Gnosis Pay 于11月6日披露，其旧版消费卡系统遭未授权访问，发生客户数据泄露。公司表示，客户资金及其企业平台未受影响，更严格的支付管控将持续至12月20日。此次公告发布之际，Gnosis Pay 此前已告知客户消费卡服务即将关闭。

根据该公司的公开声明，入侵于11月3日被发现，安全人员在两小时内开始遏制处置——比泄露事件公开披露早了三天。公司表示，受影响的凭据已被更换，被利用的漏洞也已修复。Gnosis Pay 尚未查明攻击者身份。

该公司于11月6日在 X 上发文公布了这一事件：

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

此次泄露暴露了哪些信息

Gnosis Pay 表示，此次泄露发生在其品牌消费卡项目背后的基础设施中，即公司的 B2C 业务线。Gnosis Pay 用于为其他公司提供卡项目支持的企业产品线为独立业务线，未受牵连。

每位受影响的用户已于11月6日收到电子邮件，说明其账户中被泄露的信息。公开通告未披露受影响人数或泄露的信息类别，公司也未提供发布更多技术细节的时间表。Gnosis Pay 表示已通知其业务合作伙伴、发卡机构及有关数据保护监管机构。根据欧盟《通用数据保护条例》（GDPR），组织通常须在知悉个人数据泄露后72小时内向主管监管机构报告——这一要求影响着欧洲支付行业的泄露事件响应方式。

Gnosis Pay 如何收紧卡片安全措施

作为对事件的回应，该公司启用了 3D Secure 协议，要求在交易完成前验证用户身份。该政策预计将持续实施至旧版消费系统关闭为止。

泄露事件发生后，部分消费者对公司的措施提出异议，用户就问责问题以及包含泄露数据的电子邮件可能引发钓鱼攻击的可能性提出了疑问。Gnosis Pay 提醒称，此类邮件可能引用个人数据或过往的合法交易。公司建议客户不要点击电子邮件、短信及其他通讯应用中的链接，仅通过官方网页应用或合作伙伴应用访问服务。

公司表示，其绝不会通过消息索取助记词、私钥、PIN 码或完整卡号，并警告用户警惕通过主动联络提出转移资金或重复身份验证的要求。这些提醒具有长期意义：泄露事件中被泄露的个人数据可能在事件发生很久后再次被用于钓鱼攻击，而且在整个关停期间，客户仍需使用网页应用进行提现、导出历史记录和更新定期付款信息，相关支持期将持续到2027年和2028年。

消费卡服务何时关闭

消费卡项目的关停在泄露事件发生之前已经启动。根据 Gnosis Pay 于9月21日发布的正式通知，品牌实体卡和虚拟卡已于当日23:59（UTC）后停止授权交易。

网页应用将停止提供除提现以外的服务。用户保留其自托管 Safe 账户中资金的所有权，不再依赖卡项目的可用性。

用户可以选择加入合作伙伴项目以继续使用卡片，此步骤需接受新的条款。无论用户是否选择加入合作伙伴项目，现有的 Gnosis Pay 品牌卡都将停止使用。

该通知敦促用户导出交易历史并更新定期付款信息。一般持卡人支持将于2027年6月18日结束，而退款和拒付处理协助将持续至2028年6月12日。

11月泄露事件与6月攻击有何不同

此次披露是今年影响该卡平台的第二起安全事故。6月，卡钱包系统遭受了另一次攻击。在7月3日发布的事后分析报告中，Gnosis Pay 承认 Zodiac 模块中的漏洞使黑客得以窃取价值近150万美元的加密货币。该缺陷源于卡保险库软件中的签名验证错误。公司表示其从容承担了损失，并为客户重新平衡了资金。

两起事件并列来看，暴露的风险类型有所不同：6月是链上攻击，涉及加密资产被盗；而11月的事件则以客户信息为核心——待解问题也从资产追回转向了数据保护。