Gnosis Payのカード不正アクセス、ウォレットアドレスと個人データが流出し標的型詐欺のリスクが懸念
重要ポイント
- •11月3日、不正な第三者がGnosis Payのコンシューマーカードシステムにアクセスし、顧客の氏名、住所、カード番号、関連する暗号資産ウォレットアドレスが流出した。
- •Gnosis Payは顧客資金の流出はなくエンタープライズプラットフォームにも影響がないと述べたが、影響を受けたユーザー数は依然未公表である。
- •同社は11月3日の検知から2時間以内に侵入を封じ込め、影響を受けたセキュリティ認証情報の交換とアクセスを可能にした脆弱性の修正を行った。
- •ウォレットアドレスが個人の本人情報とともに流出したことで、ブロックして再発行できるカード情報と異なり公開ブロックチェーン上の活動は恒久的に見える状態となるため、長期的な詐欺リスクが生じる。
- •これはGnosis Payにとって今年2件目のセキュリティインシデントであり、約150万ドルが流出した6月のウォレットソフトのエクスプロイトに続くもので、12月20日のレガシーコンシューマーシステム閉鎖前に発生した。
Gnosis Payは11月3日、外部の第三者によるコンシューマーカードシステムへの不正アクセスを受け、顧客の氏名、住所、カード番号、アカウントに連携された暗号資産ウォレットアドレスが流出したと発表した。同社は顧客資金の流出はなかったとしているが、影響を受けたユーザー数は公表していない。
今回のインシデントは、Gnosis Payブランドのカードを提供し12月20日に閉鎖が予定されているレガシーコンシューマーシステムに関するブログ記事で公表された。CoinCentralの報道はこちらから閲覧できる。
流出したデータ
暗号資産ポートフォリオ管理ツールRotkiの創設者Lefteris Karapetsas氏は、Xへの投稿でGnosis Payからのメールを共有した。氏によると、流出した情報には氏名、自宅の完全な住所、カード番号、アカウントに関連するすべてのウォレットアドレスが含まれていたという。
「あなた方はすでに私をユーザーとして失っていたが、少なくとも私のデータは保護できたはずだ」とKarapetsas氏は書いた。この投稿は、今回の流出が顧客の現実世界の本人情報と暗号資産保有を結び付ける可能性があることを示した。
At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026
公開ブロックチェーン上のウォレットアドレスは残高や取引履歴を明らかにしうる。これらが氏名や自宅住所と結び付くと、標的型詐欺のリスクが高まる可能性がある。発行者がブロックして再発行できる決済カード情報とは異なり、公開ウォレットアドレスは恒久的なものであり、アドレスと本人の結び付きを知る者にはオンチェーンでの活動が引き続き誰にでも見える状態となる。
Gnosis Payは、影響を受けた各ユーザーに流出した情報の詳細を記したメールを送信したと説明した。同社はまた、詐欺師が盗まれた個人情報や過去の購入情報を利用し、不正なメッセージを本物に見せかける可能性があると警告した。
Gnosis Payの対応
Gnosis Payは11月3日に侵入を検知し、2時間以内に封じ込めを開始したと述べた。同社は影響を受けたセキュリティ認証情報を交換し、不正アクセスを可能にした脆弱性を修正した。
同社によると、顧客資金と別系統のエンタープライズプラットフォームには影響がないという。このエンタープライズプラットフォームは、独自のカードを発行する他の事業者のカードプログラムを支えている。
Gnosis Payは2023年に公開された。このサービスは、顧客が暗号資産ウォレットに連携したVisaデビットカードでステーブルコインを支出できるようにするものだ。Paymentscanのデータによると、同サービスの年換算決済額は約6,760万ドルである。顧客は資金を自身のウォレットで保有し、Visa加盟店でカードを利用する。この仕組みにより残高は同社のシステム外に置かれるが、カードの運用には今回流出した個人データが依然関わっている。
今回の流出は、Gnosis Payにとって今年2件目のセキュリティインシデントである。6月には、ウォレットソフトの脆弱性を突いたエクスプロイトにより約150万ドルが流出した。この攻撃は、データは流出したものの資金は奪われなかった今回のインシデントとは異なるものだった。
Gnosisは6月のエクスプロイトによる損失を補填し、顧客資金を復旧した。その後、脆弱性を説明するポストモーテムを公開した。以降、Gnosis Payはオンラインカード決済で3Dセキュア認証を必須としている。この認証では、オンライン購入の完了前に顧客に本人確認を求める。
同社はまた、コンシューマーカードの不正検知モニタリングも強化した。これらの対策は、12月20日に予定されているレガシーコンシューマーシステムの閉鎖前に行われたものである。システムが閉鎖されるまでの間、Gnosis Payは、個人情報や購入情報を含むメッセージは本物に見えても不正なものである可能性があるとユーザーに警告している。閉鎖日が近づく中、影響を受けたユーザー数は依然公表されていない。
