Gnosis Pay сообщила, что 3 ноября посторонняя сторона получила несанкционированный доступ к её потребительской карточной системе, в результате чего были раскрыты имена клиентов, домашние адреса, номера карт и связанные с их счетами адреса криптовалютных кошельков. Компания заявила, что средства клиентов похищены не были, но не раскрыла число затронутых пользователей.

Об инциденте было сообщено в блоге, посвящённом устаревшей потребительской системе Gnosis Pay, которая обслуживает карты под брендом Gnosis Pay и будет отключена 20 декабря. Отчёт CoinCentral доступен здесь.

Раскрытые данные

Лефтерис Карапетас, основатель криптовалютного портфельного трекера Rotki, опубликовал в X письмо от Gnosis Pay. По его словам, раскрытая информация включала его имя, полный домашний адрес, номер карты и все адреса кошельков, связанные с его аккаунтом.

«Вы уже потеряли меня как пользователя, но могли бы хотя бы защитить мои данные», — написал Карапетас. Его публикация показала, как утечка может связать реальную личность клиента с его криптовалютными активами.

At this point I really don't know what to say @gnosispay – Full home, name and address details – Card number – All wallet addresses linked to the account Extremely disappointed. You had already lost me as a user but you could have at least protected my data …. Damn shame,… pic.twitter.com/e4yqNZquxJ — Lefteris Karapetsas (@LefterisJP) November 6, 2026

Адреса кошельков в публичных блокчейнах могут раскрывать балансы и историю транзакций. Если они связаны с именем и домашним адресом человека, эта информация может повысить риск целевых мошеннических атак. В отличие от данных платёжных карт, которые эмитент может заблокировать и перевыпустить, публичный адрес кошелька постоянен, и его активность в блокчейне остаётся видимой для любого, кто знает связь между адресом и личностью.

Gnosis Pay сообщила, что направила каждому затронутому пользователю письмо с подробностями о раскрытой информации. Компания также предупредила, что мошенники могут использовать украденные персональные данные и сведения о прошлых покупках, чтобы делать фишинговые сообщения убедительными.

Реакция Gnosis Pay

Gnosis Pay сообщила, что обнаружила вторжение 3 ноября и начала его локализацию в течение двух часов. Компания заменила затронутые учётные данные безопасности и устранила уязвимость, обеспечившую несанкционированный доступ.

По словам компании, средства клиентов и отдельная корпоративная платформа не пострадали. Корпоративная платформа обслуживает карточные программы других компаний, выпускающих собственные карты.

Gnosis Pay была представлена в 2023 году. Сервис позволяет клиентам тратить стейблкоины с помощью дебетовых карт Visa, привязанных к их криптовалютным кошелькам. По данным Paymentscan, годовой объём платежей сервиса составляет около 67,6 млн долларов. Клиенты хранят средства в собственных кошельках и расплачиваются картами у мерчантов, принимающих Visa. Такая структура удерживает балансы вне систем компании, хотя работа с картами по-прежнему связана с персональными данными, которые раскрыла эта утечка.

Это второй инцидент безопасности Gnosis Pay за год. В июне эксплойт, использовавший уязвимость в программном обеспечении кошельков, похитил около 1,5 млн долларов. Та атака отличалась от последнего инцидента, который раскрыл данные клиентов, но не затронул средства.

Gnosis покрыла потери от июньского эксплойта и восстановила средства клиентов, а затем опубликовала посмертный разбор с объяснением уязвимости. С тех пор Gnosis Pay сделала верификацию 3D Secure обязательной для онлайн-платежей по картам. Эта процедура требует от клиентов подтверждения личности до завершения онлайн-покупки.

Компания также усилила мониторинг мошенничества по потребительским картам. Эти меры приняты перед запланированным отключением устаревшей потребительской системы 20 декабря. До отключения системы Gnosis Pay предупредила пользователей, что сообщения, содержащие их персональные данные или сведения о покупках, могут быть мошенническими, даже если они выглядят подлинными. Число затронутых пользователей по-прежнему не раскрыто по мере приближения даты отключения.