Gnosis Pay 在其11 月 6 日的揭露聲明中表示，其監控系統於 11 月 3 日偵測到自有品牌卡片背後系統遭到未經授權的存取，並在兩小時內開始控制局面。公司表示客戶資金與企業平台未受影響，但發送給受影響客戶的通知列出的個人資料範圍涵蓋卡號、住家地址以及關聯的加密貨幣錢包。

一次發生在即將退役產品內部的資料外洩

受影響的系統承載 Gnosis Pay 的消費者業務：以自有品牌銷售、由獲英國金融行為監理總署（FCA）授權的電子貨幣機構 Monavate 發行的 Visa 簽帳卡。該公司早已將此系統排定於 12 月 20 日退役，並正在轉移至其企業平台——該平台為其他企業提供白牌卡片計畫，據 Gnosis Pay 表示並未受到影響。

Gnosis Pay 表示，公司已更換遭入侵的憑證、修復漏洞，並向每位受影響客戶發送電子郵件，列出其帳戶中被取走的確切資料。

這是該卡片產品今年第二起安全事件。今年 6 月，攻擊者利用 Gnosis Pay 帳戶所使用的錢包軟體模組中的漏洞，竊取了約 150 萬美元。根據其事後報告，Gnosis 承擔了這些損失並補償了用戶資金。兩起事件性質不同：6 月的攻擊者直接針對資金，而 11 月的入侵則是針對帳戶資料。

其中一份 11 月的通知已被公開。投資組合追蹤工具 Rotki 的創辦人 Lefteris Karapetsas 在 X 上分享了他收到的電子郵件。CoinDesk 報導指出，郵件列出了他的姓名、完整住家地址、卡號以及與其帳戶關聯的每個錢包地址。他告訴該公司，它「至少本可以保護我的資料」。其他客戶的電子郵件可能列出不同欄位，因此每個人應依據自己收到的通知（而非公開聲明）來判斷需要採取的行動。

卡號問題將於 12 月 20 日結束

外洩的卡號會帶來一個立即風險：僅憑卡片資訊即可進行線上購物。Gnosis Pay 的主要修復措施正是針對這一點。該公司已將 3D Secure——即 Visa 品牌名為 Visa Secure 的驗證機制——設為所有線上刷卡交易的強制要求。這使發卡機構可以在交易完成前要求持卡人進行確認。Gnosis Pay 也加強了對卡片與錢包活動的詐騙監控。

該公司表示，這兩項措施將持續實施至消費者系統停用為止。12 月 20 日之後，外洩的卡號屬於一張已無法使用的卡片，因此這部分的風險有明確的結束日期。

錢包關聯沒有結束日期

其餘外洩的紀錄並不會隨卡片停用而失效。錢包地址本質上是公開的：任何人都可以開啟區塊鏈瀏覽器，查看其餘額與完整交易紀錄。地址通常缺少的是姓名。而將地址與個人身份及住家地址配對的紀錄正好補上了這一塊，且只要錢包仍在使用，這種配對就持續有效。這種配對本身就是受監管卡片計畫的必然結果——發卡前必須驗證客戶身分。

這並不意味著持有資料的人就能接觸到資金。Gnosis Pay 的客服指引表示，公司從未保管客戶的私鑰，因此遭入侵的系統不可能包含私鑰，而且單憑知道某個地址也無法動用其中的資金。

這份紀錄為攻擊者提供的是鎖定目標的資訊：該接近誰、他們住在哪裡、以及他們看起來持有什麼。該公司自己的揭露聲明也指向同樣方向，提醒客戶無論線上或線下，都應謹慎選擇分享地址或持倉資訊的對象。

加密貨幣領域對這類資料能發揮作用多久早有先例。2020 年 12 月，硬體錢包製造商 Ledger 被竊的資料庫被公開丟上網路。該公司證實其中包含約 272,000 筆含有姓名、郵寄地址與電話號碼的客戶紀錄。Ledger 自己的說明描述了隨後數月的釣魚攻擊行動，City AM 報導則指出，部分客戶被威脅若不付款將遭上門拜訪。

