Gnosis Pay сообщила 6 ноября об утечке данных клиентов после обнаружения несанкционированного доступа к устаревшей системе клиентских карт. Компания заявила, что средства клиентов и её корпоративная платформа не пострадали, а усиленные меры контроля платежей будут действовать до 20 декабря. Объявление появилось через несколько недель после того, как Gnosis Pay уже сообщила клиентам о закрытии сервиса клиентских карт.

Согласно публичному заявлению компании, вторжение было обнаружено 3 ноября, и сотрудники службы безопасности начали локализацию в течение двух часов — за три дня до публичного раскрытия инцидента. По словам компании, скомпрометированные учётные данные были заменены, а использованная уязвимость устранена. Gnosis Pay не установила личность злоумышленника.

Компания объявила об инциденте в публикации в X 6 ноября:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Какая информация была раскрыта при утечке

Gnosis Pay сообщила, что утечка произошла в инфраструктуре, обеспечивающей работу её клиентской картовой программы под собственным брендом — направлением B2C. Отдельная корпоративная линейка продуктов, которую Gnosis Pay использует для обеспечения картовых программ других компаний, затронута не была.

Каждый затронутый пользователь получил 6 ноября электронное письмо с описанием скомпрометированной информации из его аккаунта. В публичном уведомлении не раскрыто ни число затронутых лиц, ни категории утёкших данных, а компания не назвала сроки публикации дополнительных технических подробностей. Gnosis Pay сообщила, что уведомила бизнес-партнёров, эмитента карт и соответствующие органы по защите данных. Согласно Общему регламенту по защите данных Европейского союза (GDPR), организации, как правило, обязаны сообщать об утечках персональных данных компетентному надзорному органу в течение 72 часов с момента, когда им стало о них известно, — это требование определяет порядок реагирования на инциденты в платёжном секторе Европы.

Как Gnosis Pay ужесточила безопасность карт

В ответ на инцидент компания внедрила протокол 3D Secure, который требует подтверждения личности пользователя до завершения транзакции. Ожидается, что эта мера будет действовать до отключения устаревшей клиентской системы.

После утечки некоторые потребители выразили несогласие с принятыми мерами, задавая вопросы об ответственности и возможности фишинговых атак через письма с утёкшими данными. Gnosis Pay предупредила, что такие письма могут содержать персональные данные или упоминания о легитимных прошлых транзакциях. Компания посоветовала клиентам не переходить по ссылкам в письмах, SMS и других мессенджерах и пользоваться сервисом только через официальное веб-приложение или приложение партнёра.

Компания заявила, что никогда не запрашивает seed-фразы, приватные ключи, PIN-коды или полные номера карт через сообщения, а также предупредила о риске запросов на перевод средств или повторную верификацию личности при нежелательных контактах. Эти предостережения сохраняют актуальность надолго: персональные данные, утёкшие при инциденте, могут всплыть в фишинговых атаках спустя длительное время, а клиенты продолжат пользоваться веб-приложением для вывода средств, экспорта истории и обновления информации о регулярных платежах на протяжении всего периода сворачивания сервиса, окна поддержки которого продлеваются до 2027 и 2028 годов.

Когда закроется сервис клиентских карт

Сворачивание клиентской картовой программы началось до утечки. В официальном уведомлении, опубликованном 21 сентября, Gnosis Pay сообщила, что физические и виртуальные карты под её брендом перестанут авторизовывать транзакции после 23:59 UTC того же дня.

Веб-приложение прекратит предоставление всех сервисов, кроме вывода средств. Пользователи сохраняют право собственности на средства в своих некастодиальных аккаунтах Safe, которые больше не зависят от доступности картовой программы.

Пользователи могут по желанию присоединиться к партнёрской программе, чтобы продолжить пользоваться картой; для этого потребуется принять новые условия. В любом случае существующие карты под брендом Gnosis Pay перестанут работать.

В уведомлении пользователей призывают экспортировать историю транзакций и обновить информацию о регулярных платежах. Общая поддержка держателей карт завершится 18 июня 2027 года, а помощь по возвратам и чарджбэкам будет доступна до 12 июня 2028 года.

Чем ноябрьская утечка отличается от июньской атаки

Это объявление стало вторым инцидентом безопасности, затронувшим картовую платформу в этом году. В июне система карт-кошельков подверглась отдельной атаке. В разборе инцидента от 3 июля Gnosis Pay признала, что уязвимость в модулях Zodiac позволила хакерам вывести криптовалюту на сумму почти 1,5 млн долларов. Недостаток был связан с некорректной валидацией подписи в ПО card-safe. Компания заявила, что приняла убытки и восстановила баланс средств клиентов.

Если сопоставить эти два инцидента, они указывают на разные типы рисков: июньский стал ончейн-эксплойтом с хищением криптовалюты, тогда как ноябрьский касается данных клиентов — перемещая открытые вопросы от возврата активов к защите данных.