Gnosis Pay poinformował w komunikacie z 6 listopada, że jego monitoring wykrył 3 listopada nieautoryzowany dostęp do systemu obsługującego karty własnej marki, a izolacja zagrożenia rozpoczęła się w ciągu dwóch godzin. Firma oświadczyła, że środki klientów i platforma enterprise nie ucierpiały, jednak powiadomienia wysłane do poszkodowanych klientów zawierają dane osobowe — od numerów kart po adresy domowe i powiązane portfele kryptowalutowe.

Wyciek w produkcie, który i tak jest wycofywany

Objęty incydentem system obsługuje konsumencki biznes Gnosis Pay: karty Visa debit sprzedawane pod własną marką i emitowane przez Monavate — firmę monetarną nadzorowaną przez brytyjski Financial Conduct Authority. Firma już wcześniej zaplanowała wycofanie tego systemu na 20 grudnia. Przechodzi na platformę enterprise, która prowadzi programy kartowe white-label dla innych firm i — według Gnosis Pay — nie została dotknięta.

Gnosis Pay oświadcza, że wymienił skompromitowane poświadczenia, usunął lukę i wysłał każdemu poszkodowanemu klientowi wiadomość z listą dokładnie tych danych, które zostały pobrane z jego konta.

To drugi incydent bezpieczeństwa tego produktu kartowego w tym roku. W czerwcu atakujący wykorzystali lukę w modułach oprogramowania portfeli używanych przez konta Gnosis Pay i wykradli około 1,5 mln dolarów. Gnosis pokrył te straty i przywrócił środki użytkownikom, jak opisano w jego raporcie powykonawczym. Oba incydenty różnią się charakterem: atak z czerwca wymierzył bezpośrednio w środki, natomiast włamanie z listopada — w dane kont.

Jedno z listopadowych powiadomień zostało upublicznione. Lefteris Karapetsas, założyciel trackera portfeli Rotki, udostępnił swoją wiadomość na X. CoinDesk poinformował, że zawierała ona jego imię i nazwisko, pełny adres domowy, numer karty oraz wszystkie adresy portfeli powiązane z kontem. Powiedział firmie, że „mogła przynajmniej chronić moje dane". Powiadomienia innych klientów mogą zawierać inne pola, więc to indywidualna wiadomość, a nie publiczne oświadczenie, wskazuje, na co dana osoba musi zareagować.

Problem wycieczonego numeru karty kończy się 20 grudnia

Wycieknięty numer karty tworzy jedno bezpośrednie ryzyko: zakupy internetowe dokonane wyłącznie na podstawie danych karty. Główna poprawka Gnosis Pay wymierza dokładnie to zagrożenie. Firma uczyniła 3D Secure — mechanizm, który Visa promuje jako Visa Secure — obowiązkowym dla wszystkich płatności internetowych kartą. Dzięki temu wydawca karty może wymagać zatwierdzenia transakcji przez posiadacza karty. Gnosis Pay wzmocnił również monitoring fraudów w zakresie aktywności kart i portfeli.

Firma oświadcza, że oba środki pozostaną w mocy do czasu wyłączenia systemu konsumenckiego. Po 20 grudnia wyciekły numer będzie należał do karty, która już nie działa, więc ta część ekspozycji ma z góry określoną datę końcową.

Powiązanie z portfelem nie ma daty wygaśnięcia

Reszta wycieczonego rekordu nie traci ważności wraz z kartą. Adres portfela jest publiczny z założenia: każdy może otworzyć eksplorator bloków i sprawdzić jego saldo oraz pełną historię transakcji. Tego, czego adres zwykle nie ujawnia, to tożsamość. Rekord łączący go z danymi osobowymi i adresem domowym uzupełnia brakujący element, a to powiązanie pozostaje ważne tak długo, jak długo portfel jest używany. Takie powiązanie jest nieodłącznym elementem regulowanych programów kartowych, które muszą zweryfikować tożsamość klienta, zanim wydadzą kartę.

Nie oznacza to jednak, że środki stają się dostępne dla posiadacza danych. Zgodnie z wytycznymi wsparcia Gnosis Pay firma nigdy nie przechowywała kluczy klientów, więc skompromitowany system nie mógł ich zawierać, a nikt nie może wydawać środków z adresu na podstawie samej znajomości adresu.

To, co rekord daje atakującemu, to możliwość targetowania: kogo kontaktować, gdzie ta osoba mieszka i co wygląda na jej posiadane aktywa. Sam komunikat firmy zmierza w tym samym kierunku, zalecając klientom ostrożność w udostępnianiu adresu lub informacji o posiadanych środkach — zarówno online, jak i offline.

Kryptowaluty mają precedens pokazujący, jak długo takie dane pozostają użyteczne. W grudniu 2020 roku w sieci wyciekła baza danych skradziona producentowi portfeli sprzętowych Ledger. Firma potwierdziła, że zawierała około 272 000 rekordów klientów z imionami i nazwiskami, adresami pocztowymi oraz numerami telefonów. Ledger sam opisywał miesiące kampanii phishingowych, które nastąpiły, a City AM informował, że część klientów została zastraszona wizytami w domu, jeśli nie zapłaci.

Lista Ledgera pokazywała jedynie, że ktoś kupił portfel sprzętowy. Powiadomienie Karapetsasa, tak jak je udostępnił, idzie dalej: wiąże konkretną osobę z nazwiskiem z konkretnymi adresami, których salda może sprawdzić każdy.

