica della violazione. Le credenziali interessate sono state sostituite e la vulnerabilità sfruttata è stata corretta, ha dichiarato l'azienda. Gnosis Pay non ha identificato l'attaccante.

L'azienda ha annunciato l'incidente con un post su X il 6 novembre:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Quali informazioni sono state esposte nella violazione

Gnosis Pay ha dichiarato che la violazione si è verificata nell'infrastruttura alla base del suo programma di card consumer di marca, la linea di business B2C dell'azienda. La separata linea di prodotti enterprise, che Gnosis Pay utilizza per alimentare i programmi di card di altre aziende, non è stata coinvolta.

Ogni persona interessata ha ricevuto il 6 novembre un'e-mail che descriveva le informazioni compromesse dal proprio account. L'avviso pubblico non ha reso noto quante persone sono state interessate né quali categorie di informazioni sono state esposte, e l'azienda non ha fornito una tempistica per la pubblicazione di ulteriori dettagli tecnici. Gnosis Pay ha detto di aver informato i propri partner commerciali, l'emittente della card e le autorità competenti per la protezione dei dati. Ai sensi del Regolamento generale sulla protezione dei dati dell'Unione europea, le organizzazioni devono in genere segnalare le violazioni di dati personali all'autorità di controllo competente entro 72 ore dalla loro scoperta — un requisito che modella la risposta alle violazioni nel settore dei pagamenti europeo.

Come Gnosis Pay ha rafforzato la sicurezza delle card

In risposta all'incidente, l'azienda ha implementato il protocollo 3D Secure, che richiede la verifica dell'identità dell'utente prima del completamento di una transazione. La politica dovrebbe rimanere in vigore fino alla dismissione del sistema legacy consumer.

Le misure hanno suscitato obiezioni da parte di alcuni consumatori dopo la fuga di dati, con utenti che hanno posto domande sulla responsabilità e sulla possibilità di attacchi di phishing tramite e-mail contenenti dati trapelati. Gnosis Pay ha avvertito che tali e-mail possono fare riferimento a dati personali o a transazioni legittime passate. Ha consigliato ai clienti di non cliccare sui link presenti in e-mail, SMS o altre applicazioni di messaggistica, e di accedere al servizio solo tramite l'app web ufficiale o un'app partner.

L'azienda ha dichiarato di non chiedere mai, tramite messaggi, seed phrase, chiavi private, PIN o numeri completi delle card, e ha avvisato gli utenti contro richieste di spostare fondi o ripetere la verifica dell'identità tramite contatti non sollecitati. Queste avvertenze conservano a lungo la loro validità: i dati personali trapelati in una violazione possono riemergere in tentativi di phishing molto tempo dopo l'incidente stesso, e i clienti continueranno a utilizzare l'app web per prelievi, esportazione della cronologia e aggiornamenti dei pagamenti ricorrenti durante tutta la dismissione, le cui finestre di supporto si estendono fino al 2027 e 2028.

Quando chiuderà il servizio di card consumer

La dismissione del programma di card consumer era stata avviata prima che si verificasse la violazione. Con un comunicato formale pubblicato il 21 settembre, Gnosis Pay ha dichiarato che le card fisiche e virtuali di marca avrebbero smesso di autorizzare transazioni dopo le 23:59 UTC dello stesso giorno.

L'app web cesserà di offrire servizi diversi dai prelievi. Gli utenti mantengono la proprietà dei fondi nei propri account Safe self-custodial, che non dipendono più dalla disponibilità del programma di card.

Gli utenti possono facoltativamente aderire a un programma partner per continuare a utilizzare una card, un passo che richiede l'accettazione di nuovi termini. In ogni caso, le esistenti card di marca Gnosis Pay smetteranno di funzionare.

L'avviso invita gli utenti a esportare la cronologia delle transazioni e ad aggiornare le informazioni sui pagamenti ricorrenti. Il supporto generale ai titolari di card terminerà il 18 giugno 2027, mentre l'assistenza per rimborsi e chargeback sarà disponibile fino al 12 giugno 2028.

In cosa la violazione di novembre differisce dall'exploit di giugno

La divulgazione segna il secondo incidente di sicurezza che ha colpito la piattaforma di card quest'anno. A giugno, il sistema card-wallet ha subito un attacco separato. In un post-mortem del 3 luglio, Gnosis Pay ha riconosciuto che una vulnerabilità nei moduli Zodiac aveva permesso agli hacker di estrarre criptovalute per quasi 1,5 milioni di dollari. La falla derivava da una validazione delle firme errata nel software card-safe. L'azienda ha detto di aver assorbito le perdite e di aver ribilanciato i fondi per i clienti.

Mettendo i due incidenti a confronto, emerge un diverso tipo di esposizione: quello di giugno era un exploit on-chain con criptovalute rubate in gioco, mentre quello di novembre riguarda le informazioni dei clienti — spostando le questioni aperte dal recupero degli asset alla protezione dei dati.