Gnosis Pay verklaarde in zijn openbaarmaking van 6 november dat de monitoring op 3 november ongeautoriseerde toegang had gedetecteerd tot het systeem achter de eigen kaarten, met een beperking van het incident binnen twee uur. Het bedrijf meldde dat klantgeld en het enterprise-platform niet waren getroffen, maar de meldingen aan getroffen klanten vermelden persoonlijke gegevens variërend van kaartnummers tot thuisadressen en gekoppelde crypto-wallets.

Een inbreuk in een product dat al wordt afgebouwd

Het getroffen systeem draait de consumentenactiviteiten van Gnosis Pay: de Visa-debitkaarten die onder de eigen naam worden verkocht en worden uitgegeven door Monavate, een e-moneybedrijf dat is toegestaan door de Britse toezichthouder Financial Conduct Authority. Het bedrijf had dat systeem al gepland voor buitendienststelling op 20 december. Het schakelt over op zijn enterprise-platform, dat white-labelkaartprogramma's voor andere bedrijven verzorgt en volgens Gnosis Pay niet werd getroffen.

Gnosis Pay zegt dat het de gecompromitteerde inloggegevens heeft vervangen, de kwetsbaarheid heeft verholpen en aan elke getroffen klant een lijst heeft gemaild met precies wat er uit zijn account was meegenomen.

Dit is het tweede beveiligingsincident voor het kaartproduct dit jaar. In juni exploiteerden aanvallers een fout in walletsoftwaremodules die door Gnosis Pay-accounts worden gebruikt en namen ongeveer $1,5 miljoen mee. Gnosis nam die verliezen voor zijn rekening en vergoedde de gelden van gebruikers, volgens het post-mortem. De twee incidenten verschillen van aard: de aanvallers van juni gingen direct achter het geld aan, terwijl de inbreuk van november op accountgegevens was gericht.

Eén van de novembersmeldingen is openbaar gemaakt. Lefteris Karapetsas, oprichter van portefeuilletracker Rotki, deelde zijn e-mail op X. CoinDesk meldde dat deze zijn naam, volledige thuisadres, kaartnummer en elk walletadres dat aan zijn account is gekoppeld vermeldde. Hij vertelde het bedrijf dat het "tenminste mijn gegevens had kunnen beschermen." De e-mails van andere klanten kunnen andere velden vermelden, dus de eigen melding van elke persoon, niet de publieke verklaring, laat zien waarop hij moet handelen.

Het kaartnummerprobleem eindigt op 20 december

Een gelekt kaartnummer creëert één onmiddellijk risico: online aankopen die alleen met de kaartgegevens worden gedaan. De belangrijkste oplossing van Gnosis Pay richt zich precies daarop. Het bedrijf heeft 3D Secure, de controle die Visa als Visa Secure brandt, verplicht gesteld voor alle online kaartbetalingen. Hiermee kan de kaartuitgever goedkeuring van de kaarthouder vereisen voordat een aankoop doorgaat. Gnosis Pay heeft ook de fraudemonitoring van kaart- en walletactiviteit verscherpt.

Het bedrijf zegt dat beide maatregelen van kracht blijven totdat het consumentensysteem wordt stilgelegd. Na 20 december behoort een gelekt nummer toe aan een kaart die niet meer werkt, zodat dit deel van de blootstelling een vaste einddatum heeft.

De walletkoppeling heeft geen einddatum

De rest van het gelekte dossier verloopt niet met de kaart. Een walletadres is publiek door ontwerp: iedereen kan een block explorer openen en het saldo en de volledige transactiegeschiedenis zien. Wat een adres normaal mist, is een naam. Een dossier dat het koppelt aan de identiteit en het thuisadres van een persoon levert dat ontbrekende stuk, en de koppeling blijft geldig zolang de wallet in gebruik is. Die koppeling is inherent aan gereguleerde kaartprogramma's, die de identiteit van een klant moeten verifiëren voordat ze een kaart kunnen uitgeven.

Dat brengt de gelden niet binnen het bereik van wie de gegevens ook maar bezit. De supportrichtlijnen van Gnosis Pay zeggen dat het nooit de sleutels van klanten heeft bewaard, zodat het gecompromitteerde systeem ze niet kon bevatten, en niemand kan van een adres uitgeven door het alleen te kennen.

Wat het dossier een aanvaller biedt, is gericht targeten: wie te benaderen, waar die woont en wat die naar het lijkt te houden. De eigen openbaarmaking van het bedrijf wijst dezelfde kant op en zegt tegen klanten voorzichtig te zijn met wie ze hun adres of bezittingen delen, online en offline.

Crypto heeft een precedent voor hoe lang dat soort gegevens bruikbaar blijft. In december 2020 werd een database die van hardwarewalletfabrikant Ledger was gestolen online gezet. Het bedrijf bevestigde dat het ongeveer 272.000 klantdossiers met namen, postadressen en telefoonnummers bevatte. Ledgers eigen verslag beschrijft de maandenlange phishingcampagnes die volgden, en City AM meldde dat sommige klanten met huisbezoeken werden bedreigd tenzij ze betaalden.

De Ledgerlijst toonde alleen dat iemand een hardwarewallet had gekocht. De melding van Karapetsas, zoals hij die deelde, gaat verder: hij koppelt een benoemde persoon aan specifieke adressen waarvan iedereen de saldi kan controleren.

