В уведомлении от 6 ноября Gnosis Pay сообщил, что система мониторинга 3 ноября выявила несанкционированный доступ к системе, обслуживающей его собственные брендированные карты, а локализация угрозы началась в течение двух часов. Компания заявила, что средства клиентов и корпоративная платформа не пострадали, однако уведомления, отправленные пострадавшим клиентам, содержат персональные данные: от номеров карт до домашних адресов и связанных криптокошельков.

Взлом продукта, который и так выводят из эксплуатации

Пострадавшая система обслуживает потребительский бизнес Gnosis Pay: дебетовые карты Visa, продаваемые под его собственным именем и выпущенные компанией Monavate — эмитентом электронных денег, имеющим лицензию Управления по финансовому регулированию и надзору Великобритании (FCA). Эту систему и так планировалось вывести из эксплуатации 20 декабря. Компания переходит на корпоративную платформу, которая запускает карточные программы white-label для других компаний и, по словам Gnosis Pay, не пострадала.

Gnosis Pay заявляет, что заменил скомпрометированные учётные данные, устранил уязвимость и отправил каждому пострадавшему клиенту письмо со списком того, что именно было извлечено из его аккаунта.

Это второй инцидент безопасности карточного продукта за этот год. В июне злоумышленники использовали уязвимость в программных модулях кошелька, применяемых аккаунтами Gnosis Pay, и похитили около 1,5 млн долларов. Gnosis покрыл эти убытки и вернул средства пользователей, согласно его разбору инцидента. Характер двух инцидентов различается: в июне атакующие нацеливались непосредственно на средства, а ноябрьское проникновение — на данные аккаунтов.

Одно из ноябрьских уведомлений стало публичным. Лефтерис Карапетас (Lefteris Karapetsas), основатель портфельного трекера Rotki, опубликовал своё письмо на X. CoinDesk сообщил, что в нём перечислены его имя, полный домашний адрес, номер карты и все адреса кошельков, связанные с его аккаунтом. Он заявил компании, что она «могла бы хотя бы защитить мои данные». В письмах других клиентов могут быть указаны другие поля, поэтому именно личное уведомление каждого человека, а не публичное заявление, показывает, на что ему нужно реагировать.

Проблема с номерами карт закончится 20 декабря

Утёкший номер карты создаёт один непосредственный риск: онлайн-покупки, совершённые только по реквизитам карты. Основное исправление Gnosis Pay направлено именно на это. Компания сделала 3D Secure — проверку, которую Visa брендирует как Visa Secure, — обязательной для всех онлайн-платежей по картам. Это позволяет эмитенту карты требовать подтверждения от держателя карты до завершения покупки. Gnosis Pay также усилил мониторинг мошенничества по операциям с картами и кошельками.

Компания сообщает, что обе меры будут действовать до отключения потребительской системы. После 20 декабря утёкший номер будет относиться к карте, которая больше не работает, поэтому у этой части угрозы есть фиксированный срок окончания.

Связь с кошельком не имеет срока окончания

Остальная часть утёкшей записи не утрачивает силу вместе с картой. Адрес кошелька публичен по своей природе: любой может открыть блокчейн-обозреватель и увидеть его баланс и полную историю транзакций. Чего у адреса обычно нет — это имени. Запись, связывающая его с личностью человека и домашним адресом, восполняет этот недостающий элемент, и эта связь сохраняется, пока кошелёк используется. Такая связь присуща регулируемым карточным программам, которые обязаны проверять личность клиента перед выпуском карты.

Это не ставит средства в досягаемость того, кто владеет данными. Справочная информация Gnosis Pay гласит, что компания никогда не хранила ключи клиентов, поэтому во взломанной системе их быть не могло, и никто не может тратить средства с адреса, просто зная его.

Что даёт запись злоумышленнику — это возможность прицельного воздействия: к кому подойти, где человек живёт и чем, как кажется, владеет. Собственное уведомление компании указывает на то же самое, советуя клиентам осторожно выбирать, кому сообщать свой адрес или размер активов — как онлайн, так и офлайн.

У криптосообщества есть прецедент того, как долго такие данные остаются полезными. В декабре 2020 года в сеть была выгружена база данных, украденная у производителя аппаратных кошельков Ledger. Компания подтвердила, что она содержала около 272 000 записей о клиентах с именами, почтовыми адресами и номерами телефонов. По словам самой Ledger, за этим последовали месяцы фишинговых кампаний, а City AM сообщал, что некоторым клиентам угрожали визитами на дом, если они не заплатят.

Список Ledger показывал лишь то, что кто-то купил аппаратный кошелёк. Уведомление Карапетаса, как он его опубликовал, идёт дальше: оно связывает поимённого человека с конкретными адресами, балансы которых может проверить любой.

