A Gnosis Pay, provedora de cartões de débito Visa vinculados a criptomoedas, divulgou um incidente de segurança que afetou seu sistema legado de cartões para consumidores. A empresa afirmou que o acesso não autorizado expôs informações dos cartões de pagamento dos clientes, além de dados pessoais e endereços associados de carteiras de criptomoedas.
Em um comunicado público, a empresa afirmou que detectou a atividade em 3 de novembro e iniciou as medidas de contenção em até duas horas. A Gnosis Pay acrescentou que os fundos dos clientes não foram afetados e que sua plataforma empresarial separada — usada para operar programas de cartões de marca branca — não foi comprometida.
Principais conclusões
A Gnosis Pay relatou uma violação relacionada ao seu sistema legado de cartões para consumidores, e não à sua infraestrutura empresarial/de marca branca.
Os dados descritos nas notificações da violação incluem números completos de cartões, datas de validade, códigos CVV e outras informações de identificação pessoal.
A empresa afirmou que substituiu as credenciais comprometidas, corrigiu a vulnerabilidade e ativou o 3D Secure para transações online até a aposentadoria do sistema legado.
A Gnosis Pay não divulgou o número de clientes afetados, mas dados de monitoramento de terceiros sugerem que a plataforma atende uma base relativamente pequena de usuários ativos.
O que a Gnosis Pay afirma ter sido exposto
De acordo com a divulgação da Gnosis Pay, o incidente teve origem em um acesso não autorizado ao seu ambiente legado de cartões para consumidores. Notificações da violação analisadas pela Cointelegraph indicaram que as informações expostas poderiam incluir:
Dados de cartões de pagamento, como números completos, datas de validade e códigos CVV
Informações pessoais, incluindo nomes dos clientes, endereços residenciais e dados de contato
Ligação com criptoativos, com endereços de carteiras de criptomoedas associados às contas afetadas
Identificadores adicionais em alguns casos, como endereços de e-mail, números de telefone e nacionalidades
Em certas notificações, possíveis dados bancários, como IBAN e BIC
Uma das notificações também indicava que o cartão do cliente foi cancelado em 3 de novembro e informava que nenhuma atividade suspeita ou movimentação de fundos havia sido detectada.
Medidas de contenção e proteção de curto prazo
A Gnosis Pay afirmou que agiu rapidamente após detectar o incidente, iniciando as medidas de contenção em até duas horas após identificar o acesso não autorizado. A empresa também descreveu ações corretivas destinadas a reduzir o risco de novas violações.
As medidas incluíram a substituição das credenciais de segurança comprometidas e a correção da vulnerabilidade subjacente. Além disso, a Gnosis Pay afirmou que tornou obrigatória a verificação 3D Secure para pagamentos online até a aposentadoria planejada do sistema legado, em 20 de dezembro. A mudança visa adicionar uma camada extra de autenticação às transações com cartão realizadas online.
A empresa também alertou os clientes para ficarem atentos a tentativas de phishing que possam mencionar dados pessoais ou informações sobre transações expostos na violação. Afirmou que está organizando um monitoramento para detectar possíveis usos indevidos dos dados roubados.
Impacto nos clientes e a questão da dimensão do incidente
Embora a Gnosis Pay tenha declarado que os fundos dos clientes não foram afetados, não revelou quantas pessoas foram impactadas. A Cointelegraph informou que a empresa não respondeu de imediato a um pedido de comentários adicionais.
A ausência de um número claro de clientes afetados é importante por razões práticas: influencia a rapidez com que clientes e parceiros podem avaliar sua exposição, determinar se devem substituir os cartões e decidir com que intensidade devem monitorar possíveis fraudes. Mesmo que nenhum fundo tenha sido movimentado no momento da detecção, a combinação de dados de cartões e informações pessoais aumenta a probabilidade de ataques subsequentes, como invasões de contas, phishing direcionado ou tentativas de explorar a ligação com carteiras de criptomoedas exposta.
Para contextualizar a escala das operações, dados da OpenRate citados pela Cointelegraph indicavam que a Gnosis Pay tinha cerca de 2.400 titulares de cartões ativos diariamente e aproximadamente US$ 263.200 em transações nas 24 horas anteriores. Esses números não quantificam a dimensão da violação, mas ajudam os leitores a avaliar o nível recente de atividade da plataforma.
Por que a distinção de “sistema legado” é importante
A comunicação da Gnosis Pay estabelece uma fronteira clara: a empresa afirmou que a violação afetou seu sistema legado de cartões para consumidores, enquanto sua plataforma empresarial separada, que oferece suporte a programas de marca branca, não foi afetada. Essa distinção pode ser importante para parceiros que operam seus próprios programas de cartões por meio da oferta empresarial, pois sugere que podem correr menos riscos do que os consumidores vinculados ao ambiente legado.
Ainda assim, o incidente destaca um padrão de vulnerabilidade comum na infraestrutura de pagamentos: sistemas mais antigos podem continuar sendo alvos valiosos, mesmo quando coexistem com arquiteturas mais recentes. O plano declarado pela empresa de aposentar o sistema legado até 20 de dezembro sugere que o cronograma de correção está baseado na remoção do ambiente afetado, e não apenas na limitação indefinida do acesso.
Para os clientes, a preocupação operacional imediata não é apenas saber se ocorreram pagamentos não autorizados, mas também se credenciais e dados de identificação expostos poderão ser reutilizados posteriormente. Segundo relatos, a notificação da violação também incluía endereços de carteiras de criptomoedas, o que pode aumentar os riscos de associação entre contas e de golpes direcionados, sobretudo quando a gestão de fundos e a verificação de identidade se sobrepõem.
Daqui em diante, os leitores devem acompanhar novas informações da Gnosis Pay sobre a população afetada, a confirmação de eventuais transações fraudulentas após o cancelamento dos cartões e evidências de que os controles reforçados de verificação online (3D Secure) reduzem os riscos até a aposentadoria do sistema legado.
Este artigo foi publicado originalmente como Gnosis Pay Breach Exposes Card, Personal Data, and Crypto Wallets no Crypto Breaking News – sua fonte confiável de notícias sobre criptoativos, Bitcoin e atualizações sobre blockchain.