Gnosis Pay meldt dat kaartgegevens zijn gelekt

Wat er gebeurde

Op 3 november kreeg een legacy B2C kaartverwerkend systeem van Gnosis Pay ongeautoriseerde toegang. De aanvallers namen persoons- en aankoopgegevens mee van gebruikers van de retail Visa-debitcards.

Het enterprise- en white-label B2B-platform van Gnosis Pay draait normaal door de storing. Gnosis Pay meldt dat crypto in gebruikerswallets niet is aangetast. Kaartuitgever Monavate Limited, die onder toezicht staat van de Britse Financial Conduct Authority, werkt ook door. Volgens het bedrijf gingen de hackers alleen met data weg.

Gnosis Pay zegt dat het beveiligingsteam snel heeft gehandeld. De toegang via de gecompromitteerde sleutels werd binnen twee uur afgesloten. Het platform stond al op de planning om volledig te sluiten op 20 december. Tot die datum werkt het bedrijf in noodmodus met strengere toezichtmaatregelen.

Het lek sluit aan bij een reeks grote datalekken deze herfst. De recent verschenen incidenten bij Ledger, Trezor, SafePal en Keystone tonen volgens de berichten een patroon waarbij aanvallers vaker de fiat-kant van crypto-diensten raken.

Gnosis Pay heeft inmiddels alle getroffen gebruikers gemaild met een gedetailleerde opsomming van welke data waren blootgesteld. Het bedrijf heeft ook 3D Secure verplicht gesteld voor alle online betalingen en verhoogde de monitoring van transacties. Daarnaast heeft het een dringende phishingwaarschuwing uitgegeven omdat scammers zich al voordoen als klantenservice. Gnosis Pay benadrukt dat noch het bedrijf noch partnerapps ooit zullen vragen naar seed phrases, private keys, PINs of volledige kaartnummers. Accountwijzigingen zijn alleen geldig wanneer de gebruiker die zelf via de officiële app doorvoert.

Waarom dit telt

Voor beleggers en gebruikers laat dit zien dat de koppeling tussen crypto en traditionele betaalinfrastructuur een kwetsbaar punt blijft. Dergelijke datalekken kunnen de reputatie en het gebruik van kaartproducten beïnvloeden, ook als fondsen niet zijn geraakt.