Gnosis Pay meldde dat een externe partij op 3 november ongeautoriseerde toegang kreeg tot het consumentenkaartsysteem, waarbij namen, woonadressen, kaartnummers en aan accounts gekoppelde cryptowalletadressen van klanten werden blootgesteld. Het bedrijf zei dat er geen klantgeld is gestolen, maar heeft niet bekendgemaakt hoeveel gebruikers zijn getroffen.

Het incident werd bekendgemaakt in een blogpost over het oude consumentsysteem van Gnosis Pay, dat kaarten onder de Gnosis Pay-vlag ondersteunt en op 20 december wordt gesloten. Het rapport van CoinCentral is beschikbaar hier.

Blootgestelde gegevens

Lefteris Karapetsas, oprichter van crypto-portfoliotracker Rotki, deelde een e-mail van Gnosis Pay in een post op X. Hij zei dat de blootgestelde informatie zijn naam, volledige woonadres, kaartnummer en elk walletadres dat aan zijn account is gekoppeld omvatte.

"You had already lost me as a user but you could have at least protected my data," schreef Karapetsas. Zijn post illustreerde hoe de inbreuk de identiteit van een klant in de echte wereld kon koppelen aan zijn cryptobezit.

At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026

Walletadressen op openbare blockchains kunnen saldi en transactiegeschiedenissen onthullen. Wanneer deze worden gekoppeld aan de naam en het woonadres van een persoon, kan die informatie het risico op gerichte oplichting vergroten. In tegenstelling tot betaalkaartgegevens, die een uitgever kan blokkeren en opnieuw kan uitgeven, is een openbaar walletadres permanent, en de on-chain activiteit blijft zichtbaar voor iedereen die de koppeling tussen het adres en een identiteit kent.

Gnosis Pay zei dat het elke getroffen gebruiker per e-mail op de hoogte bracht van de details van de blootgestelde informatie. Het bedrijf waarschuwde tevens dat oplichters gestolen persoonlijke gegevens en eerdere aankoopinformatie kunnen gebruiken om frauduleuze berichten legitiem te laten lijken.

De reactie van Gnosis Pay

Gnosis Pay zei dat het de inbraak op 3 november detecteerde en binnen twee uur begon met het beheersen ervan. Het bedrijf verving getroffen beveiligingsreferenties en verholpe de kwetsbaarheid die de ongeautoriseerde toegang mogelijk maakte.

Het zei dat klantgelden en het aparte enterpriseplatform niet zijn getroffen. Het enterpriseplatform ondersteunt kaartprogramma's van andere bedrijven die hun eigen kaarten uitgeven.

Gnosis Pay werd in 2023 geïntroduceerd. De dienst stelt klanten in staat om stablecoins uit te geven via Visa-debetkaarten die aan hun cryptowallets zijn gekoppeld. Volgens gegevens van Paymentscan heeft de dienst een jaarlijkse betaalvolume van circa $67,6 miljoen. Klanten bewaren hun geld in eigen wallets en gebruiken de kaarten bij handelaren die Visa accepteren. Die structuur houdt saldi buiten de systemen van het bedrijf, hoewel de exploitatie van de kaarten nog steeds de persoonlijke gegevens betreft die door deze inbreuk zijn blootgesteld.

De inbreuk is het tweede beveiligingsincident van Gnosis Pay dit jaar. In juni nam een exploit die misbruik maakte van een kwetsbaarheid in walletsoftware ongeveer $1,5 miljoen weg. Die aanpak verschilde van het laatste incident, waarbij klantgegevens werden blootgesteld maar geen geld werd gestolen.

Gnosis dekte de verliezen van de exploit in juni en herstelde de klantgelden. Later publiceerde het een post-mortem waarin de kwetsbaarheid werd uitgelegd. Sindsdien heeft Gnosis Pay 3D Secure-verificatie verplicht gesteld voor online kaartbetalingen. Dit proces vereist dat klanten hun identiteit bevestigen voordat een online aankoop wordt afgerond.

Het bedrijf heeft ook de fraudemonitoring voor zijn consumentenkaarten versterkt. Deze maatregelen komen voor de geplande sluiting van het oude consumentsysteem op 20 december. Tot het systeem sluit, heeft Gnosis Pay gebruikers gewaarschuwd dat berichten met hun persoonlijke of aankoopinformatie frauduleus kunnen zijn, zelfs als ze authentiek lijken. Het aantal getroffen gebruikers blijft onbekend naarmate die sluitingsdatum nadert.