Gnosis Pay heeft een datalek bevestigd waarbij gevoelige klantgegevens zijn blootgelegd, waaronder volledige creditcardnummers, beveiligingscodes, woonadressen en gegevens van cryptovaluta-wallets, wat zorgen oproept over identiteitsdiefstal en gerichte aanvallen op cryptobezitters.

Het bedrijf ontdekte op 3 november ongeautoriseerde toegang tot zijn verouderde consumentenkaartinfrastructuur en maakte het incident op 6 november bekend in een officiële blogpost. Het beveiligingsteam startte binnen twee uur met de indamming, verving vervolgens de gecompromitteerde inloggegevens en verholpe de kwetsbaarheid.

Gnosis Pay verklaarde dat klantfondsen onaangetast bleven en dat de enterprise-infrastructuur, die white-label kaartprogramma's voor andere bedrijven mogelijk maakt, niet is gecompromitteerd. Het aantal getroffen klanten en de methode waarmee toegang tot hun gegevens is verkregen, zijn niet bekendgemaakt.

Kaartnummers, woonadressen en walletgegevens blootgelegd

Klantmeldingen over het datalek noemden een breed scala aan gecompromitteerde informatie, waaronder volledige namen, e-mailadressen, telefoonnummers, nationaliteiten, woonadressen en cryptovaluta-walletadressen die gekoppeld zijn aan Gnosis Pay-accounts. Zorgwekkender nog: de blootgestelde gegevens bevatten volledige creditcardnummers, vervaldata en CVV-beveiligingscodes. Een kaartnummer, vervaldatum en CVV-code zijn samen doorgaans voldoende om een online kaartbetaling te voltooien, waardoor die combinatie tot de meest direct bruikbare gegevens uit het lek behoort. Bij sommige klanten zijn ook bankgegevens gecompromitteerd, waaronder IBAN- en BIC-gegevens.

Identiteitsdocumenten en geboortedatums behoorden niet tot de blootgestelde informatie.

Rotki-oprichter Lefteris Karapetsas behoorde tot degenen die publiekelijk kritische vragen stelden over de manier waarop het bedrijf met gevoelige klantgegevens omging. Karapetsas onthulde dat zijn woonadres, volledige naam, creditcardnummer en gekoppelde walletadressen waren blootgesteld en uitten zijn frustratie dat het bedrijf zijn gegevens niet had beschermd.

"Extreum teleurgesteld. Jullie hadden mij al als gebruiker verloren, maar jullie hadden tenminste mijn gegevens kunnen beschermen," schreef hij op X.

De combinatie van fysieke adressen en blockchain-walletidentificatoren brengt bijzondere privacyrisico's met zich mee. Aanvallers zouden identificeerbare personen aan hun cryptovaluta-bezittingen kunnen koppelen, wat gerichte phishing, identiteitsmisbruik of fysieke dreiging kan vergemakkelijken. In tegenstelling tot gestolen kaartgegevens, die geannuleerd en vervangen kunnen worden, kunnen blootgestelde woonadressen en historische blockchainadressen niet eenvoudig worden gewijzigd of gewist.

Gnosis Pay annuleert kaarten en voert verplichte 3D Secure in

Gnosis Pay heeft gecompromitteerde kaarten geannuleerd en verplichte 3D Secure-verificatie ingevoerd voor online betalingen, waardoor er een extra verificatiestap komt voordat transacties kunnen worden afgerond. Het bedrijf heeft ook de monitoring van kaartactiviteit en gekoppelde wallets uitgebreid, getroffen klanten afzonderlijk geïnformeerd en de datalek gemeld aan de kaartuitgever, zakenpartners en relevante gegevensbeschermingsautoriteiten. Er wordt aanvullende monitoring ingericht om mogelijk misbruik van de gecompromitteerde gegevens te detecteren.

De getroffen consumentenplatform stond al gepland voor buitengebruikstelling op 20 december 2026, naar aanleiding van Gnosis Pays beslissing zich te richten op enterprise-kaartinfrastructuur, zoals uiteengezet in een formele sluitingsmelding. Het bestaande sluitingsschema blijft ongewijzigd, met de aanvullende beveiligingsmaatregelen die naar verwachting tot dan toe van kracht blijven.

Eerdere exploit en context in de sector

Het incident volgt op een eerdere exploit in juni waarbij het Zodiac Delay Module van Gnosis Pay betrokken was, waardoor ongeveer $1,5 miljoen werd gestolen voordat Gnosis de getroffen klanten compenseerde. Er is geen verband tussen de twee incidenten vastgesteld.

De inbreuk komt ook kort nadat Chainalysis ongeautoriseerde toegang tot klantgegevens openbaarde en 12 cryptovalutawebsites werden getroffen door StepDrainer-aanvallen. Samen omvatten de recente reeks incidenten zowel datalekken aan de servicekant als aanvallen op consumenten, waarmee de Gnosis Pay-inbreuk deel uitmaakt van een bredere reeks beveiligingsincidenten in de cryptosector.

Gnosis Pay heeft klanten opgeroepen onverwachte e-mails, telefoongesprekken en sms-berichten die om accountverificatie of cryptovaluta-overboekingen vragen te negeren, zelfs wanneer deze berichten authentieke persoonlijke gegevens bevatten. Het bedrijf handhaaft dat walletsleutels en klantfondsen niet zijn gecompromitteerd, maar de blootstelling van financiële en identificerende gegevens betekent dat getroffen gebruikers ook na de sluiting in december te maken kunnen krijgen met fraude en privacyrisico's. De omvang van de inbreuk en de toegangsmethode blijven onbekend, en nu de monitoring voor misbruikdetectie nog wordt ingericht, zijn die open punten de belangrijkste details om in de gaten te houden in de aanloop naar de buitengebruikstelling van het platform.

Bron: Crypto Adventure