暗号資産カード大手Gnosis Pay、ハッカーによる顧客データへの不正アクセスを発表
重要ポイント
- •Gnosis Payは、コンシューマーカードシステムへの不正アクセスにより一部の顧客情報が漏洩したと報告したが、顧客資金には影響がなかった。
- •同社は11月3日に侵入を検知し、2時間以内に封じ込めを開始。その後、漏洩したセキュリティ認証情報を交換し、脆弱性を修正した。
- •すでに12月20日の廃止が予定されていた直接販売型カードプラットフォームのみが被害を受け、企業向けホワイトラベルプラットフォームは影響を受けていない。
- •Gnosis Payはパートナー、カード発行会社、データ保護当局に漏洩を報告し、オンライン決済で3D Secureを必須化するとともに、カード利用状況と連携ウォレットの監視を強化した。
- •今回の公表は、史上最高額の64億ドルのBinanceハッキング、分析ベンダーAmplitudeの漏洩によるCoinbase顧客データへの影響、Ledgerデバイスに関わる疑いのある8,700万ドルの流出など、最近の暗号資産業界のセキュリティ事故の一連の流れに続くものである。
暗号資産決済カードを提供するGnosis Payは金曜日、同社ブランドのカードを支えるシステムを通じてハッカーが顧客情報にアクセスしたと発表した。これは、暗号資産業界で相次ぐ一連のセキュリティ事故の最新の事例である。
Gnosis Payは、ユーザーが自身のウォレットからステーブルコインやその他のトークンを世界中の加盟店で支払うことを可能にする、セルフカストディ型の暗号資産決済カードを提供している。
同社の監視システムは11月3日に不正アクセスを検知し、2時間以内に封じ込め作業を開始したと、Gnosis Payはブログ記事で説明した。その後、漏洩したセキュリティ認証情報を交換し、脆弱性を修正したという。顧客の資金には影響がなかったと同社は述べている。
今回の漏洩は、すでに12月20日の廃止が予定されていたGnosis Payのコンシューマー事業に限定されたものだった。影響を受けたシステムは、同社の直接販売型カードラインである「Gnosis Pay」ブランドのカードを支えていた。一方、フィンテック企業、ウォレット、ネオバンク向けのホワイトラベルカードプログラムを支える企業向けプラットフォームは影響を受けていない。この一件は、セルフカストディ型商品の微妙な側面を浮き彫りにしている。たとえユーザーが資金の管理権を保持していても、サービス提供者が保有する個人情報は依然として漏洩しうるのだ。
Gnosis Payは、影響を受けた顧客の数や漏洩した具体的なデータの内容は明らかにしていないが、影響を受けた顧客全員に、アカウントから取得された情報の詳細を記したメールを送信したと述べている。
「資金には影響がなかったものの、個人情報のセキュリティは同様に重要であり、私たちはその責任を全面的に負う」と同社はXに投稿した。
We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…
— Gnosis Pay 💳 (@gnosispay) November 6, 2026
この事件への対応として、Gnosis Payはカードの利用状況および連携ウォレットの不正利用の兆候に対する監視を強化したと述べている。また、オンライン購入時の追加認証手順である3D Secureを、12月20日のコンシューマー向けプラットフォーム廃止までの間、すべてのオンラインカード決済で必須とした。
同社は、この漏洩をパートナー、カード発行会社およびデータ保護当局に報告しており、漏洩データが悪用される兆候を検知するための専門的な監視の手配を進めている。予定されている12月20日の対象プラットフォームの廃止と、継続中の監視は、注視すべき重要な動向となる。
Gnosis Payは、カードに関する予期しないメッセージには警戒するよう顧客に呼びかけた。実際の個人情報や過去の購入履歴に触れるものも含まれる。このような注意喚起は、データ漏洩後の標準的なガイダンスである。犯罪者が盗み出した個人情報を利用して、不正なメッセージを本物らしく見せることが多いためだ。同社は、シードフレーズ、PIN、完全なカード番号を求めることは決してなく、資金の移動を依頼することもないと述べた。また、住所や暗号資産保有状況の詳細を、オンライン・オフラインを問わず共有しないよう顧客に注意を促した。
この最後の警告は、拡大しつつある脅威を反映している。ブロックチェーン分析企業Chainalysisによると、暗号資産保有者に対する「レンチ攻撃」と呼ばれる物理的な襲撃には、強盗や誘拐が含まれ、2026年上半期に3,000万ドル超が奪われた実績もあり、記録的な年になるペースで推移していた。
今回の公表は、暗号資産セクターで最近発生した他のいくつかの漏洩事例に続くものである。史上最大となる暗号資産取引所バイナンス(Binance)の64億ドルのハッキング被害に加え、競合の取引プラットフォームCoinbaseは先週、分析ベンダーAmplitudeでの漏洩により一部の顧客連絡先データが流出したと発表した。
先月、ハードウェアウォレットメーカーのLedgerは、疑われている8,700万ドルの流出に関して確認済みのすべての事例が、東南アジアの販売代理店CryptoBilisから購入されたデバイスに起因すると述べ、最近購入したユーザーに対し資金を新しいデバイスに移すよう呼びかけた。
