Gnosis Pay heeft vrijdag 6 november bekendgemaakt dat aanvallers via het verouderde systeem dat zijn consumentenkaarten aandreef toegang kregen tot persoonlijke klantgegevens. In een officiële verklaring stelde het bedrijf dat noch klantgelden, noch het zakelijke platform zijn aangetast. De bekendmaking komt te midden van een daling van de uitgaven via Gnosis Pay-kaarten, terwijl de bredere markt blijft groeien.

Wat Gnosis Pay zegt dat er is gebeurd

Volgens het bedrijf detecteerde het monitoringsysteem op 3 november ongeautoriseerde toegang en werd twee uur later een inperkingsproces gestart. Gnosis Pay verving gecompromitteerde inloggegevens, verholpe het beveiligingslek en maakte de 3D Secure-dienst — de extra authenticatiestap bij online kaartbetalingen — verplicht voor alle klanten totdat het systeem werd uitgeschakeld.

Klanten wier accounts waren getroffen ontvingen e-mails met specifieke informatie over welke gegevens waren gecompromitteerd. Gnosis Pay informeerde ook zijn partners, nam contact op met de betrokken uitgever en meldde het datalek bij toezichthouders voor gegevensbescherming. In de verklaring van het bedrijf worden Monavate Ltd en UAB Monavate genoemd als de regionale uitgevers.

Twee vragen blijven onbeantwoord: het aantal getroffen klanten en de precieze soorten gelekte persoonlijke gegevens. Gnosis Pay heeft nog niet verduidelijkt of de hoeveelheid gelekte informatie per klant verschilde. Het bedrijf zei ook dat klantgelden en het kaartplatform dat het voor andere bedrijven exploiteert niet zijn aangetast, al is daarvoor geen onafhankelijke bevestiging. Die openstaande details, samen met eventuele bevindingen van de toezichthouders voor gegevensbescherming die Gnosis Pay heeft geïnformeerd, zijn de belangrijkste ontwikkelingen om te volgen nu de afhandeling van het datalek verder vordert.

Waarom self-custody identiteitsgegevens niet beschermde

Het incident legt een zwakte bloot in zelfbeheerde betaalkaarten: klanten kunnen weliswaar de cryptocurrency in hun wallets beheren, maar betaalbedrijven bewaren nog steeds hun identiteitsdocumenten, adressen en bankgegevens — gegevens die kunnen worden blootgesteld zonder dat de gelden worden aangeraakt. Andere datalekken bij crypto-wallets hebben vergelijkbare risico's laten zien, waaronder een recente phishingwaarschuwing voor Trezor-gebruikers.

De mogelijke gevolgen werden duidelijk toen Lefteris Karapetsas, oprichter van Rotki, in een post op X zei dat zijn naam, thuisadres, kaartnummer en alle aan zijn account gekoppelde walletadressen waren blootgesteld. Zijn geval bevestigt niet wat er met andere gebruikers is gebeurd, en Gnosis Pay heeft officieel niet bevestigd of ook e-mailadressen, telefoonnummers, kaartbeveiligingscodes en bankgegevens zijn gelekt.

Het koppelen van iemands identiteit en thuisadres aan zijn crypto-wallets creëert een extra risico. Crimineelen kunnen dergelijke informatie gebruiken om overtuigende phishingberichten te versturen of potentiële doelen te identificeren. Chainalysis schatte dat gewelddadige aanvallen op cryptohouders tot medio 2026 tot meer dan $30 miljoen aan verliezen hebben geleid, al is er geen bewijs dat die aanvallen verband houden met het datalek bij Gnosis Pay.

Een datalek, niet de exploit van juni

Het datalek van november staat los van de Zodiac smart-contract-exploit die Gnosis Pay in juni trof. Aanvallers misbruikten een softwarekwetsbaarheid om ruim $1,5 miljoen te stelen, terwijl nog eens $300.000 ontoegankelijk werd. Gnosis dekte later de verliezen en stelde klantgelden weer beschikbaar, zoals Cryptopolitan meldde. Gnosis heeft ook een post-mortem van de exploit gepubliceerd.

De twee incidenten legden verschillende zwaktes bloot. De aanval van juni richtte zich op de software die kaart-wallets beveiligt, terwijl het datalek van november persoonlijke gegevens blootlegde die in een ouder systeem waren opgeslagen. Gnosis Pay zegt dat er bij het recente incident geen klantgelden zijn gestolen.

Een krimpende kaart nu de markt groeit

Het systeem dat door het datalek van november is getroffen, stond al gepland voor buitengebruikstelling. In september kondigde Gnosis Pay in een formele kennisgeving aan dat zijn consumentenkaarten op 20 december om 23:59 UTC buiten werking zouden treden. De web-app blijft beschikbaar voor opnames nu het bedrijf zich richt op het leveren van kaartdiensten aan andere bedrijven. Voor klanten die door het datalek zijn getroffen betekent dat schema dat de getroffen kaarten al op 20 december offline gaan, terwijl de resterende kaartactiviteiten van het bedrijf draaien op het platform waarvan het zegt dat dit niet is aangetast.

Ook het consumentenbedrijf van Gnosis Pay verloor terrein. De kaartuitgaven in oktober daalden van $12,05 miljoen in 2025 naar ongeveer $6,1 miljoen in 2026, een daling van bijna 50%.

De bredere markt bewoog in de tegenovergestelde richting. De bijgehouden crypto-kaartuitgaven verdrievoudigden bijna in dezelfde periode, van $464 miljoen naar $1,37 miljard. Ondertussen meldde Visa meer dan 160 aan stablecoins gekoppelde kaartprogramma's, met een betaalvolume dat bijna 200% op jaarbasis steeg — een groei waarover Cryptopolitan ook berichtte.

Omdat de daling van de uitgaven bij Gnosis Pay vóór het datalek van november begon, kunnen de cijfers niet aantonen of het incident de klantactiviteit heeft beïnvloed. De langetermijngevolgen voor de reputatie en het bedrijf van het bedrijf blijven onzeker.