Gnosis Pay сообщила 6 ноября, что ее устаревшая потребительская карточная система под собственным брендом подверглась несанкционированному доступу 3 ноября — инцидент, в результате которого были раскрыты персональные данные и информация о кошельках, привязанных к затронутым аккаунтам. По словам компании, средства клиентов не пострадали. Сообщение было опубликовано в блоге компании, а те же пункты были повторены в заявлении в X. Раскрытие информации произошло через три дня после самого несанкционированного доступа.

Затронутая система — это линейка карт компании для розничных клиентов, снятие с обслуживания которой запланировано на 20 декабря 2026 года. Корпоративная white-label платформа, на которой работают партнерские карточные программы, не пострадала. По данным компании, локализация началась в течение двух часов после обнаружения; затронутые учетные данные безопасности были заменены, а уязвимость, обеспечившая доступ, устранена.

Реакция компании и уведомления клиентов

До запланированной даты закрытия Gnosis Pay заявила, что усилила мониторинг операций по картам и привязанных кошельков, а также сделала 3D Secure обязательным для всех онлайн-платежей по картам. Компания сообщила, что направила письма по электронной почте каждому затронутому клиенту, причем в каждом уведомлении был указан перечень конкретных полей данных, полученных из этого аккаунта. О инциденте также были уведомлены партнеры, эмитент карты и органы по защите данных.

Компания подчеркнула, что средства не пострадали. Организуется специализированный мониторинг на случай возможного злоупотребления утекшими данными; компания принесла извинения за раскрытие персональной информации.

Объем раскрытых данных не был одинаковым для всех аккаунтов. Основатель Rotki Лефтерис Карапетсас опубликовал детали своего уведомления в X, сообщив, что в письме были указаны его полное имя и домашний адрес, номер карты и все кошельки, привязанные к аккаунту. Если в публичном заявлении компании говорилось лишь о «некоторой информации о клиентах», то индивидуальные письма содержали более подробный перечень. Сочетание домашнего адреса, номера карты и адресов привязанных кошельков — это именно тот набор данных, который может быть использован для целевого фишинга, а попытки социальной инженерии возможны спустя долгое время после того, как сами средства остались на месте. Этот случай также показывает, как платежный продукт, построенный вокруг самостоятельного хранения активов, может оставлять идентификационный след уровня KYC, соседствующий с блокчейн-идентификаторами.

Рекомендации клиентам

Совет компании клиентам прямолинеен: любые неожиданные письма, SMS, звонки или письма почтой — в том числе те, где упоминаются Gnosis Pay, партнерское приложение или карта — следует считать подозрительными, даже если они содержат реальные персональные данные. Не переходите по ссылкам в таких сообщениях. Пользуйтесь только официальным веб-приложением или приложением партнера. Никогда не сообщайте seed-фразу, приватные ключи, PIN-код или полный номер карты. Gnosis Pay заявляет, что никогда не запрашивает эти данные, никогда не требует «повторной верификации» личности по электронной почте или SMS и никогда не просит клиентов переводить средства через эти каналы.

Почему устаревшая платформа по-прежнему важна

Взлом ударил по карточной системе под собственным брендом за несколько недель до ее запланированного закрытия — это был не далекий архив. Пользователи, оставшиеся на этом розничном пути, теперь несут с собой утечку идентификационных данных и связи с кошельками вплоть до 20 декабря. Дата снятия с обслуживания закрывает сервис, но не саму утечку — все, что уже утекло, после этой даты остается вне контроля компании. Корпоративные white-label партнеры не пострадали, что сузило масштаб инцидента, однако держатели карт Gnosis Pay напрямую остаются в зоне риска.

Инцидент вписывается в картину других недавних случаев в сфере криптобезопасности, когда хранящиеся онлайн кошельки остаются нетронутыми, а пользователи при этом страдают: балансы не опустошены, но объем пригодных для злоупотребления персональных данных велик. Злоумышленники, не способные переместить средства, могут выдавать себя за бренд, называть реальный домашний адрес или правдоподобный шаблон номера карты и запрашивать «проверку безопасности», которая на деле является попыткой выманить seed-фразу. Когда потребительская платформа хранит данные доставки и привязанные кошельки, взрыв все равно наносит ущерб, даже если балансы остаются на месте.

Gnosis Pay сообщила, что розничная (B2C) система будет выведена из эксплуатации 20 декабря 2026 года, и обязательный 3D Secure действует до этого момента. Для затронутых держателей карт непосредственный риск связан не столько с кражей средств, сколько с последующими сообщениями, которые могут приходить якобы от имени компании. Бдительность в отношении входящих контактов, по словам компании, важна не меньше, чем ее заверение, что балансы остались нетронутыми.

Источник: Live Bitcoin News