Gnosis Pay ha reso noto venerdì 6 novembre che degli aggressori hanno avuto accesso ai dati personali dei clienti tramite il sistema legacy che alimentava le sue card per consumatori. In una dichiarazione ufficiale, l'azienda ha dichiarato che né i fondi dei clienti né la sua piattaforma business sono stati interessati. La comunicazione arriva in un contesto di calo della spesa sulle card Gnosis Pay, mentre il mercato più ampio continua a crescere.

Cosa dice Gnosis Pay accaduto

Secondo l'azienda, il suo sistema di monitoraggio ha rilevato un accesso non autorizzato il 3 novembre e ha avviato un processo di contenimento due ore dopo. Gnosis Pay ha sostituito le credenziali compromesse, corretto la vulnerabilità e reso obbligatorio per tutti i clienti il servizio 3D Secure — il passaggio di autenticazione aggiuntivo per i pagamenti online con carta — fino allo spegnimento del sistema.

I clienti i cui account sono stati interessati hanno ricevuto email con informazioni specifiche su quali dei loro dati erano stati compromessi. Gnosis Pay ha inoltre informato i suoi partner, contattato l'emittente competente e segnalato la violazione alle autorità per la protezione dei dati. La dichiarazione dell'azienda identifica Monavate Ltd e UAB Monavate come emittenti regionali.

Due domande restano senza risposta: il numero di clienti interessati e i tipi esatti di dati personali esposti. Gnosis Pay deve ancora chiarire se il volume di informazioni trapelate fosse diverso da cliente a cliente. Ha inoltre dichiarato che i fondi dei clienti e la piattaforma card che gestisce per altre aziende non sono stati interessati, anche se non esiste una conferma indipendente di queste affermazioni. Questi dettagli ancora mancanti, insieme a eventuali riscontri delle autorità per la protezione dei dati informate da Gnosis Pay, sono i principali sviluppi da seguire mentre la gestione della violazione prosegue.

Perché il self-custody non ha protetto i dati identificativi

L'incidente evidenzia un punto debole delle card di pagamento self-custodial: i clienti possono controllare la criptovaluta nei propri wallet, ma le società di pagamento conservano comunque i loro documenti di identità, gli indirizzi e le informazioni bancarie — dati che possono essere esposti senza toccare mai i fondi. Altre violazioni di wallet di criptovalute hanno mostrato rischi simili, tra cui un recente allerta phishing che riguarda gli utenti Trezor.

Le possibili conseguenze sono divenute evidenti quando Lefteris Karapetsas, fondatore di Rotki, ha dichiarato in un post su X che il suo nome, l'indirizzo di casa, il numero di carta e ogni indirizzo wallet collegato al suo account erano stati esposti. Il suo caso non conferma quanto accaduto agli altri utenti, e Gnosis Pay non ha confermato ufficialmente se anche indirizzi email, numeri di telefono, codici di sicurezza delle carte e dettagli bancari siano stati trapelati.

Collegare l'identità e l'indirizzo di casa di una persona ai suoi wallet di criptovalute crea un ulteriore livello di rischio. I criminali potrebbero usare tali informazioni per inviare messaggi di phishing convincenti o identificare potenziali bersagli. Chainalysis ha stimato che gli attacchi violenti contro i detentori di criptovalute abbiano causato perdite per oltre 30 milioni di dollari a metà 2026, anche se non vi è evidenza che colleghi tali attacchi alla violazione di Gnosis Pay.

Una violazione dei dati, non l'exploit di giugno

La violazione di novembre è distinta dall'exploit dello smart contract Zodiac che ha colpito Gnosis Pay a giugno. Gli aggressori hanno sfruttato una vulnerabilità software per sottrarre circa 1,5 milioni di dollari, mentre altri 300.000 dollari sono divenuti inaccessibili. Gnosis ha in seguito coperto le perdite e ripristinato i fondi dei clienti, come riportato da Cryptopolitan. Gnosis ha inoltre pubblicato una analisi post-mortem dell'exploit della vulnerabilità.

I due incidenti hanno esposto debolezze diverse. L'attacco di giugno aveva preso di mira il software che protegge i wallet delle card, mentre la violazione di novembre ha esposto dati personali conservati in un sistema più datato. Gnosis Pay dichiara che nell'ultimo incidente nessun fondo dei clienti è stato sottratto.

Una card in contrazione mentre il mercato si espande

Il sistema interessato dalla violazione di novembre era già destinato al ritiro. A settembre, Gnosis Pay ha annunciato in un avviso formale che le sue card per consumatori avrebbero smesso di funzionare alle 23:59 UTC del 20 dicembre. La web app rimarrà disponibile per i prelievi mentre l'azienda sposta il proprio focus sui servizi card per altre aziende. Per i clienti coinvolti nella violazione, questo calendario significa che le card interessate sono già destinate a andare offline il 20 dicembre, mentre l'attività card residua dell'azienda si basa sulla piattaforma che, secondo l'azienda stessa, non è stata compromessa.

Anche l'attività per consumatori di Gnosis Pay stava perdendo terreno. La spesa con card di ottobre è scesa da 12,05 milioni di dollari nel 2025 a circa 6,1 milioni di dollari nel 2026, un calo di quasi il 50%.

Il mercato più ampio si è mosso nella direzione opposta. La spesa tracciata con crypto-card è quasi triplicata nello stesso periodo, da 464 milioni a 1,37 miliardi di dollari. Nel frattempo, Visa ha riportato oltre 160 programmi di card collegate alle stablecoin, con un volume di pagamenti in aumento di quasi il 200% su base annua — un'espansione di cui si è occupata anche Cryptopolitan.

Poiché il calo della spesa di Gnosis Pay è iniziato prima della violazione di novembre, i dati non possono stabilire se l'incidente abbia influito sull'attività dei clienti. Il suo impatto a lungo termine sulla reputazione e sull'attività dell'azienda resta incerto.