Gnosis Pay 於 11 月 6 日披露，其舊版 Gnosis Pay 品牌消費者卡系統於 11 月 3 日遭未授權存取，導致個人資料及受影響帳戶連結錢包的資訊外洩。公司表示客戶資金未受影響。此揭露發布於公司部落格文章，該公司也在 X 上發布聲明重申相同內容。此披露時間是在未授權存取發生後三天。

受影響的系統是該公司直接面向消費者的卡業務，預定於 2026 年 12 月 20 日關閉。供合作夥伴卡計畫運作的企業白牌平台則未受影響。公司表示，偵測後兩小時內即展開圍堵，並已更換受影響的安全憑證、修補導致此次存取的漏洞。

公司回應與客戶通知

在預定退役日期之前，Gnosis Pay 表示已加強對卡片活動與連結錢包的監控，並將 3D Secure 列為所有線上刷卡的強制驗證。公司表示已以電子郵件通知每位受影響的客戶，每封通知均列出該帳戶被取走的具體資料欄位。該公司也已向合作夥伴、發卡機構及資料保護主管機關通報此事件。

公司重申資金未受影響，並正安排專業監控服務以應對外洩資料遭濫用的潛在風險，同時就個人資料外洩一事致歉。

各帳戶的外洩情形並不一致。Rotki 創辦人 Lefteris Karapetsas 在 X 上公布其通知內容，表示郵件中列出了他的完整住家地址與姓名，以及卡號和該帳戶連結的每一個錢包。雖然公司的公開聲明僅提及「特定客戶資訊」，但個別客戶的郵件列出了更完整的資料清單。住家地址、卡號與連結錢包地址的組合，正是可用於精準釣魚攻擊的資料類型，而社交工程攻擊也可能在資金原封不動的情況下於很久之後接踵而來。此案也顯示，以自我託管為賣點的支付產品，仍可能產生與鏈上識別資訊並存的 KYC 級身分紀錄。

給客戶的建議

公司對客戶的建議很直接：任何意外的電子郵件、簡訊、來電或信函——包括提及 Gnosis Pay、合作夥伴應用程式或該卡的訊息——即使包含真實的個人資料，都應視為可疑。切勿點擊此類訊息中的連結。僅使用官方網頁應用程式或合作夥伴應用程式。切勿分享助記詞、私鑰、PIN 碼或完整卡號。Gnosis Pay 表示，公司絕不會要求提供這些資訊，絕不會透過電子郵件或簡訊要求「重新驗證」身分，也絕不會要求客戶透過這些管道轉移資金。

為何舊版系統仍具重要性

此次事件襲擊的是一個距離預定關閉僅數週的品牌卡系統，而非遙遠的過往存檔。仍使用該直接面向消費者管道的用戶，其外洩的身分與錢包關聯資料將伴隨至 12 月 20 日前的最後階段。退役日期關閉的是服務，而非資料外洩風險——已外洩的資料在該日期之後仍不受公司控制。企業白牌合作夥伴未受波及，縮小了影響範圍，但直接持有 Gnosis Pay 卡的用戶仍處於風險之中。

此事件與近期其他加密貨幣安全案例的模式相符：熱錢包安然無恙，用戶卻仍受傷害——餘額未被盜刷，但大量可用的個人資料外流。無法轉移資金的攻擊者仍可冒充品牌，出示真實的住家地址或看似合理的卡號格式，並要求進行一場實為騙取助記詞的「安全驗證」。當面向消費者的系統儲存了寄送資訊與連結錢包時，即使餘額從未移動，資料外洩仍可能造成傷害。

Gnosis Pay 表示，B2C 系統將於 2026 年 12 月 20 日退役，在此之前 3D Secure 強制驗證持續有效。對受影響的持卡人而言，眼前的風險與其說是資金被竊，不如說是可能隨之而來、自稱來自公司的後續訊息。公司指出，對來路不明聯絡的警覺，與其「餘額未被動過」的保證同樣重要。

來源：Live Bitcoin News