Gnosis Pay révèle une fuite de données sur le système de sa carte crypto

Une carte qui en dit trop. Gnosis Pay branche un wallet sur une carte Visa acceptée chez les commerçants. Le service est né dans l’écosystème Gnosis, dont la blockchain est devenue un rollup. Le 6 novembre, l’entreprise a annoncé une fuite de données sur le système de sa carte : un accès non autorisé a exposé des informations clients.

Les points clés de cet article :

Gnosis Pay a détecté un accès non autorisé le 3 novembre sur le système de sa carte pour particuliers.

Selon les premiers relais, la fuite couvre des noms, des adresses postales et des données liées aux wallets.

La société affirme avoir commencé à contenir l’intrusion en moins de deux heures, sans perte de fonds.

Le système touché devait fermer le 20 décembre, et les cartes des partenaires ne sont pas concernées.

Une fuite sur un système déjà promis à la fermeture

Le 3 novembre, les outils de surveillance de Gnosis Pay détectent un accès non autorisé sur le système qui alimente ses cartes, et l’équipe sécurité prend le relais sans attendre.

Le confinement démarre en moins de deux heures, les identifiants de sécurité concernés sont ensuite remplacés, et la faille colmatée.

Dans son annonce, Gnosis Pay évoque des noms, des adresses postales et des données rattachées aux wallets.

Le communiqué ne dit pas combien de clients la fuite touche, et trois jours s’écoulent entre la détection et l’annonce publique. Chaque client touché a reçu par e-mail la liste exacte des informations prélevées sur son compte.

Les données exposées sont plus sensibles qu’une simple liste d’adresses e-mail. Une carte crypto relie une identité vérifiée à un wallet on-chain, dont le solde reste lisible par tous sur un explorateur, et le pseudonymat des clients concernés disparaît d’un coup.

Par exemple, un attaquant qui connaît l’adresse et les avoirs d’un client peut préparer une arnaque sur mesure. Il y glisse juste ce qu’il faut de détails vrais pour piéger sa cible.

La fuite reste confinée au système grand public, promis de toute façon à l’arrêt le 20 décembre. La plateforme d’entreprise, qui équipe les programmes de cartes en marque blanche, reste épargnée.

Faut-il s’inquiéter pour ses fonds ?

Non, répond l’entreprise dans son communiqué. L’incident n’a coûté aucun fonds aux clients, et la protection des données personnelles compte autant que celle de l’argent, reconnaît Gnosis Pay.

Gnosis Pay a renforcé la surveillance des cartes et des wallets pour repérer toute tentative de fraude, et un suivi spécialisé cherchera toute réutilisation des données exposées.

Un 3D Secure est désormais obligatoire pour tous les paiements en ligne par carte, une validation de plus, souvent par code, au moment de payer.

L’entreprise a également alerté ses partenaires, l’émetteur de sa carte et les autorités de protection des données. Ces mesures resteront en place jusqu’à l’arrêt du service, prévu le 20 décembre.

Le risque principal est en aval, où des données personnelles fraîches nourrissent le phishing, comme les faux e-mails qui ont visé le wallet Bitcoin Passport fin octobre.

Un message qui cite un vrai nom et un vrai achat n’en est pas plus légitime. Gnosis Pay conseille de ne pas ouvrir leurs liens et de passer par son application officielle.

La seed phrase, le code PIN et le numéro complet de carte ne se partagent jamais. Le service ne les réclamera d’ailleurs dans aucun message.