Gnosis Pay 在偵測到其舊版消費者卡片系統遭未經授權存取後，已將所有線上刷卡交易的 3D Secure 驗證列為強制。這家加密貨幣支付服務商於 2026 年 11 月 3 日發現入侵事件，並於 11 月 6 日對外公開，確認部分客戶資訊外洩。公司表示客戶資金並無損失。

新增的驗證機制將持續至 12 月 20 日，屆時 Gnosis Pay 計畫讓舊版消費者系統退役。公司表示，其為合作夥伴白標卡片計畫提供支援的獨立企業卡片平台未受此次安全事件影響。

額外驗證將持續至 12 月系統關閉為止

Gnosis Pay 表示，其資安團隊在偵測後兩小時內即開始控制事態。公司更換了受影響的憑證，並修補了根本漏洞。此外，公司也加強了對卡片與錢包的監控，防範詐欺行為及試圖存取客戶資金的行為。

強制 3D Secure 為線上刷卡交易增加了一道身分驗證步驟，持卡人須先向發卡機構確認交易，交易才能完成。此機制是廣泛使用的卡片支付驗證標準，目的在使竊取的卡片資訊本身不足以完成線上購物。相關防護措施將在舊版消費者業務的剩餘營運期間內持續生效。Gnosis Pay 此前已宣布計畫終止消費者介面，並將用戶導向合作夥伴應用程式。公司表示其企業平台未受影響，此一區別意味著已確認的資料外洩範圍僅限於較舊的消費者系統，而非所有 Gnosis Pay 整合服務。

公司通知客戶與隱私保護主管機關

Gnosis Pay 表示，已在 11 月 6 日以電子郵件通知每位受影響的客戶。這些郵件詳細說明了自個別帳戶存取的資訊。公開聲明並未說明受影響用戶的人數或所有外洩資料類別，也未指認入侵者或解釋未經授權存取是如何發生的。

公司已通知合作夥伴，並開始與相關資料保護主管機關及其發卡機構溝通。公司正在檢視此次事件，並安排專業監控服務，以防範外洩資訊可能遭濫用。

Gnosis Pay 提醒客戶對含有個人資料或提及真實刷卡交易的意外訊息保持警惕。公司表示，正當的客服人員絕不會要求提供種子助記詞、私鑰、PIN 碼或完整卡號。此提醒反映了支付詐欺中常見的模式：提及真實購物與個人資料的詐騙訊息，更難與正當訊息區分。

消費者卡片服務退役後資料義務仍持續

12 月的系統關閉並不代表 Gnosis Pay 會立即刪除所有客戶紀錄。根據其公布的資料指引，身分與交易紀錄在帳戶關閉後仍保留五年，客服往來紀錄則保留六年。

客戶可在 12 月 20 日前透過消費者網頁應用程式匯出卡片交易歷史紀錄。該日期之後，則須直接向公司申請調閱紀錄。Gnosis Pay 指出，區塊鏈瀏覽器無法顯示商家名稱或卡片層級的交易明細，因此客戶無法以鏈上紀錄取代卡片歷史紀錄的匯出。

此次揭露僅涉及客戶資訊，與 6 月影響 Gnosis Pay 錢包的智慧合約漏洞攻擊事件無關。Gnosis 此前已在其事故後分析報告中確認，已將該事件中損失的資金全數歸還。

資料來源：Blockonomi