Gnosis Pay、攻撃者が旧型カードシステムを通じて顧客データにアクセスしたと発表
重要ポイント
- •Gnosis Payは11月3日に不正アクセスを検知し、2時間以内に封じ込めを行い、漏洩した認証情報の交換、脆弱性の修正、3D Secure認証の必須化を実施した。
- •同社は顧客資金および事業用カードプラットフォームは影響を受けていないとしているが、影響を受けた顧客数や漏洩した個人データの正確な種類は公表していない。
- •Rotkiの創設者Lefteris Karapetsasは、氏名、自宅住所、カード番号、紐づくウォレットアドレスが漏洩したと述べており、セルフカストディ型カード事業者も顧客の身元記録を保持し続けるリスクを浮き彫りにしている。
- •11月の情報漏洩は、約150万ドルが盗まれGnosisが後に損失を補填して顧客資金を復旧した6月のZodiacスマートコントラクトエクスプロイトとは別の事件である。
- •Gnosis Payの10月のコンシューマーカード支出は前年比約50%減の約610万ドルとなった一方、追跡対象のクリプトカード市場支出はほぼ3倍に増加しており、影響を受けたコンシューマーカードはすでに12月20日にオフラインとなる予定である。
Gnosis Payは11月6日(金)、コンシューマーカードを支えていた旧システムを通じて、攻撃者が顧客の個人データにアクセスしたことを明らかにした。公式声明の中で同社は、顧客資金および事業プラットフォームのいずれにも影響がなかったと述べている。この発表は、市場全体が成長を続ける中、Gnosis Payカードの支出が減少するさなかに行われた。
Gnosis Payの説明
同社によると、監視システムが11月3日に不正アクセスを検知し、2時間後に封じ込めプロセスを開始した。Gnosis Payは漏洩した認証情報を交換し、脆弱性を修正し、システムの停止までの間、オンラインカード決済用の追加認証ステップである3D Secureサービスを全顧客に必須とした。
影響を受けたアカウントの顧客には、どのデータが侵害されたかに関する具体的な情報を含むメールが送られた。Gnosis Payはまた、パートナーに通知し、該当する発行体に連絡し、データ保護当局に情報漏洩を報告した。同社の声明では、Monavate LtdとUAB Monavateが地域の発行体であるとされている。
依然として unanswered なままである2つの疑問がある:影響を受けた顧客の数と、漏洩した個人データの正確な種類である。Gnosis Payは、漏洩情報の量が顧客ごとに異なるかどうかについてもまだ明らかにしていない。同社はまた、顧客資金および他の企業のために運営するカードプラットフォームは影響を受けていないと述べているが、これらの主張についての独立した確認はなされていない。これらの未解決の詳細と、Gnosis Payが通知したデータ保護当局による今後の調査結果は、情報漏洩対応が進む中で注視すべき主な展開である。
セルフカストディでも身元記録は守られなかった
今回の事件は、セルフカストディ型決済カードの欠陥を浮き彫りにしている:顧客はウォレット内の暗号資産を管理できるが、決済企業は依然として顧客の身元証明書、住所、銀行情報を保持しており、これらのデータは資金に触れることなく漏洩しうる。他の暗号資産ウォレットの情報漏洩でも同様のリスクが示されており、最近ではTrezorユーザーに影響するフィッシング警告が発生している。
その考えられる結果が明らかになったのが、Rotkiの創設者Lefteris Karapetsasの事例である。Xへの投稿で彼は、自身の氏名、自宅住所、カード番号、アカウントに紐づくすべてのウォレットアドレスが漏洩したと述べた。彼のケースは他のユーザーの状況を裏付けるものではなく、Gnosis Payもメールアドレス、電話番号、カードセキュリティコード、銀行口座情報が漏洩したかどうかを公式に確認していない。
個人の身元や自宅住所を暗号資産ウォレットに紐づけることは、さらなるリスクをもたらす。犯罪者はこうした情報を利用して、説得力のあるフィッシングメッセージを送ったり、標的を特定したりする可能性がある。Chainalysisの推定によると、2026年半ばまでに暗号資産保有者に対する暴力的事件による損失は3,000万ドルを超えたが、これらの攻撃とGnosis Payの情報漏洩を結びつける証拠はない。
6月のエクスプロイトとは別の情報漏洩
11月の情報漏洩は、6月にGnosis Payを襲ったZodiacスマートコントラクトのエクスプロイトとは別の事件である。攻撃者はソフトウェアの脆弱性を悪用して約150万ドルを盗み、さらに30万ドルがアクセス不能になった。Gnosisはその後損失を補填し、顧客資金を復旧した(これはCryptopolitanが報じた通りである)。Gnosisはまた、脆弱性エクスプロイトの事後分析も公開している。
2つの事件が晒した弱点は異なる。6月の攻撃はカードウォレットを保護するソフトウェアを標的とし、11月の情報漏洩は旧システムに保存されていた個人情報を晒した。Gnosis Payは、最新の事件で顧客資金は盗まれていないと述べている。
市場拡大の中で縮小するカード事業
11月の情報漏洩で影響を受けたシステムは、すでに退役が予定されていた。Gnosis Payは9月に正式な通知で、コンシューマーカードが12月20日の23:59 UTCに動作を停止すると発表していた。同社が他企業向けのカードサービス提供に注力する中、Webアプリは引き出し用に引き続き利用可能となる。この情報漏洩に巻き込まれた顧客にとって、このスケジュールは影響を受けたカードがすでに12月20日にオフラインになる予定であることを意味し、同社の残りのカード事業は影響がないとされるプラットフォーム上で運営される。
Gnosis Payのコンシューマー事業はまた、地盤沈下も続いていた。10月のカード支出は、2025年の1,205万ドルから2026年には約610万ドルへと、約50%減少した。
市場全体は逆方向に動いた。同期間に追跡対象のクリプトカード支出は4億6,400万ドルから13億7,000万ドルへとほぼ3倍に増加した。一方、Visaの報告によると、ステーブルコイン連携カードプログラムは160以上にのぼり、決済額は前年比約200%増となっている — この拡大はCryptopolitanも取り上げている。
Gnosis Payの支出減少は11月の情報漏洩前に始まっているため、これらの数字だけでは事件が顧客の活動に影響を与えたかどうかを判断することはできない。同社の評判と事業への長期的な影響は依然として不透明である。
