Gnosis Pay potwierdził naruszenie bezpieczeństwa, które ujawniło wrażliwe dane klientów, w tym pełne numery kart płatniczych, kody bezpieczeństwa, adresy zamieszkania i dane portfeli kryptowalutowych, co wzbudziło obawy o kradzież tożsamości i ukierunkowane ataki na posiadaczy kryptowalut.

Firma wykryła nieautoryzowany dostęp do swojej starszej infrastruktury kart konsumenckich 3 listopada i ujawniła incydent 6 listopada w oficjalnym wpisie na blogu. Zespół ds. bezpieczeństwa rozpoczął opanowywanie incydentu w ciągu dwóch godzin, następnie wymieniając skompromitowane poświadczenia i usuwając lukę.

Gnosis Pay oświadczył, że środki klientów pozostały nienaruszone, a jego infrastruktura enterprise, która obsługuje programy kart white-label dla innych firm, nie została skompromitowana. Liczba poszkodowanych klientów i metoda uzyskania dostępu do ich danych nie zostały ujawnione.

Ujawnione numery kart, adresy domowe i dane portfeli

Powiadomienia wysłane do klientów wskazały szeroki zakres skompromitowanych informacji, w tym pełne imiona i nazwiska, adresy e-mail, numery telefonów, narodowości, adresy zamieszkania oraz adresy portfeli kryptowalutowych powiązanych z kontami Gnosis Pay. Co bardziej niepokojące, wyciekłe dane obejmowały pełne numery kart płatniczych, daty ważności i kody bezpieczeństwa CVV. Numer karty, data ważności i kod CVV to zazwyczaj wszystko, co jest potrzebne do zrealizowania płatności internetowej, co czyni tę kombinację jednym z najbardziej bezpośrednio użytecznych elementów wycieku. U części klientów skompromitowano również dane bankowe, w tym numery IBAN i BIC.

Dokumenty tożsamości i daty urodzenia nie zostały zidentyfikowane wśród wyciekłych informacji.

Założyciel Rotki, Lefteris Karapetsas, był wśród osób publicznie kwestionujących sposób, w jaki firma obchodziła się z wrażliwymi danymi klientów. Karapetsas ujawnił, że wyciekły jego adres domowy, pełne imię i nazwisko, numer karty płatniczej oraz powiązane adresy portfeli, wyrażając frustrację, że firma nie chroniła jego danych.

"Skrajnie rozczarowany. Już wcześniej straciłeś mnie jako użytkownika, ale mogłeś przynajmniej chronić moje dane", napisał na X.

Połączenie adresów fizycznych i identyfikatorów portfeli blockchain stwarza szczególne ryzyko dla prywatności. Atakujący mogą potencjalnie powiązać możliwe do zidentyfikowania osoby z ich posiadaniem kryptowalut, co ułatwia ukierunkowany phishing, podszywanie się pod inne osoby lub groźby fizyczne. W przeciwieństwie do skradzionych danych kart, które można anulować i wymienić, ujawnione informacje o miejscu zamieszkania i historyczne adresy blockchain nie mogą być łatwo zmienione ani usunięte.

Gnosis Pay anuluje karty i wprowadza obowiązkowy 3D Secure

Gnosis Pay anulował skompromitowane karty i wprowadził obowiązkowe uwierzytelnianie 3D Secure dla płatności internetowych, dodając kolejny wymóg weryfikacji przed zakończeniem transakcji. Firma zwiększyła również monitoring aktywności kart i podłączonych portfeli, powiadomiła indywidualnie poszkodowanych klientów oraz zgłosiła naruszenie swojemu wydawcy kart, partnerom biznesowym i właściwym organom ochrony danych. Dodatkowy monitoring jest organizowany w celu wykrywania potencjalnego nadużycia skompromitowanych informacji.

Dotknięta platforma konsumencka była już wcześniej zaplanowana do wyłączenia 20 grudnia 2026 roku, po decyzji Gnosis Pay o skoncentrowaniu się na infrastrukturze kart enterprise, jak opisano w formalnym zawiadomieniu o zamknięciu. Istniejący harmonogram zamknięcia pozostał bez zmian, a dodatkowe środki bezpieczeństwa mają obowiązywać do tego czasu.

Wcześniejszy exploit i kontekst branżowy

Incydent nastąpił po odrębnym exploitach z czerwca, dotyczącym Zodiac Delay Module Gnosis Pay, w wyniku którego ukradziono około 1,5 miliona dolarów, zanim Gnosis zwrócił środki poszkodowanym klientom. Nie ustalono związku między tymi dwoma incydentami.

Naruszenie nastąpiło także wkrótce po tym, jak Chainalysis ujawnił nieautoryzowany dostęp do danych klientów, a 12 stron internetowych kryptowalut zostało zaatakowanych w atakach StepDrainer. Wzięte razem, ostatnia seria incydentów obejmuje zarówno wycieki danych po stronie serwisów, jak i kampanie ataków wymierzone w konsumentów, umieszczając naruszenie w Gnosis Pay w szerszym ciągu wydarzeń związanych z bezpieczeństwem w sektorze krypto.

Gnosis Pay wezwał klientów, aby unikali nieoczekiwanych e-maili, telefonów i wiadomości SMS z prośbami o weryfikację konta lub transfery kryptowalut, nawet jeśli te komunikaty zawierają prawdziwe dane osobowe. Firma utrzymuje, że klucze portfeli i środki klientów nie zostały skompromitowane, ale ujawnienie informacji finansowych i identyfikujących pozostawia poszkodowanych użytkowników narażonych na potencjalne oszustwa i ryzyko prywatności także po grudniowym zamknięciu. Skala naruszenia i metoda dostępu pozostają nieujawnione, a w związku z tym, że monitoring wykrywania nadużyć jest dopiero organizowany, te otwarte kwestie są kluczowymi szczegółami do obserwowania w okresie poprzedzającym wyłączenie platformy.

Źródło: Crypto Adventure