Gnosis Pay poinformowała 6 listopada, że w jej wycofywanym systemie kart konsumenckich oznaczonych marką Gnosis Pay doszło 3 listopada do nieautoryzowanego dostępu — incydentu, który ujawnił dane osobowe oraz informacje o portfelach powiązanych z dotkniętymi kontami. Firma zapewniła, że środki klientów nie zostały naruszone. Ujawnienie pojawiło się w wpisie na blogu firmy, a firma powtórzyła te same informacje w oświadczeniu na X. To ujawnienie nastąpiło trzy dni po samym nieautoryzowanym dostępie.

Dotknięty system to bezpośrednio-konsumencka linia kart firmy, której wyłączenie zaplanowano na 20 grudnia 2026 r. Jej platforma enterprise white-label, na której działają programy kartowe partnerów, nie została naruszona. Według firmy powstrzymanie incydentu rozpoczęło się w ciągu dwóch godzin od wykrycia, a firma wymieniła naruszone poświadczenia bezpieczeństwa i naprawiła lukę, która umożliwiła dostęp.

Reakcja firmy i powiadomienia klientów

Do zaplanowanej daty wycofania Gnosis Pay zwiększyła, jak poinformowała, monitoring aktywności kartowej i powiązanych portfeli oraz uczyniła 3D Secure obowiązkowym dla wszystkich płatności internetowych. Firma wysłała e-maile do wszystkich dotkniętych klientów, a każde powiadomienie zawierało wykaz konkretnych pól danych pobranych z danego konta. Firma zgłosiła także incydent partnerom, wydawcy kart oraz organom ochrony danych.

Środki finansowe nie zostały naruszone, powtórzyła firma. Organizuje ona specjalistyczny monitoring pod kątem potencjalnego nadużycia wyciekłych danych i przeprosiła za ujawnienie danych osobowych.

Zakres ujawnienia nie był jednakowy we wszystkich kontach. Założyciel Rotki, Lefteris Karapetsas, opublikował szczegóły swojego powiadomienia na X, podając, że e-mail wymieniał jego pełny adres domowy i imię i nazwisko oraz wykazywał numer jego karty i wszystkie portfele powiązane z kontem. Podczas gdy publiczne oświadczenie firmy mówiło jedynie o „pewnych informacjach o klientach”, indywidualne e-maile zawierały pełniejszy wykaz. Połączenie adresu domowego, numeru karty i adresów powiązanych portfeli to zestaw danych, który może umożliwić ukierunkowany phishing, a próby inżynierii społecznej mogą nastąpić na długo po tym, jak środki pozostaną nietknięte. Sprawa pokazuje również, jak produkt płatniczy zbudowany wokół samodzielnej kontroli środków może nadal generować ślad tożsamości klasy KYC, istniejący obok identyfikatorów on-chain.

Wskazówki dla klientów

Zalecenia firmy dla klientów są bezpośrednie: traktować nieoczekiwane e-maile, SMS-y, połączenia lub listy — w tym te odnoszące się do Gnosis Pay, aplikacji partnera lub karty — jako podejrzane, nawet gdy zawierają prawdziwe dane osobowe. Nie klikać linków w takich wiadomościach. Korzystać wyłącznie z oficjalnej aplikacji internetowej lub aplikacji partnera. Nigdy nie ujawniać frazy seed, kluczy prywatnych, kodu PIN ani pełnego numeru karty. Gnosis Pay zapewnia, że nigdy o te informacje nie zapyta, nigdy nie zażąda „ponownej weryfikacji” tożsamości e-mailem ani SMS-em i nigdy nie poprosi klientów o przelanie środków tymi kanałami.

Dlaczego wycofywany system nadal ma znaczenie

Atak uderzył w kartowy system oznaczony marką firmy na tygodnie przed planowanym wyłączeniem — nie w odległe archiwum. Użytkownicy, którzy pozostają na tej bezpośrednio-konsumenckiej ścieżce, wnoszą teraz wyciekłe dane tożsamości i powiązania portfeli do ostatniego odcinka przed 20 grudnia. Data wycofania zamyka usługę, a nie samo ujawnienie — to, co już wyciekło, po tej dacie pozostaje poza kontrolą firmy. Partnerzy enterprise white-label zostali oszczędzeni, co zawęża zasięg skutków, ale bezpośredni posiadacze kart Gnosis Pay pozostają narażeni.

Incydent wpisuje się w wzorzec znany z innych ostatnich przypadków bezpieczeństwa w krypto, w których gorące portfele pozostają nietknięte, a użytkownicy mimo to cierpią: brak opróżnionych sald, lecz mnóstwo użytecznych danych osobowych. Atakujący, którzy nie mogą przenieść środków, nadal mogą podszywać się pod markę, przywoływać prawdziwy adres domowy lub wiarygodny wzór numeru karty i żądać „weryfikacji bezpieczeństwa”, która w rzeczywistości jest próbą wyłudzenia frazy seed. Gdy system skierowany do konsumentów przechowuje dane wysyłkowe i powiązane portfele, wyciek może nadal wyrządzić szkodę, nawet gdy salda nigdy nie zmienią właściciela.

Gnosis Pay poinformowała, że system B2C zostanie wycofany 20 grudnia 2026 r., a obowiązkowy 3D Secure pozostanie w mocy do tego czasu. Dla dotkniętych posiadaczy kart bezpośrednim ryzykiem jest raczej nie kradzież środków, lecz kolejne wiadomości, które mogą nadejść pod pozorem pochodzenia od firmy. Czujność wobec przychodzących kontaktów ma — jak wskazała firma — znaczenie równie duże jak jej zapewnienie, że salda pozostały nietknięte.

Źródło: Live Bitcoin News