У этой угрозы есть границы. Для клиентов, хранивших в карточном кошельке только средства на траты, видимый баланс может быть небольшим. Эта защита действует лишь до тех пор, пока кошельки остаются раздельными. Переводы на карточный кошелёк и с него записываются в блокчейне и могут вести к более крупным адресам, а в опубликованном уведомлении были перечислены все связанные адреса, а не один.

Как может выглядеть убедительная подделка

Утёкшие данные ослабляют проверки, которые люди обычно применяют к подозрительным сообщениям. Британский Национальный центр кибербезопасности предупреждает, что преступники используют украденную информацию, чтобы фишинг выглядел легитимным. Он также предупреждает, что огласка вокруг взлома позволяет им выходить на людей, чьи данные не были похищены.

Свёртывание сервиса даёт мошенникам готовый сценарий. Страница помощи по картам Gnosis Pay уже предупреждает о поддельных сайтах «переноса вашего аккаунта Gnosis Pay», фальшивых предложениях партнёров и незнакомцах, предлагающих помочь перевести средства. Сообщение, ссылающееся на реальную покупку, реальный домашний адрес и реальную дату 20 декабря, может сойти за рутинное администрирование аккаунта. На прошлой неделе аналогичная тактика позволила поддельному приложению с аирдропом занять рекламный слот в магазине Solana Mobile, где оно запрашивало у пользователей фразы восстановления.

Собственные заявления Gnosis Pay дают клиентам чёткие критерии проверки. Компания сообщает, что ни она, ни её партнёрские приложения не будут запрашивать seed-фразу, приватные ключи, PIN-код или полный номер карты, а также не будут просить клиентов повторно подтверждать личность по электронной почте или SMS. Она также не запрашивает переводы средств по электронной почте, SMS или телефону. В той же справочной информации сказано, что для вывода средств в самостоятельное хранение нет срока. Любое сообщение, привязывающее перевод к 20 декабря, таким образом, заведомо ложно.

Если уведомление о взломе попало в ваш почтовый ящик

Прочитайте своё уведомление через официальный канал. Откройте веб-приложение Gnosis Pay или приложение партнёра напрямую, никогда не по ссылке в сообщении, и проверьте, какие поля перечислены в вашем письме. Gnosis Pay заявляет, что рекомендовал дополнительные действия в зависимости от того, какие данные потерял каждый аккаунт. Официальные партнёрские приложения перечислены в его Partner Marketplace.

Заблокируйте карту, если был указан её номер. Блокировка мгновенная и обратимая из приложения. Заявление о потере или краже карты отменяет её навсегда, а заказать перевыпуск можно только до 20 декабря. Виртуальную карту можно мгновенно добавить в веб-приложении тем, кому ещё нужно платить.

Проверьте все недавние платежи. Нераспознанные транзакции можно оспорить. Gnosis Pay заявляет, что будет продолжать обрабатывать споры и чарджбэки до 24 мая 2028 года — задолго после того, как карты перестанут работать.

Начните новые накопления с нового адреса. Средства, полученные на адрес, который никогда не фигурировал в записях Gnosis Pay, не связаны с утечкой. Создайте его в собственном кошельке по собственной инициативе. Прямой перевод средств со связанного адреса оставляет след в блокчейне, поэтому это скорее сужает связь, чем стирает её.

Запросите свою полную запись. Gnosis Pay — компания, зарегистрированная в Великобритании, и британское законодательство о защите данных даёт физическим лицам право на копию персональных данных, которые компания хранит о них. Организации, как правило, должны отвечать на такие запросы в течение одного месяца, и копия показывает, что именно было в файле.

Чего Gnosis Pay пока не сообщил

Gnosis Pay не раскрыл три вещи:

• сколько клиентов пострадало;
• когда началось проникновение, поскольку 3 ноября — лишь дата его обнаружения;
• включали ли утёкшие данные карты срок действия или коды безопасности, что определяет, насколько применимы утёкшие номера до 20 декабря.

Компания сообщает, что находится в контакте с органами по защите данных и своим эмитентом карт, а также организовала специализированный мониторинг признаков злоупотребления украденными данными. Британские правила защиты данных требуют, чтобы организации уведомили Управление комиссара по информации (ICO), национальный регулятор защиты данных, о подпадающем под определение случае утечки персональных данных в течение 72 часов с момента, как им стало о ней известно. Результат этого мониторинга или заявление регулятора стали бы первым публичным подтверждением того, что данные перешли со взломанного сервера в активные мошеннические схемы. О том же свидетельствовали бы и сообщения о фальшивых предложениях «миграции», цитирующих реальные данные клиентов до отключения 20 декабря.