Gnosis Pay uczyniło weryfikację 3D Secure obowiązkową dla wszystkich płatności kartowych online po wykryciu nieautoryzowanego dostępu do swojego starszego systemu kart konsumenckich. Dostawca płatności kryptowalutowych zidentyfikował włamanie 3 listopada 2026 r. i ujawnił incydent publicznie 6 listopada, potwierdzając, że część danych klientów została ujawniona. Nie odnotowano utraty środków klientów.

Dodatkowe kontrole weryfikacyjne pozostaną w mocy do 20 grudnia, kiedy Gnosis Pay planuje wygaszenie starszego systemu konsumenckiego. Firma poinformowała, że jej oddzielna platforma kart enterprise, napędzająca programy kart white-label dla partnerów, nie została objęta incydentem bezpieczeństwa.

Dodatkowa Weryfikacja Będzie Obowiązywać do Grudniowego Wyłączenia

Gnosis Pay poinformowało, że jego zespół bezpieczeństwa rozpoczął działania izolujące w ciągu dwóch godzin od wykrycia. Firma wymieniła naruszone poświadczenia i usunęła podstawową podatność. Zwiększyła również monitoring kart i portfeli pod kątem oszustw oraz prób dostępu do środków klientów.

Obowiązkowy 3D Secure dodaje krok weryfikacji tożsamości do zakupów kartowych online, wymagając od posiadacza karty potwierdzenia transakcji u wydawcy karty przed jej finalizacją. Ten mechanizm to powszechnie stosowany standard uwierzytelniania płatności kartowych, którego celem jest zapewnienie, że same skradzione dane karty nie wystarczą do zrealizowania zakupu online. Zabezpieczenia obowiązują przez pozostały okres funkcjonowania starszej operacji konsumenckiej. Gnosis Pay wcześniej już zapowiedziało plany wycofania interfejsów konsumenckich i przekierowania użytkowników do aplikacji partnerskich. Firma stwierdziła, że jej platforma enterprise pozostała nieobjęta incydentem — rozróżnienie to ogranicza potwierdzone narażenie do starszego systemu konsumenckiego, a nie do wszystkich integracji Gnosis Pay.

Firma Powiadamia Klientów i Organów Ochrony Danych

Gnosis Pay poinformowało, że wysłało e-mail do każdego dotkniętego klienta 6 listopada. Wiadomości te szczegółowo opisywały informacje uzyskane z poszczególnych kont. Publiczne oświadczenie nie określiło liczby dotkniętych użytkowników ani wszystkich kategorii ujawnionych danych. Nie zidentyfikowano również intruza ani nie wyjaśniono, jak doszło do nieautoryzowanego dostępu.

Firma powiadomiła partnerów i rozpoczęła komunikację z właściwymi organami ochrony danych oraz swoim wydawcą kart. Prowadzi analizę incydentu i organizuje specjalistyczny monitoring pod kątem możliwego niewłaściwego wykorzystania ujawnionych informacji.

Gnosis Pay ostrzegło klientów przed zachowaniem ostrożności wobec nieoczekiwanych wiadomości zawierających dane osobowe lub odniesienia do rzeczywistych zakupów kartowych. Firma zaznaczyła, że legalne wsparcie nigdy nie poprosi o frazy seed, klucze prywatne, kody PIN ani pełne numery kart. Zalecenie to odzwierciedla typowy wzorzec w oszustwach płatniczych, gdzie odniesienia do rzeczywistych zakupów i dane osobowe utrudniają odróżnienie wiadomości oszukańczych od prawdziwych.

Obowiązki Dotyczące Danych Kontynuowane po Wycofaniu Kart Konsumenckich

Grudniowe wyłączenie nie oznacza, że Gnosis Pay natychmiast usunie wszystkie rekordy klientów. Zgodnie z opublikowanymi wytycznymi dotyczącymi danych, rekordy tożsamości i transakcji są przechowywane przez pięć lat po zamknięciu konta, a korespondencja z działem wsparcia przez sześć lat.

Klienci mogą eksportować historię transakcji kartowych poprzez aplikację internetową konsumencką do 20 grudnia. Po tej dacie muszą wystąpić o rekordy bezpośrednio do firmy. Gnosis Pay zaznaczyło, że eksploratory blockchain nie mogą wyświetlać nazw sprzedawców ani szczegółów transakcji na poziomie karty, co oznacza, że klienci nie mogą zastąpić eksportu historii kart rekordami on-chain.

To ujawnienie dotyczy wyłącznie danych klientów i jest odrębne od czerwcowego exploita smart-contract wpływającego na portfele Gnosis Pay. Gnosis wcześniej potwierdziło w swoim poście pośmiertnym, że przywróciło utracone w tym incydencie środki.

Źródło: Blockonomi