Ledger 名單只顯示某人購買過硬體錢包。而 Karapetsas 分享的通知則更進一步：它將一位具名人士與任何人都能查詢餘額的特定地址連結起來。

這種暴露仍有限度。對於只在卡片錢包中存放消費資金的客戶而言，可見餘額可能很小。但這種保護只在錢包保持獨立時有效。轉入與轉出卡片錢包的交易都會記錄在鏈上，可能指向更大的地址，而公開的通知列出了每一個關聯地址，而非只有一個。

具說服力的詐騙訊息可能長什麼樣

外洩的細節會削弱人們通常用來檢驗可疑訊息的標準。英國國家網路安全中心（NCSC）警告，犯罪分子會利用竊取的資訊讓釣魚訊息看起來合法可信。該機構也警告，圍繞資料外洩的公開報導使他們得以接觸那些資料根本未被竊取的人。

系統停用過程更給了詐騙者現成的劇本。Gnosis Pay 的卡片協助頁面已經警告過假冒的「遷移您的 Gnosis Pay 帳戶」網站、假的合作夥伴優惠，以及主動提出協助轉移資金的陌生人。一則引用真實消費紀錄、真實住家地址和真實 12 月 20 日日期的訊息，可能被誤認為例行的帳戶管理通知。上週，類似手法將一個假冒空投應用程式放入了 Solana Mobile 的精選商店位置，並要求使用者提供助記詞。

Gnosis Pay 自己的聲明為客戶提供了明確的檢驗標準。該公司表示，無論是其本身還是合作夥伴應用程式，都不會要求提供助記詞、私鑰、PIN 碼或完整卡號，也不會要求客戶透過電子郵件或簡訊重新驗證身分。公司也表示不會透過電子郵件、簡訊或電話要求轉移資金。同一份客服指引指出，提取自助託管資金沒有任何期限。因此，任何將資金轉移與 12 月 20 日掛鉤的訊息，表面上看即是假的。

如果資料外洩通知寄到了您的信箱

透過官方管道閱讀您自己的通知。 直接開啟 Gnosis Pay 網頁應用程式或您的合作夥伴應用程式，絕不要透過訊息中的連結，並查看您的電子郵件列出了哪些欄位。Gnosis Pay 表示，已根據每個帳戶遺失的資料建議了額外行動。官方合作夥伴應用程式列於其合作夥伴市集。

如果您的卡號被列出，請凍結該卡片。 凍結可透過應用程式即時完成且可復原。掛失或通報卡片被竊將永久取消該卡片，而補卡只能於 12 月 20 日前申請。仍需消費的人可在網頁應用程式中即時新增一張虛擬卡片。

檢查每一筆近期交易。 不明交易可以提出爭議。Gnosis Pay 表示，爭議與拒付處理將持續至 2028 年 5 月 24 日，遠在卡片失效之後。

在新地址重新開始存放資產。 收入於從未出現在 Gnosis Pay 紀錄中的地址的資金，與此次外洩無關。請依自己的判斷，在自己的錢包應用程式中設定新地址。直接從關聯地址轉移資金會留下鏈上軌跡，因此這樣做只是縮小關聯，而非完全消除。

申請您的完整資料副本。 Gnosis Pay 是在英國註冊的公司，英國資料保護法賦予個人取得公司所持有其個人資料副本的權利。機構一般須在一個月內回覆此類請求，而該副本會顯示檔案中確切記錄了什麼。

Gnosis Pay 尚未說明的事項

Gnosis Pay 尚未揭露三件事：

• 受影響的客戶人數；
• 入侵實際開始的時間，因為 11 月 3 日只是偵測到入侵的日期；
• 外洩的卡片資料是否包含有效期限或安全碼，這決定了外洩卡號在 12 月 20 日之前的使用價值。

該公司表示，目前正與資料保護主管機關及其發卡機構保持聯繫，並已安排專業監控，以偵測被竊資料是否遭濫用的跡象。英國資料保護規定要求機構在知悉符合條件的個人資料外洩事件後 72 小時內，向該國資料保護主管機關資訊委員專員辦公室（ICO）通報。該監控的任何發現，或監管機構的聲明，將是資料已從遭入侵伺服器流向實際詐騙行動的首個公開確認。若在 12 月 20 日停用前出現引用真實客戶細節的假遷移優惠報告，也將指向同樣的結論。