De blootstelling heeft grenzen. Voor klanten die alleen bestedingsgeld in de cardwallet hielden, kan het zichtbare saldo klein zijn. Die bescherming strekt zich alleen uit zover de wallets gescheiden blijven. Overboekingen van en naar een cardwallet worden onchain vastgelegd en kunnen leiden naar grotere adressen, en de gepubliceerde melding vermeldde elk gekoppeld adres in plaats van één.

Hoe een overtuigende nepmelding eruit zou kunnen zien

Gelekte gegevens verzwaken de controles die mensen gewoonlijk toepassen op een verdacht bericht. De Britse National Cyber Security Centre waarschuwt dat criminelen gestolen informatie gebruiken om phishing legitiem te laten lijken. Het waarschuwt ook dat publiciteit rond een datalek hen in staat stelt mensen te benaderen wiens gegevens nooit zijn meegenomen.

De afbouw geeft oplichters een klaar scenario. De kaarthelppagina van Gnosis Pay waarschuwt al voor nep-"migreer je Gnosis Pay-account"-sites, nep-partneraanbiedingen en vreemden die aanbieden te helpen bij het verplaatsen van geld. Een bericht dat een echte aankoop, een echt thuisadres en de echte datum van 20 december citeert, zou als routinematig accountbeheer kunnen doorgaan. Vorige week plaatste een vergelijkbare tactiek een nep-airdropapp in de uitgelichte winkelsleuf van Solana Mobile, waar het gebruikers om herstelzinnen vroeg.

De eigen verklaringen van Gnosis Pay geven klanten stevige controles om toe te passen. Het bedrijf zegt dat het noch zijn partnerapps om een seed phrase, privésleutels, PIN of volledig kaartnummer zullen vragen, noch klanten zullen vragen hun identiteit opnieuw te verifiëren per e-mail of sms. Het zegt ook dat het geen overboekingen van geld per e-mail, sms of telefoon verzoekt. Dezelfde supportrichtlijnen zeggen dat er geen deadline is voor het opnemen van zelfbeheerde gelden. Elk bericht dat een overboeking aan 20 december koppelt, is daarom op zijn gezicht onjuist.

Als een melding van een datalek je inbox bereikte

Lees je eigen melding via een officiële route. Open de Gnosis Pay-webapp of je partnerapp rechtstreeks, nooit via een link in een bericht, en controleer welke velden je e-mail vermeldt. Gnosis Pay zegt dat het extra acties heeft aanbevolen op basis van de gegevens die elk account verloor. Officiële partnerapps staan vermeld op zijn Partner Marketplace.

Freezeer de kaart als zijn nummer werd vermeld. Freezeren is direct en omkeerbaar vanuit de app. De kaart als verloren of gestolen melden annuleert deze permanent, en vervangingen kunnen slechts tot 20 december worden besteld. Een virtuele kaart kan direct in de webapp worden toegevoegd voor wie nog moet uitgeven.

Controleer elke recente betaling. Niet-herkende transacties kunnen worden betwist. Gnosis Pay zegt dat het disputen en chargebacks blijft behandelen tot 24 mei 2028, lang nadat de kaarten zijn gestopt met werken.

Begin verse bezittingen op een nieuw adres. Gelden die worden ontvangen op een adres dat nooit in een Gnosis Pay-dossier verscheen, zijn niet aan het lek gekoppeld. Zet het op in je eigen walletapp, op eigen initiatief. Het rechtstreeks verplaatsen van gelden van een gekoppeld adres laat een onchain spoor na, dus dit verkleint de verbinding in plaats van haar uit te wissen.

Verzoek je volledige dossier. Gnosis Pay is een in het Verenigd Koninkrijk geregistreerd bedrijf, en de Britse wetgeving op gegevensbescherming geeft individuen recht op een kopie van de persoonlijke gegevens die een bedrijf over hen bijhoudt. Organisaties moeten doorgaans binnen één maand op dergelijke verzoeken reageren, en de kopie toont precies wat er in het bestand stond.

Wat Gnosis Pay nog niet heeft gezegd

Gnosis Pay heeft drie dingen niet onthuld:

• hoeveel klanten zijn getroffen;
• wanneer de inbraak begon, aangezien 3 november slechts de datum is waarop het werd ontdekt;
• of de blootgestelde kaartgegevens vervaldata's of beveiligingscodes bevatten, wat bepaalt hoe bruikbaar de gelekte nummers zijn vóór 20 december.

Het bedrijf zegt dat het in contact is met gegevensbeschermingsautoriteiten en zijn kaartuitgever, en specialistische monitoring heeft geregeld voor tekenen dat de gestolen gegevens worden misbruikt. De Britse regels voor gegevensbescherming vereisen dat organisaties het Information Commissioner's Office, de Britse toezichthouder op gegevensbescherming, binnen 72 uur nadat zij ervan op de hoogte zijn gekomen, op de hoogte stellen van een in aanmerking komend persoonlijk datalek. Een bevinding uit die monitoring, of een verklaring van een toezichthouder, zou de eerste publieke bevestiging zijn dat de gegevens zijn verplaatst van de gecompromitteerde server naar actieve oplichting. Meldingen van nep-migratieaanbiedingen die echte klantgegevens citeren vóór de stillegging op 20 december zouden dezelfde kant op wijzen.