La sécurité des fonds, est-ce la même chose que la sécurité des données ? Gnosis Pay vient de nous prouver le contraire.
Le 6 novembre, ce fournisseur de cartes de débit crypto a reconnu que les données de ses clients avaient été piratées. Numéros de carte, données personnelles et informations sur les portefeuilles : tout a été divulgué.
Ils ont insisté : les fonds n’avaient pas été touchés. La plateforme de cartes professionnelles non plus.
Le problème venait du « système hérité » — l’ancien système des réseaux de cartes.
Les cartes de paiement crypto ont un point faible inhérent : d’un côté, l’identité du portefeuille sur la blockchain ; de l’autre, les vieux tuyaux de Visa et Mastercard. Les cartes de Gnosis Pay sont émises par le système traditionnel, et c’est par là que les pirates sont entrés.
C’est comme agrafer la clé privée d’un portefeuille froid et un relevé bancaire sur la même feuille de papier.
Les adresses sur la blockchain sont publiques par nature, mais dès qu’elles sont associées à un vrai nom, un numéro de carte et un historique d’achats, l’anonymat disparaît complètement.
Les attaquants n’ont pas mis la main sur vos clés privées, mais sur toutes les pièces de votre puzzle identitaire.
Aucun fonds n’a été perdu, mais les éléments pour le phishing, l’usurpation d’identité et l’ingénierie sociale sont réunis.
Gnosis Pay n’est pas la première, et ne sera pas la dernière.
Toutes les cartes crypto empruntent la même voie : elles font circuler de l’argent sur la blockchain via les rails de la finance traditionnelle. Impossible d’échapper aux failles de ces rails.
À mes yeux, la question n’est pas de savoir si Gnosis Pay va indemniser les victimes.
La vraie question, c’est de savoir si les utilisateurs vont se rassurer à la seule évocation de ces quatre mots : « sécurité des fonds ».
La facture d’une fuite de données n’arrive souvent que plusieurs mois plus tard.
Je vais surveiller la situation : d’ici fin décembre, des utilisateurs de Gnosis Pay signaleront-ils avoir reçu des messages de phishing ciblés ?
Si c’est le cas, cela signifiera que l’ampleur des dégâts causés par cette fuite a été sous-estimée.