Gnosis Pay ha reso noto il 6 novembre che il suo sistema di carte consumer a marchio Gnosis Pay, ormai legacy, ha subito un accesso non autorizzato il 3 novembre, un incidente che ha esposto informazioni personali e i dettagli dei wallet collegati agli account coinvolti. L'azienda ha dichiarato che i fondi dei clienti non sono stati toccati. La comunicazione è apparsa in un post sul blog aziendale, e la società ha ripetuto gli stessi punti in un dichiarazione su X. Quella comunicazione è arrivata tre giorni dopo l'accesso non autorizzato.

Lo stack colpito è la linea di carte direct-to-consumer dell'azienda, il cui arresto è previsto per il 20 dicembre 2026. La sua piattaforma enterprise white-label, su cui girano i programmi di carta dei partner, non è stata interessata. Secondo l'azienda, il contenimento è iniziato entro due ore dal rilevamento, e la società ha sostituito le credenziali di sicurezza compromesse e corretto la vulnerabilità che aveva consentito l'accesso.

Risposta dell'azienda e comunicazioni ai clienti

Fino alla data di dismissione prevista, Gnosis Pay ha dichiarato di aver rafforzato il monitoraggio dell'attività delle carte e dei wallet collegati e di aver reso 3D Secure obbligatorio per tutti i pagamenti online con carta. La società ha dichiarato di aver inviato un'email a ogni cliente coinvolto, con ciascuna comunicazione che elencava i specifici campi dati prelevati da quell'account. Ha inoltre segnalato l'incidente ai partner, all'emittente della carta e alle autorità per la protezione dei dati.

I fondi non sono stati interessati, ha ribadito l'azienda. Sta organizzando un monitoraggio specializzato per un eventuale uso improprio dei dati esfiltrati e si è scusata per l'esposizione delle informazioni personali.

L'esposizione non è stata uniforme tra gli account. Il fondatore di Rotki, Lefteris Karapetsas, ha pubblicato su X i dettagli della comunicazione ricevuta, affermando che l'email indicava il suo indirizzo di casa completo e il nome ed elencava il numero della sua carta e ogni wallet collegato all'account. Mentre la nota pubblica dell'azienda si limitava a "alcune informazioni sui clienti", le email individuali dettagliavano l'inventario completo. Una combinazione di indirizzo di casa, numero di carta e indirizzi di wallet collegati è il tipo di dataset che può supportare phishing mirato, e tentativi di ingegneria sociale possono arrivare molto tempo dopo, mentre i fondi sottostanti restano al loro posto. Il caso illustra anche come un prodotto di pagamento costruito attorno alla self-custody possa comunque generare una traccia identificativa di livello KYC che si affianca agli identificatori on-chain.

Indicazioni per i clienti

Il consiglio dell'azienda ai clienti è diretto: trattare con sospetto email, SMS, chiamate o lettere inattese — comprese quelle che citano Gnosis Pay, un'app partner o la carta — anche quando contengono dati personali reali. Non cliccare i link presenti in tali messaggi. Usare solo l'app web ufficiale o l'app partner. Non condividere mai una seed phrase, chiavi private, PIN o il numero completo della carta. Gnosis Pay afferma che non chiederà mai questi dati, non richiederà mai una "ri-verifica" dell'identità via email o SMS e non chiederà mai ai clienti di spostare fondi attraverso questi canali.

Perché lo stack legacy conta ancora

Il breach ha colpito un sistema di carte a marchio poche settimane prima del previsto arresto, non un archivio remoto. Gli utenti ancora su quel percorso direct-to-consumer portano ora con sé dati identificativi e di collegamento ai wallet leaked nell'ultimo tratto prima del 20 dicembre. La data di dismissione chiude il servizio, non l'esposizione — quanto già esfiltrato resta fuori dal controllo dell'azienda anche dopo tale data. I partner enterprise white-label sono stati risparmiati, il che riduce il raggio d'azione dell'incidente, ma i titolari diretti di carte Gnosis Pay restano esposti.

L'incidente si inserisce in uno schema visto in altri recenti casi di sicurezza crypto in cui gli hot wallet sono risparmiati ma gli utenti subiscono comunque danni: nessun saldo prosciugato, ma abbondanti dati personali utilizzabili. Gli attaccanti che non riescono a spostare fondi possono comunque impersonare il marchio, citare un indirizzo di casa reale o un pattern plausibile di numero di carta, e richiedere un "controllo di sicurezza" che è in realtà un tentativo di raccogliere una seed phrase. Quando uno stack rivolto ai consumatori memorizza dettagli di spedizione e wallet collegati, un breach può comunque causare danni anche quando i saldi non si muovono mai.

Gnosis Pay ha dichiarato che il sistema B2C verrà dismesso il 20 dicembre 2026, e il 3D Secure obbligatorio resta in vigore fino ad allora. Per i titolari di carta coinvolti, il rischio immediato è meno il furto di fondi che i messaggi successivi che potrebbero arrivare spacciandosi per l'azienda. La vigilanza sui contatti in entrata, ha indicato la società, conta quanto la sua garanzia che i saldi non sono stati toccati.

Fonte: Live Bitcoin News