Gnosis Pay gab am 6. November eine Verletzung von Kundendaten bekannt, die das Altsystem hinter seinen Marken-Zahlungskarten betraf, und erklärte, dass keine Gelder betroffen seien und zusätzliche Sicherheitsprüfungen bis zur geplanten Schließung der Plattform im Dezember in Kraft bleiben würden.
Zusammenfassung
- Laut Gnosis Pay wurde am 3. November unbefugter Zugriff festgestellt, wobei die Eindämmung innerhalb von zwei Stunden begann.
- Betroffene Kunden erhielten individuelle E-Mails, in denen erläutert wurde, welche Informationen aus ihren Konten entnommen wurden.
- Verpflichtende 3D-Secure-Prüfungen gelten nun für alle Online-Kartenzahlungen, bis das Verbrauchersystem geschlossen wird.
- Nutzer hinterfragten die Reaktion des Unternehmens und äußerten Bedenken hinsichtlich Phishing nach der Offenlegung persönlicher Informationen.
Laut der Offenlegung von Gnosis Pay betraf der Eindringling sein Verbrauchergeschäft, das Gnosis Pay-Markenkarten betreibt. Seine Unternehmensplattform, die zur Unterstützung von White-Label-Kartenprogrammen für andere Unternehmen genutzt wird, war nicht betroffen.
Das Unternehmen erklärte, sein Sicherheitsteam habe sofort reagiert, nachdem Überwachungssysteme am 3. November unbefugten Zugriff festgestellt hatten. Die Eindämmung begann innerhalb von zwei Stunden, gefolgt vom Austausch betroffener Sicherheitsanmeldedaten und der Behebung der Schwachstelle.
Gnosis Pay führt Zahlungsprüfungen nach Offenlegung von Kundeninformationen ein
Jedem betroffenen Kunden wurde am 6. November eine E-Mail mit Details zu den aus seinem Konto entnommenen Informationen gesendet, so das Unternehmen. In seiner öffentlichen Erklärung wurden weder eine Kundenzahl noch die Kategorien der in den betroffenen Konten offengelegten Informationen genannt.
Gnosis Pay erklärte, es habe die Verletzung seinen Partnern gemeldet und stehe in Kommunikation mit den zuständigen Datenschutzbehörden und seinem Kartenausgeber.
Obwohl das Unternehmen erklärte, dass keine Gelder betroffen seien, räumte es ein, dass der Schutz persönlicher Informationen ebenso wichtig sei. Es führe eine vollständige Überprüfung durch, wende die Lehren auf seine Systeme an und arrangiere spezialisierte Überwachung auf Anzeichen für eine missbräuchliche Verwendung der offengelegten Informationen.
Kartenaktivitäten und Wallets werden verstärkt auf Betrug oder Versuche des Zugriffs auf Kundengelder überwacht. Gnosis Pay hat 3D Secure, einen zusätzlichen Verifizierungsschritt für Online-Käufe, für alle Online-Kartenzahlungen verpflichtend gemacht.
Das Unternehmen erklärte, die Schutzmaßnahmen würden bestehen bleiben, bis das Verbrauchersystem am 20. Dezember außer Betrieb genommen wird.
Nutzer stellen die Reaktion in Frage und äußern Phishing-Bedenken
Antworten auf die Ankündigung des Unternehmens hinterfragten, was die Übernahme von Verantwortung für betroffene Kunden bedeuten würde. Mehrere Nutzer stellten in Frage, ob eine Entschuldigung ausreiche, während andere die sofortige Einstellung des Dienstes forderten.
Ein Respondent unter dem Namen Zoodirektor fragte: „Was bedeutet ‚Sie übernehmen die volle Verantwortung‘?“ Ein anderer unter dem Namen dramanoodle äußerte Bedenken hinsichtlich weiterer betrügerischer E-Mails und physischer Angriffe auf Kryptowährungsinhaber.
Die Antworten zeigen Bedenken hinsichtlich der Offenlegung persönlicher Informationen trotz der Versicherung des Unternehmens, dass keine Gelder betroffen seien. Die eigene Kundenberatung von Gnosis Pay warnte davor, dass verdächtige Nachrichten echte persönliche Daten enthalten oder sich auf einen tatsächlichen Kauf beziehen könnten.
Den Kunden wurde geraten, Links in unerwarteten E-Mails, Textnachrichten, Anrufen oder Briefen bezüglich Gnosis Pay, Partneranwendungen oder ihren Karten zu vermeiden. Das Unternehmen empfahl, die offizielle Web-App oder Partner-App direkt zu öffnen.
Es hieß, weder Gnosis Pay noch seine Partner würden Seed-Phrasen, private Schlüssel, PINs oder vollständige Kartennummern anfordern. Sie würden Kunden nicht auffordern, ihre Identität erneut per E-Mail oder Textnachricht zu verifizieren, oder sie anweisen, Gelder über Nachrichten oder Telefonanrufe zu transferieren.
Die Schließung im Dezember wurde vor der Sicherheitsverletzung angekündigt
Das Einstellungsdatum liegt vor dem Vorfall im November. Eine formelle Mitteilung, die am 21. September herausgegeben wurde, legte das Ende der gebrandeten Kartendienste auf den 20. Dezember 2026 um 23:59 UTC fest.
Physische und virtuelle Karten werden zu diesem Zeitpunkt aufhören, Transaktionen zu autorisieren. Die Web-App wird die Auszahlungsfunktion beibehalten, und Kunden werden weiterhin Eigentümer der in ihren selbstverwahrten Safe-Konten gehaltenen Vermögenswerte bleiben, so die Mitteilung.
Kunden, die weiterhin Kartenzugang wünschen, müssen einem Partnerprogramm unter neuen Bedingungen beitreten. Der Wechsel ist optional, aber bestehende gebrandete Karten werden unabhängig davon nicht mehr funktionieren.
Die Mitteilung fordert Karteninhaber auf, vor der Schließung Transaktionsverläufe zu exportieren und wiederkehrende Zahlungen bei Händlern zu aktualisieren. Der allgemeine Karteninhaber-Support soll am 18. Juni 2027 enden, während der Support für Rückerstattungen, Streitigkeiten und Chargebacks bis zum 12. Juni 2028 fortgesetzt wird.
Früherer Exploit über 1,5 Millionen Dollar betraf Karteninfrastruktur
Die Offenlegung folgt auf einen separaten Kartenkonto-Exploit im Juni, über den crypto.news zuvor berichtet hatte und der digitale Vermögenswerte im Wert von etwa 1,5 Millionen Dollar betraf.
In seiner Postmortem-Analyse im Juli führte Gnosis Pay diesen Vorfall auf einen Fehler im Zodiac-Smart-Contract-Framework zurück und erklärte, betroffene Kunden seien vollständig entschädigt worden. Die Offenlegung im November betrifft Kundeninformationen; das Unternehmen hat nicht angegeben, dass die Vorfälle eine gemeinsame Ursache haben.
Kunden, die von der jüngsten Sicherheitsverletzung betroffen sind, haben kontospezifische Empfehlungen erhalten. Gnosis Pay verwies alle mit Bedenken an [email protected] und erklärte, das Support-Team priorisiere die direkt Betroffenen.
