Gnosis Pay 已确认发生一起安全泄露事件，导致敏感客户信息外泄，包括完整的支付卡号、安全码、住址和加密货币钱包信息，引发了对加密货币持有者身份盗用和定向攻击的担忧。

该公司于11月3日检测到其旧版消费者卡基础设施遭到未经授权的访问，并于11月6日在官方博客文章中披露了此事。其安全团队在两小时内开始遏制，随后更换了泄露的凭据并修复了漏洞。

Gnosis Pay 表示，客户资金未受影响，为其他公司提供白标卡项目支持的企业级基础设施也未被攻破。受影响客户数量以及访问其信息的方式尚未披露。

卡号、住址与钱包信息外泄

客户泄露通知列出了大范围泄露的信息，包括全名、电子邮箱、电话号码、国籍、住址以及与 Gnosis Pay 账户关联的加密货币钱包地址。更令人担忧的是，泄露记录中包括完整的支付卡号、有效期和 CVV 安全码。卡号、有效期和 CVV 三者组合通常是在线完成卡支付所需的全部信息，因此这一组合是此次泄露中最具直接可利用性的数据之一。部分客户的银行信息也遭到泄露，包括 IBAN 和 BIC 信息。

身份证明文件和出生日期未在泄露信息之列。

Rotki 创始人 Lefteris Karapetsas 是公开质疑该公司处理敏感客户记录方式的人士之一。Karapetsas 透露，他的住址、全名、支付卡号和关联钱包地址均已被泄露，并表达了对公司未能保护其信息的失望之情。

"极其失望。你们早已失去了我这个用户，但至少可以保护好我的数据，"他在 X 上写道。

实体住址与区块链钱包标识的结合带来了特殊的隐私风险。攻击者可能将可识别的个人与其加密货币资产关联起来，从而实施定向钓鱼、冒充或人身威胁。与可注销和更换的被盗卡凭据不同，泄露的住址信息和历史区块链地址无法轻易更改或抹除。

Gnosis Pay 注销卡片并强制启用 3D Secure

Gnosis Pay 已注销受影响的卡片，并为在线支付强制启用 3D Secure 认证，在交易完成前增加了一道验证环节。该公司还加强了对卡片活动和关联钱包的监控，逐一通知受影响客户，并向其发卡机构、商业伙伴和相关数据保护机构报告了此次泄露。

公司正在安排额外的监控，以检测泄露信息可能遭受的滥用。

该受影响的消费者平台此前已计划于2026年12月20日退役，Gnosis Pay 决定专注于企业级卡基础设施，具体内容见正式关闭通知。现有关闭时间表保持不变，额外的安全措施预计将持续实施至届时。

此前漏洞事件与行业背景

此次事件之前，Gnosis Pay 的 Zodiac Delay Module 曾在6月遭遇另一起漏洞利用，约150万美元被盗，随后 Gnosis 向受影响客户进行了补偿。两起事件之间尚未发现关联。

此次泄露还发生在 Chainalysis 披露客户信息遭未经授权访问以及12个加密货币网站遭 StepDrainer 攻击之后不久。综合来看，近期这一系列事件涵盖了服务端数据泄露和面向消费者的攻击活动，使 Gnosis Pay 泄露事件成为加密行业更广泛安全事件浪潮中的一部分。

Gnosis Pay 已敦促客户警惕要求账户验证或加密货币转账的意外电子邮件、电话和短信，即使这些通讯中包含真实的个人信息。该公司坚称钱包私钥和客户资金未被攻破，但金融和身份信息的泄露使受影响用户在12月平台关闭之后仍面临潜在的欺诈和隐私风险。泄露规模和访问方式仍未披露，且滥用检测监控仍在安排中，这些未决事项是在平台退役前值得关注的关键细节。

来源：Crypto Adventure