Gnosis Pay 在其 11月6日的披露 中表示，其监控系统于11月3日检测到自有品牌卡背后的系统遭到未授权访问，并在约两小时内开始控制事态。该公司报告称，客户资金和企业平台未受影响，但发给受影响客户的通知中列出的个人信息涵盖卡号、家庭住址和关联加密钱包等。

一次发生在即将退役产品内部的数据泄露

受影响的系统承载着 Gnosis Pay 的消费级业务：以其自有品牌销售、由获英国金融行为监管局（FCA）授权的电子货币公司 Monavate 发行的 Visa 借记卡。该公司此前已安排该系统于12月20日退役，并将转向其企业平台——该平台为其他企业运营白标卡项目，据 Gnosis Pay 称未受影响。

Gnosis Pay 表示，公司已更换被泄露的凭证、修复了漏洞，并向每位受影响客户发送了电子邮件，列出其账户中被窃取的具体内容。

这是该卡产品今年的第二起安全事件。今年6月，攻击者利用 Gnosis Pay 账户所使用的钱包软件模块中的漏洞提取了约150万美元。根据其 事后分析报告，Gnosis 承担了损失并向用户返还了资金。两起事件性质不同：6月的攻击者直接窃取资金，而11月的入侵针对的是账户数据。

其中一份11月的通知已被公开。投资组合追踪工具 Rotki 的创始人 Lefteris Karapetsas 在 X 上分享了他收到的邮件。据 CoinDesk 报道，邮件中列出了他的姓名、完整家庭住址、卡号以及与其账户关联的每个钱包地址。他对该公司表示，其"至少本可以保护我的数据。"其他客户收到的邮件可能列出不同的字段，因此每个人需要根据自己收到的通知——而非公开声明——来判断应采取哪些行动。

卡号问题将于12月20日终结

泄露的卡号带来一项即时风险：仅凭卡信息即可进行在线购物。Gnosis Pay 的主要补救措施正是针对这一点。该公司已将 3D Secure——即 Visa 品牌化为 Visa Secure 的验证机制——设为所有在线卡支付的强制要求。这使发卡机构可以在交易完成前要求持卡人进行确认。Gnosis Pay 还加强了对卡和钱包活动的欺诈监控。

公司表示，这两项措施将持续至消费级系统停用为止。12月20日之后，泄露的卡号将属于一张已失效的卡，因此这部分风险暴露有一个明确的截止日期。

钱包关联没有截止日期

泄露记录的其余部分不会随卡一同失效。钱包地址在设计上是公开的：任何人都可以打开区块浏览器查看其余额和完整交易历史。地址通常缺失的是姓名。将地址与个人身份和家庭住址配对的记录恰好补上了这一缺失环节，且只要钱包仍在使用，这种配对就持续有效。这种配对是受监管卡项目的固有属性，因为发卡前必须验证客户身份。

这并不意味着持有这些数据的人就能触及资金。Gnosis Pay 的支持指引称，公司从未保管过客户的私钥，因此被入侵的系统中不可能包含私钥，任何人也无法仅凭知晓地址就动用其中的资金。

这份数据记录为攻击者提供的是锁定目标的能力：该接近谁、对方住在哪里、以及对方似乎持有什么。公司自己的披露也指向同一方向，提醒客户在线上和线下分享地址或持仓信息时须谨慎。

加密货币领域对此类数据能持续多久发挥作用已有先例。2020年12月，硬件钱包制造商 Ledger 被盗的数据库被公开到网上。该公司确认其中包含约27.2万条客户记录，含姓名、邮寄地址和电话号码。Ledger 自己的说明 描述了随后数月的钓鱼攻击活动，City AM 报道 称部分客户甚至受到上门威胁，除非付款了事。

Ledger 名单只能表明某人购买过硬件钱包。而 Karapetsas 公开的通知则更进一步：它将一个有名有姓的人与任何人都能查询余额的特定地址关联了起来。

这种暴露也有其局限。对于仅在卡钱包中存放消费资金的客户，可见余额可能很小。但这种保护仅在钱包相互独立的前提下才有效。卡钱包的转入和转出记录都在链上，可能追溯到更大的地址，而公开的通知列出的是所有关联地址，而不只是一个。

一条有说服力的诈骗信息可能是什么样子

泄露的信息会削弱人们通常用来判断可疑信息的标准。英国 国家网络安全中心 警告说，犯罪分子会利用被盗信息使钓鱼攻击看起来合法可信。该机构还警告，围绕泄露事件的公开报道会让犯罪分子得以接触那些数据并未被窃取的人。

业务停用为诈骗者提供了一份现成的剧本。Gnosis Pay 的 卡服务帮助页面 已经警告过假冒的"迁移您的 Gnosis Pay 账户"网站、虚假合作伙伴优惠以及陌生人主动提出帮助转移资金的情况。一条引用了真实购物记录、真实家庭住址和真实的12月20日截止日期的信息，很可能被当作例行的账户管理通知。上周，类似的手段曾将一款假空投应用送上 Solana Mobile 应用商店的精选位，诱骗用户提供恢复短语。

Gnosis Pay 自己的声明为客户提供了明确的判断标准。公司表示，其自身及合作应用都不会索要种子短语、私钥、PIN 码或完整卡号，也不会要求客户通过电子邮件或短信重新验证身份。公司还表示，不会通过电子邮件、短信或电话要求转移资金。同一份支持指引称，提取自托管资金没有截止期限。因此，任何将资金转移与12月20日挂钩的信息都是彻头彻尾的虚假信息。

如果泄露通知出现在您的收件箱

通过官方渠道查看您自己的通知。 直接打开 Gnosis Pay 网页应用或您的合作应用，切勿通过信息中的链接打开，并核对您的邮件中列出了哪些字段。Gnosis Pay 表示，已根据每个账户丢失的数据推荐了额外措施。官方合作应用列在其 Partner Marketplace 上。

如果卡号被列出，冻结该卡。 冻结操作即时生效且可在应用中撤销。报失或报盗 将永久注销该卡，换卡只能在12月20日之前申请。仍需消费的用户可在网页应用中即时添加虚拟卡。

核查每笔近期交易。 未认可的交易可以发起争议。Gnosis Pay 表示，将继续处理争议和拒付，直至2028年5月24日，远在卡失效之后。

在新地址重新开始持有资产。 从未出现在 Gnosis Pay 记录中的地址所收到的资金与此次泄露无关。请在您自己的钱包应用中自行创建新地址。直接从关联地址转移资金会留下链上痕迹，因此这样做只能缩小关联，而非彻底消除。

申请获取您的完整记录。 Gnosis Pay 是一家在英国注册的公司，英国数据保护法赋予个人获取公司所持其个人数据副本的权利。组织通常须在一个月内回复此类请求，副本会准确显示存档的内容。

Gnosis Pay 尚未说明的事项

Gnosis Pay 尚未披露三件事：

• 多少客户受到影响；
• 入侵始于何时，因为11月3日只是检测到入侵的日期；
• 被暴露的卡数据是否包含有效期或安全码，这决定了泄露的卡号在12月20日前有多大利用价值。

公司表示，正与数据保护当局及其发卡机构保持联系，并已安排专业监控以发现被盗数据被滥用的迹象。英国数据保护规则要求组织在知悉符合条件的个人数据泄露后72小时内通知该国数据保护监管机构信息专员办公室（ICO）。监控的发现或监管机构的声明，将是数据已从被入侵服务器流入实际诈骗活动的首个公开确认。在12月20日停用之前出现引用真实客户信息的虚假迁移优惠的报告，也将指向同样的结论。