Gnosis Pay 数据泄露事件波及旧版卡系统，泄露家庭住址与钱包信息
要点速览
- •Gnosis Pay 旧版消费者卡系统于11月3日遭未授权访问，并于11月6日披露，公司表示客户资金未受影响。
- •被入侵的系统是计划于2026年12月20日停运的直接面向消费者卡产品线，而合作伙伴使用的企业白标平台未受影响。
- •Gnosis Pay 表示，检测后两小时内即开始遏制处置，已更换受影响的安全凭证并修复了导致访问的漏洞。
- •各账户泄露的数据不尽相同；据 Rotki 创始人 Lefteris Karapetsas 公开分享的一例，包括完整家庭住址、姓名、卡号及与该账户关联的所有钱包，此类组合足以支撑定向钓鱼攻击。
- •公司已在系统停运前将3D Secure设为线上卡支付强制验证，并建议客户将意外联系视为可疑，切勿分享助记词、私钥、PIN 码或完整卡号。
Gnosis Pay 于11月6日披露，其旧版 Gnosis Pay 品牌消费者卡系统在11月3日遭到未授权访问，导致个人信息以及受影响账户所关联钱包的详细信息外泄。公司表示客户资金未受任何影响。该披露发布于公司博客文章，公司也在 X 上发布声明重申了相同要点。该披露时间晚于未授权访问发生三天。
受影响的系统是公司的直接面向消费者卡产品线，计划于2026年12月20日停运。承载合作伙伴卡项目的企业白标平台未受影响。据公司称，检测到入侵后两小时内即开始遏制处置，公司已更换受影响的安全凭证并修复了导致此次访问的漏洞。
公司回应与客户通知
在计划停运日期之前，Gnosis Pay 表示已加强对卡活动和关联钱包的监控，并将3D Secure设为所有线上卡支付的强制验证。公司称已向每位受影响客户发送邮件，每份通知均列明该账户被获取的具体数据字段。公司还向合作伙伴、发卡机构及数据保护监管机构报告了该事件。
公司重申资金未受影响。公司正在安排专业监控以防范泄露数据可能被滥用，并就个人信息泄露致歉。
各账户的泄露范围并不一致。Rotki 创始人 Lefteris Karapetsas 在 X 上公布了其通知详情，称邮件中包含其完整家庭住址和姓名，并列出了其卡号以及与该账户关联的所有钱包。尽管公司公开声明仅提及"部分客户信息"，但个别客户的邮件列出了更完整的信息清单。家庭住址、卡号与关联钱包地址的组合，正是足以支撑定向钓鱼攻击的数据集，而社会工程攻击可能在底层资金完好无损的情况下在很长时间内接踵而至。此案例也说明，围绕自托管构建的支付产品仍可能生成与链上标识并存的可识别身份（KYC 级）信息轨迹。
客户指引
公司对客户的建议非常直接：将意外收到的邮件、短信、电话或信件——包括提及 Gnosis Pay、合作应用或该卡的信息——视为可疑，即使其中包含真实的个人详细信息。不要点击此类消息中的链接。仅使用官方网页应用或合作应用。切勿分享助记词、私钥、PIN 码或完整卡号。Gnosis Pay 表示绝不会索取这些信息，绝不会通过邮件或短信要求"重新验证"身份，也绝不会要求客户通过这些渠道转移资金。
旧版系统为何仍然重要
此次泄露发生在品牌卡系统计划停运前数周，而非遥远的归档数据。仍处于该直接面向消费者路径的用户，在12月20日前的最后阶段将携带已泄露的身份与钱包关联信息。停运日期关闭的是服务，而非泄露影响——已泄露的信息在该日期之后仍超出公司控制范围。企业白标合作伙伴未受影响，缩小了波及范围，但直接持有 Gnosis Pay 卡的用户仍处于风险之中。
该事件与近期其他加密安全案例的模式相符：热钱包安然无恙，但用户依然受到伤害——余额未被清空，却泄露了大量可被利用的个人信息。无法转移资金的攻击者仍可冒充品牌，引用真实的家庭住址或貌似合理的卡号模式，并以"安全验证"为名索取助记词。当面向消费者的系统存储收货详情和关联钱包时，即使余额从未移动，泄露仍可造成伤害。
Gnosis Pay 表示，B2C 系统将于2026年12月20日停运，强制3D Secure验证在此之前持续有效。对受影响的持卡人而言，当前的风险更多在于可能冒充公司发来的后续消息，而非资金被盗。公司表示，对入站联系的警惕性与"余额未受影响"的保证同等重要。
