Gnosis Pay poinformowało, że osoba trzecia uzyskała nieautoryzowany dostęp do jego systemu kart konsumenckich 3 listopada, ujawniając imiona i nazwiska klientów, adresy domowe, numery kart oraz adresy portfeli kryptowalutowych powiązane z ich kontami. Firma oświadczyła, że nie pobrano żadnych środków klientów, ale nie ujawniła, ilu użytkowników zostało dotkniętych.

O incydencie poinformowano w wpisie na blogu dotyczącym starszego systemu konsumenckiego Gnosis Pay, który obsługuje karty oznaczone marką Gnosis Pay i ma zostać wyłączony 20 grudnia. Raport CoinCentral jest dostępny tutaj.

Ujawnione dane

Lefteris Karapetsas, założyciel trackera portfeli kryptowalutowych Rotki, udostępnił w poście na X wiadomość e-mail od Gnosis Pay. Oświadczył, że ujawnione informacje obejmowały jego imię i nazwisko, pełny adres domowy, numer karty oraz każdy adres portfela powiązany z jego kontem.

„You had already lost me as a user but you could have at least protected my data” — napisał Karapetsas. Jego post pokazał, jak wyciek może powiązać tożsamość klienta ze świata rzeczywistego z jego posiadanościami kryptowalutowymi.

At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026

Adresy portfeli w publicznych blockchainach mogą ujawniać salda i historię transakcji. Po powiązaniu z imieniem i nazwiskiem oraz adresem domowym informacje te mogą zwiększać ryzyko ukierunkowanych oszustw. W przeciwieństwie do danych kart płatniczych, które wydawca może zablokować i wydać ponownie, publiczny adres portfela jest trwały, a jego aktywność on-chain pozostaje widoczna dla każdego, kto zna powiązanie między adresem a tożsamością.

Gnosis Pay oświadczyło, że wysłało e-mail do każdego dotkniętego użytkownika ze szczegółami ujawnionych informacji. Firma ostrzegła również, że oszuści mogą wykorzystać skradzione dane osobowe oraz informacje o poprzednich zakupach, aby fałszywe wiadomości wyglądały wiarygodnie.

Reakcja Gnosis Pay

Gnosis Pay oświadczyło, że wykryło włamanie 3 listopada i rozpoczęło jego opanowywanie w ciągu dwóch godzin. Firma wymieniła dotknięte poświadczenia bezpieczeństwa i usunęła lukę umożliwiającą nieautoryzowany dostęp.

Firma poinformowała, że środki klientów oraz jej oddzielna platforma dla przedsiębiorstw nie ucierpiały. Platforma enterprise obsługuje programy kartowe prowadzone przez inne firmy emitujące własne karty.

Gnosis Pay zaprezentowano w 2023 roku. Usługa pozwala klientom wydawać stablecoiny za pomocą kart debetowych Visa powiązanych z ich portfelami kryptowalutowymi. Według danych z Paymentscan usługa ma zannualizowany wolumen płatności około 67,6 miliona dolarów. Klienci przechowują środki we własnych portfelach i płacą nimi u akceptujących Visa handlowców. Taka struktura utrzymuje salda poza systemami firmy, choć obsługa kart nadal wiąże się z danymi osobowymi, które ten incydent ujawnił.

To drugi incydent bezpieczeństwa w Gnosis Pay w tym roku. W czerwcu exploit wykorzystujący lukę w oprogramowaniu portfela wypłukał około 1,5 miliona dolarów. Tamten atak różnił się od najnowszego incydentu, który ujawnił dane klientów, ale nie pozyskał środków.

Gnosis pokryło straty z czerwcowego exploita i przywróciło środki klientów. Później opublikowało analizę powyłamaniową wyjaśniającą podatność. Od tego czasu Gnosis Pay uczyniło weryfikację 3D Secure obowiązkową przy płatnościach kartowych online. Proces wymaga od klientów potwierdzenia tożsamości przed zakończeniem zakupu internetowego.

Firma zwiększyła również monitoring fraudów dla swoich kart konsumenckich. Działania te poprzedzają planowane wyłączenie starszego systemu konsumenckiego 20 grudnia. Do czasu zamknięcia systemu Gnosis Pay ostrzega użytkowników, że wiadomości zawierające ich dane osobowe lub informacje o zakupach mogą być fałszywe, nawet jeśli wyglądają autentycznie. Liczba dotkniętych użytkowników pozostaje nieujawniona w miarę zbliżania się daty wyłączenia.