Gnosis Pay maakte op 6 november bekend dat het legacy kaartsysteem onder de eigen consumentenmerk op 3 november te maken kreeg met ongeautoriseerde toegang, een incident waarbij persoonlijke gegevens en de details van wallets die aan getroffen accounts gekoppeld zijn werden blootgelegd. Het bedrijf zei dat klantgelden niet zijn aangeroerd. De openbaarmaking verscheen in een blogpost van het bedrijf, en het bedrijf herhaalde dezelfde punten in een verklaring op X. Die openbaarmaking kwam drie dagen na de ongeautoriseerde toegang zelf.

Het getroffen systeem is de direct-to-consumer kaartlijn van het bedrijf, die op 20 december 2026 wordt stopgezet. Het zakelijke white-labelplatform, waarop de kaartprogramma's van partners draaien, werd niet getroffen. De inperking begon binnen twee uur na detectie, aldus het bedrijf, dat zei dat het de getroffen beveiligingsreferenties heeft vervangen en de kwetsbaarheid die de toegang mogelijk maakte heeft verholpen.

Reactie van het bedrijf en klantberichten

Tot de geplande buitendienststellingsdatum zegt Gnosis Pay de monitoring van kaartactiviteit en gekoppelde wallets te hebben aangescherpt en 3D Secure verplicht te hebben gesteld voor alle online kaartbetalingen. Het bedrijf zegt elke getroffen klant per e-mail te hebben ingelicht, waarbij elk bericht precies vermeldde welke gegevensvelden uit dat account waren meegenomen. Het incident is ook gemeld aan partners, de kaartuitgever en toezichthouders voor gegevensbescherming.

De gelden zijn niet getroffen, herhaalde het bedrijf. Het regelt specialistische monitoring tegen mogelijk misbruik van de gelekte gegevens en excuseerde zich voor de blootstelling van persoonlijke informatie.

De blootstelling was niet voor alle accounts gelijk. Rotki-oprichter Lefteris Karapetsas deelde de details van zijn bericht op X en zei dat de e-mail zijn volledige thuisadres en naam noemde en zijn kaartnummer en alle aan het account gekoppelde wallets vermeldde. Terwijl de openbare mededeling van het bedrijf zich beperkte tot "bepaalde klantinformatie", sommeerden de individuele e-mails de vollediger inventaris. Een combinatie van thuisadres, kaartnummer en gekoppelde walletadressen is precies het soort dataset dat gerichte phishing kan ondersteunen, en social engineering-pogingen kunnen nog lang volgen terwijl de onderliggende gelden gewoon blijven staan. Het geval illustreert ook hoe een betaalproduct dat rond self-custody is gebouwd toch een identiteitsspoor van KYC-kwaliteit kan achterlaten dat naast on-chain identificatoren bestaat.

Advies aan klanten

Het advies van het bedrijf aan klanten is ondubbelzinnig: behandel onverwachte e-mails, sms'jes, telefoontjes of brieven — ook die verwijzen naar Gnosis Pay, een partner-app of de kaart — als verdacht, zelfs als ze echte persoonlijke gegevens bevatten. Klik niet op links in dergelijke berichten. Gebruik uitsluitend de officiële web-app of partner-app. Deel nooit een seed phrase, privésleutels, PIN of volledig kaartnummer. Gnosis Pay zegt hier nooit om te vragen, nooit per e-mail of sms om identiteits-"herverificatie" te vragen en klanten nooit te vragen geld via die kanalen te verplaatsen.

Waarom het legacy-systeem nog steeds relevant is

Het lek trof een kaartsysteem onder eigen merk enkele weken voor de geplande buitendienststelling, geen vergeetarchief. Gebruikers die nog op dat direct-to-consumer-pad zitten, slepen nu gelekte identiteits- en walletkoppelingsgegevens mee naar de laatste fase voor 20 december. De buitendienststellingsdatum sluit de dienst af, niet de blootstelling — wat al is gelekt, blijft na die datum buiten de controle van het bedrijf. De zakelijke white-labelpartners werden gespaard, wat de gevolgafstand beperkt, maar directe Gnosis Pay-kaarthouders blijven kwetsbaar.

Het incident past in een patroon dat ook in andere recente crypto-beveiligingsgevallen zichtbaar is, waarbij hot wallets worden gespaard terwijl gebruikers toch schade lijden: geen leeggetrokken saldi, maar wel ruim bruikbare persoonlijke gegevens. Aanvallers die geen geld kunnen verplaatsen, kunnen zich nog steeds als het merk voordoen, een echt thuisadres of een plausibel kaartnummerpatroon aanhalen en om een "beveiligingscontrole" vragen die in werkelijkheid een poging is om een seed phrase te oogsten. Wanneer een consumentgericht systeem verzendgegevens en gekoppelde wallets opslaat, kan een lek nog steeds schade aanrichten, ook als saldi nooit bewegen.

Gnosis Pay zei dat het B2C-systeem op 20 december 2026 wordt buitendienstgesteld en dat verplichte 3D Secure tot die tijd van kracht blijft. Voor getroffen kaarthouders is het directe risico minder diefstal van geld dan de opvolgende berichten die zich mogelijk als het bedrijf voordoen. Waakzaamheid bij inkomend contact is, aldus het bedrijf, net zo belangrijk als de verzekering dat saldi onaangeroerd bleven.

Bron: Live Bitcoin News