Gnosis Pay, провайдер криптовалютних дебетових карток Visa, повідомила про витік даних клієнтів зі старої споживчої системи. Несанкціонований доступ зафіксували 3 листопада, а публічно інцидент визнали в п'ятницю, 6 листопада. Кошти користувачів не постраждали.
Що відбулось
Системи моніторингу виявили стороннє проникнення 3 листопада, і вже за дві години компанія почала його локалізацію. Про це Gnosis Pay написала у своєму блозі та в акаунті в X.
Зламали лише B2C-напрям, тобто картки під власним брендом сервісу. Enterprise-платформа, на якій працюють white-label програми для фінтех-компаній, гаманців і необанків, не зачеплена. Споживчу платформу й так планували закрити 20 грудня.
Скільки людей постраждало, компанія не розкрила. За даними OpenRate, сервісу, що відстежує ринок крипто-карток, у Gnosis Pay близько 2 400 активних власників карток щодня і $263 200 транзакцій за добу. Як повідомляє Decrypt, кожному постраждалому клієнту надіслали окремий лист зі списком вкрадених даних.
Які дані потрапили до хакерів
За сповіщеннями клієнтам, які бачив Cointelegraph, набір вийшов дуже широким. Йдеться про:
- повні номери карток, терміни дії та коди CVV
- імена клієнтів і домашні адреси
- адреси криптогаманців, прив'язаних до акаунтів
- email, телефони та національність
- банківські реквізити IBAN і BIC, але не в усіх випадках
Один із клієнтів розповів CoinDesk, що витік зв'язав його домашню адресу й номер картки з кожним гаманцем, підключеним до акаунта. Для власника великого балансу це готова база для адресних шахрайств. У листі, який опублікував інший користувач, зазначено, що його картку скасували ще 3 листопада, а підозрілих операцій компанія не знайшла.
Реакція Gnosis Pay
Компанія замінила скомпрометовані ключі доступу й закрила вразливість. До закриття споживчої платформи 3D Secure, додатковий крок підтвердження платежу, став обов'язковим для всіх онлайн-оплат.
Про інцидент уже повідомлено партнерам, емітенту карток і органам із захисту даних. Також компанія домовляється про спеціалізований моніторинг, який відстежуватиме спроби використати вкрадену інформацію.
Клієнтам радять з обережністю ставитися до несподіваних повідомлень про картку, навіть якщо в них названо справжні персональні дані чи покупки. Gnosis Pay нагадала, що ніколи не просить seed-фрази, PIN-коди, повні номери карток і не вимагає переказувати кошти. Ще одна порада стосується адреси та відомостей про крипто-активи, ділитися ними не слід ні онлайн, ні офлайн.
У X компанія написала: "Хоча кошти не постраждали, безпека особистих даних не менш важлива, і ми беремо на себе повну відповідальність".
Ще один інцидент у ряду
Порада про адресу не випадкова. За даними Chainalysis, фізичні напади на власників крипти, від проникнень у будинок до викрадень, у першому півріччі 2026 року принесли зловмисникам понад $30 мільйонів, а рік іде до рекорду. Домашня адреса поруч зі списком гаманців дає саме те, що потрібно для такого нападу.
Для галузі це вже не перший удар за кілька тижнів. Рекордний злам біржі Binance перевищив $6 мільярдів, Coinbase минулого тижня визнала, що через постачальника аналітики Amplitude витекли контактні дані частини клієнтів, а Ledger підтвердила, що всі випадки викрадення близько $87 мільйонів стосувалися пристроїв, куплених у реселера CryptoBilis. Власникам апаратного гаманця Ledger радили переносити кошти на нові пристрої.
Перевіряти таку історію варто кожному, хто тримає Bitcoin чи інші активи на картковому сервісі: що саме компанія знає про вас і де це зберігається.
Коментарі
Ваша e-mail адреса не оприлюднюватиметься. Обов'язкові поля позначені *