Dostawca kart płatniczych krypto Gnosis Pay poinformował w piątek, że hakerzy uzyskali dostęp do danych klientów poprzez system obsługujący karty oznaczone własną marką firmy — to najnowszy z serii incydentów bezpieczeństwa, które dotknęły branżę kryptowalut.

Gnosis Pay oferuje samozarządzane (self-custodial) karty płatnicze krypto, które pozwalają użytkownikom wydawać stablecoiny i inne tokeny ze swoich portfeli u sprzedawców na całym świecie.

Systemy monitoringu firmy wykryły nieautoryzowany dostęp 3 listopada, a powstrzymanie intruza rozpoczęło się w ciągu dwóch godzin — poinformowała Gnosis Pay we wpisie na blogu. Firma wymieniła od tego czasu skompromitowane dane uwierzytelniające i usunęła lukę. Środki klientów nie zostały naruszone — zapewniła firma.

Naruszenie dotyczyło wyłącznie konsumenckiego biznesu Gnosis Pay, którego platforma i tak była już zaplanowana do wycofania 20 grudnia. Naruszony system obsługiwał karty oznaczone marką Gnosis Pay — bezpośrednią linię kart konsumenckich firmy. Jej platforma enterprise, która zasila programy kart white-label dla firm fintech, portfeli i neobanków, nie została naruszona. Incydent pokazuje niuans produktów self-custodial: nawet gdy użytkownicy zachowują kontrolę nad środkami, dane osobowe przechowywane przez dostawcę usługi nadal mogą zostać ujawnione.

Gnosis Pay nie podała, ilu klientów zostało dotkniętych ani jakie konkretne dane zostały ujawnione, ale powiedziała, że wysłała e-mail do każdego z dotkniętych klientów ze szczegółami tego, co zostało pobrane z ich kont.

„Chociaż środki nie zostały naruszone, bezpieczeństwo informacji osobistych jest równie ważne i bierzemy za to pełną odpowiedzialność” — napisała firma na X.

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

W odpowiedzi na incydent Gnosis Pay poinformowała, że wzmocniła monitoring aktywności kart i powiązanych portfeli pod kątem oznak oszustw. Uczyniła także 3D Secure — dodatkowy krok weryfikacji przy zakupach online — obowiązkowym dla wszystkich płatności kartowych w internecie do czasu wycofania platformy konsumenckiej 20 grudnia.

Firma powiedziała, że zgłosiła naruszenie swoim partnerom, wydawcy kart i organom ochrony danych oraz organizuje specjalistyczny monitoring pod kątem oznak niewłaściwego wykorzystania ujawnionych danych. Zaplanowane na 20 grudnia wycofanie naruszonej platformy oraz prowadzony monitoring będą kluczowymi wydarzeniami do obserwowania.

Gnosis Pay zaapelowała do klientów, aby byli ostrożni wobec nieoczekiwanych wiadomości dotyczących ich kart — nawet tych zawierających prawdziwe dane osobowe lub odniesienia do wcześniejszych zakupów. Taka ostrożność to standardowa wskazówka po naruszeniach danych, ponieważ przestępcy często wykorzystują skradzione dane osobowe, aby fałszywe wiadomości wydawały się wiarygodne. Firma oświadczyła, że nigdy nie poprosi użytkowników o frazy seed, kody PIN ani pełne numery kart, ani o przesyłanie środków. Klientom doradzono również ostrożność w udostępnianiu adresu zamieszkania lub informacji o posiadanych kryptowalutach — zarówno online, jak i offline.

To ostatnie ostrzeżenie odzwierciedla rosnące zagrożenie. Fizyczne „ataki kluczem” (tzw. wrench attacks) na posiadaczy kryptowalut — w tym włamania do domów i porwania — zmierzały do rekordowego roku, po tym jak w pierwszej połowie 2026 roku skradziono ponad 30 milionów dolarów, według firmy analitycznej blockchain Chainalysis.

Ujawnienie następuje po kilku innych ostatnich naruszeniach w sektorze krypto. Oprócz rekordowego włamania na 6,4 miliarda dolarów do największej giełdy kryptowalut Binance, konkurencyjna platforma handlowa Coinbase poinformowała w zeszłym tygodniu, że naruszenie u dostawcy analityki Amplitude ujawniło niektóre dane kontaktowe klientów.

W zeszłym miesiącu producent portfeli sprzętowych Ledger oświadczył, że wszystkie potwierdzone przypadki podejrzanego wypływu środków o wartości 87 milionów dolarów dotyczyły urządzeń kupionych od CryptoBilis — dystrybutora z Azji Południowo-Wschodniej — i wezwał niedawnych kupujących do przeniesienia środków na nowe urządzenia.