Gnosis Payn tietomurto paljasti kryptokortin käyttäjien nimiä ja kotiosoitteita
- Gnosis Pay havaitsi 3.11. luvattoman pääsyn vanhaan korttijärjestelmäänsä, mutta yhtiö sanoo varojen olevan tallessa.
- Protosin näkemän ilmoituksen mukaan vuotivat nimi ja osoite, Karapetsaksen saaman ilmoituksen mukaan myös kortin numero ja lompakko-osoitteet.
- U.Today kertoo huijareiden esiintyvän jo Gnosis Payn asiakastukena.
Gnosis Payn mukaan varat säilyivät, mutta murto vanhaan korttijärjestelmään vei osalta käyttäjistä henkilötietoja.
Osassa käyttäjille lähetetyistä ilmoituksista vuotaneiksi tiedoiksi mainitaan nimen ja kotiosoitteen lisäksi lompakko-osoitteet, jotka näkyvät lohkoketjussa julkisesti.
Gnosis Pay kertoi perjantaina blogissaan, että sen valvonta havaitsi tiistaina luvattoman pääsyn järjestelmään, jolla yhtiön omalla nimellä myytäviä kortteja hallinnoidaan. Yhtiö sanoo, että torjunta alkoi kahden tunnin kuluessa, tunnukset vaihdettiin ja haavoittuvuus korjattiin.
Yhtiön mukaan murto ei ulottunut yritysasiakkaiden alustaan, jonka kautta muut yhtiöt tuovat markkinoille omia korttejaan, ja käyttäjien varat ovat tallessa.
Ilmoitukset vuodon laajuudesta eroavat
Yhtiö ei ole julkaissut luetteloa vuotaneista tiedoista eikä kertonut, kuinka monta käyttäjää murto koskee. Jokainen murrosta kärsinyt käyttäjä sai sen sijaan henkilökohtaisen sähköpostin, jossa luetellaan hänen omat paljastuneet tietonsa.
Protos-uutissivusto julkaisi kuvakaappauksia ilmoituksesta, jossa vuotaneiksi tiedoiksi mainitaan kortille painettu nimi, toimitusosoite ja Gnosis Pay -tilin viitetunnus.
Rotki-salkkusovelluksen perustaja Lefteris Karapetsas sai laajemman listan ja kertoi siitä X-palvelussa.
Full home, name and address details - Card number - All wallet addresses linked to the account. Extremely disappointed.
– Lefteris Karapetsas (@LefterisJP) November 6, 2026
Gnosis Pay ei itse mainitse lompakko-osoitteita vuotaneiden tietojen joukossa.
Cointelegraph kertoo nähneensä ilmoituksia, joissa listataan kortin numero, voimassaoloaika, nimi, kotiosoite, lompakko-osoitteet, sähköposti, puhelinnumero ja kansalaisuus. Niissä mainitaan myös kortin turvakoodi CVV ja joissakin tapauksissa IBAN- ja BIC-tunnukset. Turvakoodin vuodosta kertoo vain Cointelegraph.
Henkilöllisyyden todentamiseen eli KYC-tarkastukseen annettuja asiakirjoja ei ole kerrottu vuotaneen.
Huijarit liikkeellä
Gnosis Pay varoittaa käyttäjiä viesteistä, joissa käytetään heidän oikeita henkilötietojaan. Yhtiö neuvoo jättämään tällaisten viestien linkit avaamatta ja kirjautumaan suoraan viralliseen sovellukseen. Se kehottaa myös varovaisuuteen, kun käyttäjä jakaa osoitettaan tai tietoja kryptovaroistaan.
U.Today kertoo, että huijarit esiintyvät jo Gnosis Payn asiakastukena.
– Pahoittelemme syvästi tapahtunutta. Vaikka varoihin ei kohdistunut vahinkoa, henkilötietojen turvallisuus on yhtä tärkeää, ja kannamme täyden vastuun, Gnosis Pay kirjoitti X-palvelussa.
Yhtiön ohjeissa todetaan, ettei se koskaan pyydä palautuslausetta (seed phrase), yksityistä avainta, PIN-koodia tai kortin koko numeroa.
Järjestelmä oli jo poistumassa käytöstä
Gnosis Pay kutsuu murrettua järjestelmää vanhaksi kuluttajajärjestelmäkseen, ja sen sulkeminen oli jo päätetty. Yhtiö ilmoitti 21.9., että Gnosis Payn nimellä myönnetyt kortit lakkaavat toimimasta 20.12. kello 23.59 UTC. Siihen asti lisätunnistus 3D Secure on pakollinen kaikissa verkko-ostoksissa.
Kortit myöntää Monavate
Gnosis Payn ohjesivusto kertoo, että ETA-alueella asuvien kortit myöntää liettualainen UAB Monavate, joten myös Suomessa asuvat kortinhaltijat ovat sen asiakkaita. Blogin alatunniste mainitsee lisäksi Ison-Britannian finanssivalvonnan FCA:n valvoman Monavate Limitedin, joka toimii Visa Europen lisenssillä.
U.Today kertoo, ettei Monavaten omiin järjestelmiin murtauduttu.
Gnosis Pay kertoo olevansa yhteydessä kortin myöntäjään ja asianomaisiin tietosuojaviranomaisiin, mutta ei ole yksilöinyt, minkä maiden viranomaisiin.
