Gnosis Payは11月6日、Gnosis Payブランドの消費者向け旧型カードシステムが11月3日に不正アクセスを受け、個人情報および影響を受けたアカウントに紐づくウォレットの詳細が流出したことを明らかにした。同社によれば、顧客の資金には影響がない。この開示は同社のブログ記事で公表され、Xでの声明でも同様の内容が繰り返された。開示は不正アクセスの3日後のことだった。

影響を受けたシステムは、12月20日に閉鎖予定となっている同社の直接消費者向けカードラインである。パートナーのカードプログラムが稼働する法人向け白ラベルプラットフォームには影響がなかった。同社によると、検知から2時間以内に封じ込めが開始され、影響を受けたセキュリティ認証情報の交換と、不正アクセスを可能にした脆弱性の修正が行われたという。

会社の対応と顧客への通知

予定されている廃止日まで、Gnosis Payはカード取引および連携ウォレットの監視を強化し、すべてのオンラインカード決済で3D Secureを必須にしたと説明している。同社は影響を受けた全顧客にメールを送付し、各通知にはそのアカウントから流出した具体的なデータ項目を記載した。また、パートナー、カード発行会社、データ保護当局にも本件を報告した。

資金には影響がないと同社は繰り返し強調している。流出データの悪用に備えた専門的監視の手配を進めており、個人情報の流出について謝罪した。

情報の流出状況はアカウントごとに一律ではなかった。Rotkiの創設者Lefteris Karapetsasは自身の通知内容をXに投稿し、メールに完全な自宅住所と氏名が記載され、カード番号とアカウントに紐づくすべてのウォレットが列挙されていたと述べた。同社の公表文が「一部の顧客情報」とのみ述べたのに対し、個別のメールではより詳細な項目が明示されていた。自宅住所、カード番号、連携ウォレットアドレスの組み合わせは標的型フィッシングを可能にしうるデータセットであり、資金がそのまま残っている状況でも、ソーシャルエンジニアリングの試みが長期にわたって続く可能性がある。この事例は、セルフカストディを売りにした決済商品であっても、オンチェーン上の識別子と並ぶKYCレベルの個人情報の軌跡を生み出しうることをも示している。

顧客への注意喚起

同社の顧客への助言は明快である。Gnosis Pay、パートナーアプリ、カードに言及したものを含め、身に覚えのないメール、SMS、電話、郵便は、実際の個人情報が含まれていても疑ってかかること。そのようなメッセージ内のリンクはクリックしないこと。公式ウェブアプリまたはパートナーアプリのみを使用すること。シードフレーズ、秘密鍵、PIN、カード番号の全体を決して共有しないこと。Gnosis Payは、これらを求めることは決してなく、メールやSMSでの本人確認「再認証」を求めることも、これらのチャネルを通じた資金移動を求めることもないとしている。

旧型システムが依然として重要である理由

今回の漏洩は、 plannedな閉鎖を数週間後に控えたブランドカードシステムを襲ったものであり、遠い過去のアーカイブではない。依然としてこの直接消費者向け経路を利用するユーザーは、流出した個人情報とウォレットの紐づけデータを抱えたまま12月20日までの最終期間を過ごすことになる。廃止日はサービスを閉じるものであり、流出そのものを解消するものではない。すでに流出した情報は、その日以降も同社の管理の外にある。法人向け白ラベルのパートナーは免れたが、これにより被害の及ぶ範囲は狭まり、一方でGnosis Payの直接のカード保有者は引き続きリスクにさらされている。

この事件は、ホットウォレットは免れたもののユーザーが依然として被害を受ける、最近の他の暗号資産セキュリティ事例に見られるパターンに合致する。残高は空仓されていないが、悪用可能な個人情報は十分にある。資金を動かせない攻撃者でも、ブランドを装い、実際の自宅住所やもっともらしいカード番号のパターンを提示したうえで、「セキュリティ確認」と称してシードフレーズを収集しようとすることは可能である。消費者向けシステムが配送先情報や連携ウォレットを保存している場合、残高が動かなくても漏洩は依然として被害をもたらしうる。

Gnosis Payは、B2Cシステムは2026年12月20日に廃止され、それまで必須の3D Secureが維持されるとしている。影響を受けたカード保有者にとって差し迫ったリスクは、資金の盗難よりも、同社を装って届くかもしれない後続のメッセージにある。同社が示したように、着信する連絡への警戒は、残高に動きがなかったという保証と同じくらい重要である。

出典:Live Bitcoin News