Ta ekspozycja ma ograniczenia. Dla klientów, którzy trzymali w portfelu kartowym wyłącznie środki na bieżące wydatki, widoczne saldo może być niewielkie. Ochrona ta sięga jednak tylko tak daleko, jak długo portfele pozostają rozdzielone. Przelewy na portfel kartowy i z niego są rejestrowane on-chain i mogą prowadzić do adresów o większych saldach, a upublicznione powiadomienie wymieniało wszystkie powiązane adresy, a nie jeden.

Jak może wyglądać przekonujące oszustwo

Wycieczone dane osłabiają testy, które ludzie zwykle stosują wobec podejrzanych wiadomości. Brytyjski National Cyber Security Centre ostrzega, że przestępcy wykorzystują skradzione informacje, aby phishing wyglądał wiarygodnie. Ostrzega też, że rozgłos wokół wycieku pozwala im kontaktować się z osobami, których dane w ogóle nie zostały pobrane.

Wygaszanie produktu daje oszustom gotowy scenariusz. Strona pomocy dotycząca kart Gnosis Pay już ostrzega przed fałszywymi witrynami typu „przenieś swoje konto Gnosis Pay", fałszywymi ofertami partnerów i nieznajomymi oferującymi pomoc w przenoszeniu środków. Wiadomość powołująca się na prawdziwą transakcję, prawdziwy adres domowy i prawdziwą datę 20 grudnia może wyglądać jak rutynowa administracja kontem. W zeszłym tygodniu podobna taktyka wprowadziła fałszywą aplikację airdrop na wyróżnioną pozycję sklepu Solana Mobile, gdzie aplikacja żądała od użytkowników fraz odzyskiwania.

Oświadczenia samego Gnosis Pay dają klientom twarde kryteria weryfikacji. Firma oświadcza, że ani ona, ani jej aplikacje partnerskie nie poproszą o frazę seed, klucze prywatne, kod PIN ani pełny numer karty ani o ponowną weryfikację tożsamości e-mailem lub SMS-em. Oświadcza również, że nie żąda przelewów środków drogą mailową, SMS-ową ani telefoniczną. Te same wytyczne wsparcia mówią, że nie ma terminu granicznego na wypłatę środków przechowywanych samodzielnie. Każda wiadomość wiążąca przelew z datą 20 grudnia jest więc z definicji fałszywa.

Jeśli powiadomienie o wycieku trafiło do Twojej skrzynki

Przeczytaj własne powiadomienie przez oficjalny kanał. Otwórz aplikację webową Gnosis Pay lub aplikację partnera bezpośrednio, nigdy przez link w wiadomości, i sprawdź, jakie pola wymienia Twoja wiadomość. Gnosis Pay oświadcza, że zalecił dodatkowe działania w zależności od danych utraconych przez dane konto. Oficjalne aplikacje partnerskie są wymienione w Partner Marketplace.

Zablokuj kartę, jeśli jej numer został wymieniony. Blokada jest natychmiastowa i odwracalna z poziomu aplikacji. Zgłoszenie karty jako utraconej lub skradzionej anuluje ją trwale, a wymiany można zamawiać tylko do 20 grudnia. Wirtualną kartę można dodać natychmiast w aplikacji webowej, jeśli ktoś nadal potrzebuje płacić.

Sprawdź wszystkie ostatnie płatności. Nieuznane transakcje można zaskarżyć. Gnosis Pay oświadcza, że będzie obsługiwał spory i chargebacki do 24 maja 2028 roku, na długo po zaprzestaniu działania kart.

Zacznij gromadzić środki od nowa pod nowym adresem. Środki otrzymane na adres, który nigdy nie pojawił się w rekordach Gnosis Pay, nie są powiązane z wyciekiem. Ustaw go we własnej aplikacji portfela, z własnej inicjatywy. Przenoszenie środków wprost z powiązanego adresu pozostawia ślad on-chain, więc to zawęża powiązanie, a nie usuwa je.

Poproś o swój pełny rekord danych. Gnosis Pay jest firmą zarejestrowaną w Wielkiej Brytanii, a brytyjskie prawo o ochronie danych uprawnia osoby do kopii danych osobowych, jakie firma na temat nich przechowuje. Taka kopia pokazuje dokładnie, co znajdowało się w aktach. Organizacje co do zasady muszą odpowiedzieć na takie wnioski w ciągu miesiąca.

Czego Gnosis Pay jeszcze nie powiedział

Gnosis Pay nie ujawnił trzech rzeczy:

• ilu klientów zostało dotkniętych;
• kiedy rozpoczęło się włamanie — 3 listopada to tylko data jego wykrycia;
• czy wyeksponowane dane kart obejmowały daty ważności lub kody zabezpieczające, co decyduje o użyteczności wyciekłych numerów przed 20 grudnia.

Firma oświadcza, że pozostaje w kontakcie z organami ochrony danych oraz swoim wydawcą kart i zleciła specjalistyczny monitoring pod kątem śladów nadużywania skradzionych danych. Brytyjskie przepisy o ochronie danych wymagają, aby organizacje powiadamiały Information Commissioner's Office — krajowy organ ochrony danych — o kwalifikującym się naruszeniu danych osobowych w ciągu 72 godzin od jego wykrycia. Wynik tego monitoringu lub oświadczenie regulatora byłoby pierwszym publicznym potwierdzeniem, że dane trafiły ze skompromitowanego serwera do aktywnych oszustw. W tym samym kierunku wskazywałyby zgłoszenia fałszywych ofert migracji cytujących prawdziwe dane klientów przed wyłączeniem 20 grudnia.