Gnosis Pay heeft op 6 november een datalek in klantgegevens bekendgemaakt nadat onbevoegde toegang tot het verouderde consumentenkaartsysteem was vastgesteld. Het bedrijf zei dat klantengelden en het enterprisepform onaangetast zijn gebleven en dat de aangescherpte betalingsmaatregelen tot 20 december van kracht blijven. De aankondiging volgde enkele weken nadat Gnosis Pay klanten er al van op de hoogte had gebracht dat de consumentenkaartdienst zou worden gesloten.

Volgens de publieke verklaring van het bedrijf werd de inbraak op 3 november ontdekt en begonnen medewerkers van de afdeling beveiliging binnen twee uur met de insluiting — drie dagen voordat het lek publiek werd gemaakt. Getroffen inloggegevens zijn vervangen en het misbruikte beveiligingslek is verholpen, aldus het bedrijf. Gnosis Pay heeft de aanvaller niet geïdentificeerd.

Het bedrijf kondigde het incident op 6 november aan in een bericht op X:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Welke informatie is blootgesteld bij het lek

Gnosis Pay verklaarde dat het lek plaatsvond in de infrastructuur achter het consumentenkaartprogramma onder eigen merknaam, de B2C-activiteit van het bedrijf. De aparte enterpriseproductlijn, waarmee Gnosis Pay kaartprogramma's voor andere bedrijven verzorgt, was niet betrokken.

Elke getroffen persoon ontving op 6 november een e-mail met een beschrijving van de informatie die vanuit zijn of haar account was gecompromitteerd. De publieke melding vermeldde niet hoeveel personen zijn getroffen of welke gegevenscategorieën zijn blootgesteld, en het bedrijf gaf geen tijdlijn voor het publiceren van aanvullende technische details. Gnosis Pay zei zijn zakelijke partners, de kaartuitgever en de betreffende gegevensbeschermingsautoriteiten te hebben geïnformeerd. Op grond van de Algemene Verordening Gegevensbescherming van de Europese Unie moeten organisaties een lek in persoonsgegevens doorgaans binnen 72 uur na constatering melden bij het bevoegde toezichthoudende orgaan — een vereiste dat de reactie op datalekken in de Europese betaalsector bepaalt.

Hoe Gnosis Pay de kaartbeveiliging aanscherpte

Als reactie op het incident heeft het bedrijf het 3D Secure-protocol geïmplementeerd, dat de identiteit van een gebruiker vereist voordat een transactie wordt voltooid. Dit beleid wordt verwacht van kracht te blijven tot het verouderde consurgensysteem wordt gesloten.

De maatregelen stuitten na het lek op bezwaren van sommige consumenten, die vragen stelden over verantwoording en de mogelijkheid van phishingaanvallen via e-mails met gelekte gegevens. Gnosis Pay waarschuwde dat dergelijke e-mails kunnen verwijzen naar persoonsgegevens of eerdere legitieme transacties. Het adviseerde klanten niet op links in e-mails, sms-berichten of andere berichtendiensten te klikken en de dienst alleen via de officiële web-app of een partner-app te benaderen.

Het bedrijf zei dat het nooit om seed phrases, privésleutels, pincodes of volledige kaartnummers vraagt via berichten, en waarschuwde gebruikers voor verzoeken om geld te verplaatsen of identiteitsverificatie te herhalen via ongevraagd contact. Die waarschuwingen blijven lang relevant: persoonsgegevens die bij een lek zijn gelekt, kunnen lang na het incident opduiken in pogingen tot phishing, en klanten blijven de web-app gebruiken voor opnames, het exporteren van transactiegeschiedenissen en het bijwerken van terugkerende betalingen gedurende de afbouw, waarvan de ondersteuningsperioden doorlopen tot 2027 en 2028.

Wanneer wordt de consumentenkaartdienst gesloten

De afbouw van het consumentenkaartprogramma was vóór het lek al in gang gezet. In een formele kennisgeving van 21 september kondigde Gnosis Pay aan dat fysieke en virtuele kaarten onder eigen merknaam na 23:59 UTC diezelfde dag geen transacties meer zouden autoriseren.

De web-app stopt met het aanbieden van diensten, met uitzondering van opnames. Gebruikers behouden het eigendom van de fondsen op hun zelf-beheer Safe-accounts, die niet langer afhankelijk zijn van de beschikbaarheid van het kaartprogramma.

Gebruikers kunnen optioneel deelnemen aan een partnerprogramma om een kaart te blijven gebruiken, een stap die het accepteren van nieuwe voorwaarden vereist. In beide gevallen stoppen de bestaande kaarten onder de merknaam Gnosis Pay met functioneren.

De kennisgeving dringt er bij gebruikers op aan hun transactiegeschiedenissen te exporteren en hun terugkerende betalingsgegevens bij te werken. De algemene kaarthoudersondersteuning eindigt op 18 juni 2027, terwijl hulp bij terugbetalingen en chargebacks beschikbaar blijft tot 12 juni 2028.

Hoe het lek in november verschilt van de exploit in juni

De bekendmaking markeert het tweede beveiligingsincident dat het kaartplatform dit jaar treft. In juni werd het kaartwalletsysteem blootgesteld aan een aparte aanval. In een post-mortem van 3 juli gaf Gnosis Pay toe dat een beveiligingslek in de Zodiac-modules hackers in staat stelde bijna $1,5 miljoen aan cryptocurrency te buitmaken. Het gebrek was het gevolg van een onjuiste handtekeningverificatie in de card-safe-software. Het bedrijf zei de verliezen te hebben opgevangen en de fondsen voor klanten te hebben herhaald.

Naast elkaar gezet wijzen de twee incidenten op verschillende soorten risico's: die van juni was een on-chain exploit waarbij gestolen crypto op het spel stond, terwijl die van november draait om klantgegevens — waardoor de openstaande vragen verschuiven van herstel van activa naar gegevensbescherming.