Wyciek danych z serwisu Gnosis Pay ujawnia poufne dane klientów

Co stało się z Gnosis Pay?

Dostawca usług płatności kryptowalutowych ujawnił incydent trzy dni po tym, jak systemy monitorujące wykryły nieautoryzowany dostęp. Zgodnie z komunikatem Gnosis Pay dotyczącym naruszenia danych, włamanie dotyczyło infrastruktury kartowej typu business-to-consumer (B2C), a nie platformy korporacyjnej obsługującej programy płatnicze typu white-label.

„3 listopada 2026 r. nasze systemy monitorujące wykryły nieautoryzowany dostęp do systemu obsługującego karty marki Gnosis Pay (nasza linia biznesowa B2C), co spowodowało ujawnienie niektórych danych klientów” – wyjaśniła firma.

Gnosis Pay podkreśliło, że personel ds. bezpieczeństwa zareagował natychmiast, podejmując działania zapobiegające rozprzestrzenianiu się incydentu w ciągu dwóch godzin od wykrycia. Następnie firma wymieniła naruszone dane uwierzytelniające i usunęła lukę w zabezpieczeniach odpowiedzialną za włamanie.

„Naruszenie danych ograniczyło się do systemu obsługującego karty marki Gnosis Pay, którego wycofanie z eksploatacji było już zaplanowane na 20 grudnia 2026 r.” – oświadczyła firma Gnosis Pay. „Nasza platforma korporacyjna, która obsługuje wszystkie nasze programy kartowe typu white-label, nie została dotknięta tym incydentem”.

Firma nie ujawniła publicznie, ilu klientów zostało narażonych na ryzyko, ani nie opublikowała wyczerpującego wykazu ujawnionych informacji. Zamiast tego poszkodowani posiadacze kart otrzymali indywidualne powiadomienia z dokładnym opisem, do których danych kont uzyskano dostęp.

Adresy portfeli Gnosis Pay ujawnione wraz z imionami i nazwiskami oraz adresami zamieszkania

Potencjalne konsekwencje wykraczają poza typowe oszustwa związane z kartami płatniczymi. Lefteris Karapetsas, założyciel serwisu Rotki do śledzenia portfeli kryptowalutowych, poinformował, że wśród jego ujawnionych danych znalazły się: imię i nazwisko, adres zamieszkania, numer karty oraz wszystkie adresy portfeli kryptowalutowych powiązanych z jego kontem.

„Jestem ogromnie rozczarowany. Już mnie straciliście jako użytkownika, ale mogliście przynajmniej chronić moje dane… Naprawdę wielka szkoda” – napisał Karapetsas.

Ujawnienie tych danych ilustruje niepokojącą sprzeczność związaną z płatnościami kryptowalutowymi opartymi na samodzielnym przechowywaniu aktywów. Chociaż klienci zachowują kontrolę nad swoimi aktywami cyfrowymi, scentralizowana infrastruktura płatnicza nadal może gromadzić informacje łączące możliwe do zidentyfikowania osoby z publicznie śledzonymi adresami w łańcuchu bloków.

Takie połączenia stwarzają możliwości ukierunkowanego phishingu, podszywania się pod inne osoby oraz potencjalnych fizycznych zastraszania, zwłaszcza gdy adresy zamieszkania towarzyszą informacjom finansowym. Jednak dostępne informacje nie potwierdzają, że ujawnione dane zostały już wykorzystane do tych celów.

Karapetsas nie był jedyną rozczarowaną osobą. „Czy możecie jutro zawiesić działalność, żeby nie doszło do trzeciego włamania, proszę?” – odpowiedział jeden z użytkowników X na post Gnosis Pay X dotyczący tej sprawy. „Jakiego adresu mam użyć, żeby was porządnie pozwać?” – zapytał inny użytkownik X.

Gnosis Pay wprowadza weryfikację 3D Secure po naruszeniu bezpieczeństwa

Gnosis Pay wprowadził obowiązkową weryfikację 3D Secure dla płatności kartą online, jednocześnie zwiększając monitorowanie podejrzanej aktywności kart i portfeli. Środki te pozostaną aktywne do momentu planowanego wycofania systemu konsumenckiego 20 grudnia.

„Szczerze przepraszamy” – oświadczyła firma. Gnosis Pay dodał:

„Rozumiemy, jak poważna jest sytuacja, w której dochodzi do ujawnienia danych osobowych, i głęboko żałujemy, że tak się stało. Chociaż nie miało to wpływu na środki finansowe, zdajemy sobie sprawę, że bezpieczeństwo danych osobowych jest równie ważne”.

Dostawca powiadomił również swoich partnerów i wydawcę kart, jednocześnie kontaktując się z odpowiednimi organami ds. ochrony danych. Gnosis Pay poinformował, że przeprowadza kompleksowy przegląd bezpieczeństwa oraz organizuje specjalistyczny monitoring w celu wykrycia przypadków niewłaściwego wykorzystania skradzionych danych. Firma ostrzegła:

„Należy podchodzić z podejrzliwością do wszelkich nieoczekiwanych wiadomości e-mail, SMS-ów, połączeń telefonicznych lub listów dotyczących Gnosis Pay, aplikacji partnerskiej lub Państwa karty, nawet jeśli zawierają one Państwa prawdziwe dane lub informacje o rzeczywistym zakupie”.

„Nigdy nie udostępniajcie swojej frazy seed, kluczy prywatnych, kodu PIN ani pełnego numeru karty” – dodał Gnosis Pay, podkreślając, że autoryzowani przedstawiciele nigdy nie będą prosić o podanie poufnych danych uwierzytelniających ani instruować klientów, by dokonywali przelewów w ramach niechcianych wiadomości.

Listopadowe ujawnienie informacji następuje po oddzielnym incydencie z czerwca 2026 r. dotyczącym infrastruktury powiązanej z Gnosis, który według doniesień spowodował straty w wysokości od około 1,5 mln do 1,8 mln dolarów, które Gnosis następnie pokryło.

W przeciwieństwie do tamtego incydentu najnowsze naruszenie stanowi zagrożenie przede wszystkim dla prywatności osobistej, a nie dla bezpośredniego bezpieczeństwa aktywów. Niemniej jednak to rozróżnienie daje jedynie ograniczone poczucie bezpieczeństwa, gdy ujawnione dane osobowe mogą trwale powiązać konkretne osoby z przejrzystymi transakcjami w łańcuchu bloków.

Wycofanie podatnej na ataki infrastruktury może wyeliminować przyszłe zagrożenia związane z tym systemem, ale nie jest w stanie cofnąć ujawnienia poufnych danych osobowych. Gnosis Pay zapewnia, że środki klientów pozostają bezpieczne, jednak ujawnione tożsamości, adresy zamieszkania i powiązania z portfelami kryptowalutowymi stanowią zagrożenie dla prywatności, którego nie da się po prostu cofnąć.

Incydent z Gnosis Pay jest kolejnym z długiej serii naruszeń bezpieczeństwa danych w branży kryptowalutowej w 2026 roku. W styczniu firma Ledger ujawniła dane klientów, a następnie doszło do wycieku w firmie Safepal, który dotknął prawie 40 000 klientów, oraz do naruszenia w firmie Trezor, obejmującego około 81 000 osób. W październiku doszło do włamania do serwerów Keystone, w wyniku którego ujawniono dane prawie 26 000 nabywców, natomiast firma Chainalysis poinformowała o naruszeniu bezpieczeństwa obejmującym dane uwierzytelniające użytkowników i tokeny uwierzytelniające.