Gnosis Pay 已證實發生一起安全漏洞事件，外洩了敏感的客戶資訊，包括完整的支付卡號、安全碼、居住地址與加密貨幣錢包細節，引發對身分盜用以及針對加密貨幣持有者定向攻擊的疑慮。

該公司於11月3日偵測到其舊版消費者卡片基礎設施遭到未經授權的存取，並於11月6日在官方部落格文章中揭露此事件。其安全團隊在兩小時內開始圍堵作業，隨後更換了遭入侵的憑證並修補該漏洞。

Gnosis Pay 表示客戶資金未受影響，而其為其他公司提供白標卡片計畫的企業基礎設施也未被入侵。受影響的客戶人數以及存取其資訊的方式均尚未公布。

卡號、住址與錢包資訊外洩

客戶的資料外洩通知中列出了廣泛的受損資訊，包括全名、電子郵件地址、電話號碼、國籍、居住地址，以及與 Gnosis Pay 帳戶關聯的加密貨幣錢包地址。更令人擔憂的是，外洩的紀錄中包含完整的支付卡號、有效期限與 CVV 安全碼。卡號、有效期限與 CVV 三者組合在一起，通常即足以完成線上刷卡支付，使這組資料成為此次外洩中最能被直接利用的資訊。部分客戶的銀行資訊也遭到外洩，包括 IBAN 與 BIC 詳細資料。

身分證件與出生日期並未出現在外洩資訊之中。

Rotki 創辦人 Lefteris Karapetsas 是公開質疑該公司處理敏感客戶紀錄方式的人士之一。Karapetsas 透露，他的住址、全名、支付卡號與關聯的錢包地址均遭外洩，並對公司未能保護他的資訊表達不滿。

"極度失望。你們早已失去我這個用戶，但至少可以保護好我的資料,"他在 X 上寫道。

實體地址與區塊鏈錢包識別碼的結合帶來特別的隱私風險。攻擊者可能將可識別的個人與其加密貨幣持倉聯繫起來，從而促成定向釣魚攻擊、身分冒用或人身威脅。與可被取消和更換的遭竊卡片憑證不同，外洩的居住資訊與歷史區塊鏈地址難以輕易更改或抹除。

Gnosis Pay 取消卡片並強制啟用 3D Secure

Gnosis Pay 已取消遭入侵的卡片，並為線上支付引入強制的 3D Secure 驗證，在交易完成前增加一道驗證要求。該公司也加強了對卡片活動與關聯錢包的監控，逐一通知受影響的客戶，並向其發卡機構、商業夥伴與相關資料保護主管機關通報了此事件。目前也在安排額外的監控措施，以偵測遭外洩資訊可能遭到的不當使用。

該受影響的消費者平台原本就已排定於2026年12月20日退役，Gnosis Pay 決定專注於企業卡片基礎設施，詳見正式關閉通知。現有的關閉時程維持不變，額外的安全措施預計將持續實施至屆時。

先前的攻擊事件與產業背景

此事件之前，Gnosis Pay 的 Zodiac Delay Module 於6月曾發生另一起攻擊事件，導致約150萬美元遭竊，隨後 Gnosis 向受影響的客戶進行了賠償。兩起事件之間尚未發現任何關聯。

此次資料外洩也發生在 Chainalysis 披露客戶資訊遭未經授權存取，以及12個加密貨幣網站遭到 StepDrainer 攻擊之後不久。綜觀來看，近期一連串事件涵蓋了服務端的資料外洩與針對消費者的攻擊行動，使 Gnosis Pay 這次事件成為加密產業更廣泛安全事件浪潮的一部分。

Gnosis Pay 已呼籲客戶避免回應要求帳戶驗證或加密貨幣轉帳的意外電子郵件、電話與簡訊，即使這些通訊中包含真實的個人資料。該公司堅稱錢包金鑰與客戶資金未被入侵，但財務與身分識別資訊的外洩，使受影響的用戶在12月平台關閉之後，仍將面臨潛在的詐騙與隱私風險。外洩規模與存取方式尚未公布，而不當使用偵測監控仍在安排之中，這些未決事項是在平台退役前值得關注的關鍵細節。

來源：Crypto Adventure