Gnosis Pay ujawniło w piątek 6 listopada, że atakujący uzyskali dostęp do danych osobowych klientów poprzez system legacy, który obsługiwał jej karty konsumenckie. W oficjalnym oświadczeniu firma oświadczyła, że ani środki klientów, ani jej platforma biznesowa nie zostały naruszone. Ujawnienie przypada w okresie spadku wydatków na kartach Gnosis Pay, mimo że szerszy rynek wciąż rośnie.

Co według Gnosis Pay się wydarzyło

Według firmy jej system monitoringu wykrył nieautoryzowany dostęp 3 listopada i dwie godziny później uruchomił proces powstrzymania incydentu. Gnosis Pay wymieniło naruszone dane uwierzytelniające, usunęło lukę i uczyniło usługę 3D Secure — dodatkowy krok uwierzytelniania przy płatnościach internetowych — obowiązkową dla wszystkich klientów do czasu wyłączenia systemu.

Klienci, których konta zostały objęte incydentem, otrzymali e-maile zawierające szczegółowe informacje o tym, które z ich danych zostały naruszone. Gnosis Pay poinformowało również partnerów, skontaktowało się z właściwym wystawcą i zgłosiło naruszenie organom ochrony danych. W oświadczeniu firmy wystawcami regionalnymi są Monavate Ltd i UAB Monavate.

Dwa pytania pozostają bez odpowiedzi: liczba poszkodowanych klientów oraz dokładne rodzaje ujawnionych danych osobowych. Gnosis Pay nie wyjaśniło jeszcze, czy ilość wycieknących informacji różniła się między klientami. Firma oświadczyła także, że środki klientów oraz platforma kartowa obsługiwana dla innych firm nie zostały naruszone, choć nie ma niezależnego potwierdzenia tych twierdzeń. Te niedoprecyzowane szczegóły, wraz z ewentualnymi ustaleniami organów ochrony danych, które Gnosis Pay powiadomiło, są głównymi kwestiami do obserwowania w miarę rozwoju reakcji na naruszenie.

Dlaczego self-custody nie chroniło danych tożsamościowych

Incydent ujawnia słabość samodzielnie zarządzanych kart płatniczych: klienci mogą kontrolować kryptowaluty w swoich portfelach, ale firmy płatnicze wciąż przechowują ich dokumenty tożsamości, adresy i dane bankowe — dane, które mogą zostać ujawnione bez dotykania środków. Podobne ryzyka pokazały inne naruszenia portfeli kryptowalutowych, w tym niedawny alert phishingowy dotyczący użytkowników Trezor.

Możliwe konsekwencje stały się oczywiste, gdy założyciel Rotki, Lefteris Karapetsas, napisał w poście na X, że ujawnione zostały jego imię i nazwisko, adres domowy, numer karty oraz wszystkie adresy portfeli powiązane z jego kontem. Jego przypadek nie potwierdza, co stało się z innymi użytkownikami, a Gnosis Pay nie oficjalnie potwierdziło, czy wyciekły także adresy e-mail, numery telefonów, kody bezpieczeństwa kart czy dane bankowe.

Powiązanie czyjejś tożsamości i adresu domowego z portfelami kryptowalutowymi tworzy kolejną warstwę ryzyka. Przestępcy mogą wykorzystać takie informacje do wysyłania przekonujących wiadomości phishingowych lub identyfikowania potencjalnych celów. Według szacunków Chainalysis gwałtowne ataki na posiadaczy kryptowalut przyniosły straty przekraczające 30 mln dolarów do połowy 2026 roku, choć nie ma dowodów łączących te ataki z naruszeniem w Gnosis Pay.

Naruszenie danych, a nie czerwcowy exploit

Naruszenie z listopada jest odrębne od exploita Zodiac na smart kontrakty, który uderzył w Gnosis Pay w czerwcu. Atakujący wykorzystali lukę w oprogramowaniu, by ukraść około 1,5 mln dolarów, a kolejne 300 tys. dolarów stało się niedostępne. Gnosis później pokryło straty i przywróciło środki klientów, jak raportował Cryptopolitan. Gnosis opublikowało również post-mortem exploita.

Oba incydenty ujawniły różne słabości. Atak z czerwca uderzył w oprogramowanie zabezpieczające portfele kart, podczas gdy naruszenie z listopada ujawniło dane osobowe przechowywane w starszym systemie. Gnosis Pay twierdzi, że w najnowszym incydencie nie skradziono żadnych środków klientów.

Kurcząca się karta w rosnącym rynku

System objęty naruszeniem z listopada był już wyznaczony do wycofania. We wrześniu Gnosis Pay poinformowało w formalnym zawiadomieniu, że jej karty konsumenckie przestaną działać o 23:59 UTC 20 grudnia. Aplikacja internetowa pozostanie dostępna dla wypłat, gdy firma przesuwa focus na świadczenie usług kartowych dla innych firm. Dla klientów objętych naruszeniem ten harmonogram oznacza, że dotknięte karty i tak mają zostać wyłączone 20 grudnia, podczas gdy pozostała działalność kartowa firmy działa na platformie, która — jak twierdzi — nie została naruszona.

Konsumencka działalność Gnosis Pay traciła też pozycje. Wydatki kartowe w październiku spadły z 12,05 mln dolarów w 2025 roku do około 6,1 mln dolarów w 2026 roku — spadek o prawie 50%.

Szerszy rynek poruszał się w przeciwnym kierunku. Śledzone wydatki na kartach krypto wzrosły niemal trzykrotnie — z 464 mln do 1,37 mld dolarów w tym samym okresie. Tymczasem Visa poinformowała o ponad 160 programach kart powiązanych ze stablecoinami, przy wolumenie płatności rosnącym o prawie 200% rok do roku — ekspansji, którą Cryptopolitan również opisał.

Ponieważ spadek wydatków Gnosis Pay rozpoczął się przed listopadowym naruszeniem, dane nie pozwalają stwierdzić, czy incydent wpłynął na aktywność klientów. Jego dłuższoterminowy wpływ na reputację i działalność firmy pozostaje niepewny.