Gnosis Pay : une fuite expose les numéros de carte et les portefeuilles de ses clients
Gnosis Pay a publié vendredi 6 novembre un communiqué sur un accès non autorisé à l'ancien système qui gère les cartes Visa à sa marque, reliées à un Safe sur Gnosis Chain. L'intrusion a été détectée le 3 novembre et coupée en moins de deux heures, mais les clients n'ont reçu d'e-mail que le 6. Le nombre de comptes touchés n'est pas communiqué.
Cointelegraph a pu lire les notifications, et Lefteris Karapetsas, un ancien client, en a publié une capture. L'intrus a vu le nom, l'adresse postale, l'e-mail, le téléphone, le numéro de carte complet avec date d'expiration et cryptogramme, les adresses des portefeuilles reliés et parfois l'IBAN. Les fonds sont intacts, tout comme les cartes en marque blanche de la plateforme entreprise.
Gnosis Pay a remplacé les identifiants compromis et impose la validation 3D Secure sur les paiements en ligne jusqu'au 20 décembre, date d'arrêt de ces cartes. Le vrai risque est l'hameçonnage ciblé, puisque identité, adresse postale et adresses de portefeuilles se retrouvent dans un même fichier. L'historique des transactions, lui, ne s'exporte que jusqu'à cette date.
Gnosis Pay : les données des clients de sa carte crypto ont fuité
Gnosis Pay propose une carte Visa reliée à un portefeuille crypto (un compte en ligne dont vous détenez vous-même les clés). Vendredi 6 novembre, l'entreprise a annoncé qu'un intrus avait pu lire les données de ses clients. Il a été repéré le 3 novembre et bloqué en moins de deux heures. D'après les messages reçus par les clients touchés, il a vu le nom, l'adresse postale, le numéro de carte complet, l'e-mail, le téléphone et les adresses des portefeuilles crypto reliés au compte. Aucune crypto et aucun euro n'ont été volés.
Si vous avez une carte Gnosis Pay et que vos données font partie du lot, vous avez été prévenu par e-mail vendredi. Le risque n'est pas un vol direct mais l'arnaque, car quelqu'un qui connaît votre nom, votre adresse et vos avoirs peut écrire un message très crédible. Gnosis Pay ne demande jamais votre phrase de récupération (les mots qui donnent accès à votre portefeuille crypto), votre code PIN ni votre numéro de carte. Ces cartes s'arrêtent de toute façon le 20 décembre.
Lire la version expert
Gnosis Pay : l'intrusion sur l'ancien système des cartes a exposé les numéros et les CVV
L'intrusion a eu lieu le 3 novembre, sur l'ancien système (« legacy ») des cartes à la marque Gnosis Pay, émises par Monavate sous licence Visa. Gnosis Pay dit l'avoir coupée en moins de deux heures et avoir changé les identifiants, mais n'a publié son communiqué et écrit aux clients que le 6 novembre.
Les notifications aux clients citent l'identité (nom, nationalité, adresse postale, e-mail, téléphone), le PAN complet avec date d'expiration et CVV, les adresses des wallets liés, et IBAN et BIC pour les comptes Monerium. Les contrats (Safe, modules Delay et Roles) et les fonds sont intacts, contrairement à l'exploit de juin (1,5 million de dollars).
On ne sait toujours pas combien de comptes sont concernés, par où l'intrus est entré, ni qui c'est. Notification RGPD et remplacement des cartes restent en suspens. Sans mouvement de fonds, le bilan ne compte aucune cession. La carte dépense des EURe (stablecoin euro) depuis le Safe : chaque achat est une cession d'actif numérique (article 150 VH bis du CGI) intégrée à la plus-value globale, sauf cessions annuelles sous 305 euros. L'historique des transactions ne s'exporte que jusqu'au 20 décembre. La fuite relie enfin l'identité aux adresses on-chain, historique public compris.
