Gnosis Pay 泄露风险在卡片停用时仍持续存在

关键要点

Gnosis Pay 的遗留消费者卡系统遭到入侵。公司表示，资金和企业平台未受影响。其中一份通知列出了地址、卡号和钱包地址。消费者卡将于12月20日停用；提取资金没有截止日期。

在11月6日的披露中，Gnosis Pay 表示，其监控检测到11月3日对其自有品牌卡背后的系统进行了未经授权的访问，并在两小时内开始遏制。此次泄露发生在一个即将退役的产品内部。受影响的系统运行着 Gnosis Pay 的消费者业务：以 Gnosis Pay 名义销售并由英国金融行为监管局（FCA）授权的电子货币机构 Monavate 发行的 Visa 借记卡。该公司此前已计划于12月20日退役该系统。目前正转向其企业平台，该平台为其他企业提供白标卡计划，据 Gnosis Pay 称，该平台未受影响。

Gnosis Pay 表示，它已替换了被泄露的凭证，修复了漏洞，并向每位受影响的客户发送电子邮件，列出从其账户中提取的具体内容。这是该卡产品今年发生的第二次安全事件。今年6月，攻击者利用了 Gnosis Pay 账户使用的钱包软件模块中的缺陷，窃取了约150万美元。根据其事后分析报告，Gnosis Pay 承担了这些损失并恢复了用户资金。

其中一份11月的通知已公开。投资组合追踪器 Rotki 的创始人 Lefteris Karapetsas 在 X 平台上分享了他的电子邮件。CoinDesk 报道指出，该邮件列出了他的姓名、完整家庭住址、卡号以及与其账户关联的所有钱包地址。他告诉公司，“至少应该保护我的数据。”其他客户的邮件可能列出不同的字段，因此每个人需要根据自己收到的通知采取行动，而非仅参考公开声明。

卡号问题的影响截止至12月20日

泄露的卡号会产生一个直接风险：仅凭卡详细信息进行的在线购买。Gnosis Pay 的主要修复措施正是针对这一问题。公司已强制要求所有在线卡支付使用 3D Secure（Visa 品牌称为 Visa Secure），这允许发卡行在购买完成前要求持卡人批准。Gnosis Pay 还加强了对卡和钱包活动的欺诈监控。公司表示，这两项措施将持续到消费者系统关闭为止。12月20日后，泄露的号码属于一张不再有效的卡，因此这部分暴露有固定的结束日期。

钱包链接的影响无截止日期

泄露记录的其他部分不会随卡片失效而过期。钱包地址是公开设计的：任何人都可以打开区块浏览器查看其余额和完整的交易历史。地址通常缺少的是姓名。将地址与某人的身份和家庭住址配对提供了缺失的信息，且这种配对在其钱包使用过程中一直有效。这并不意味着持有数据的人就能触及资金。Gnosis Pay 的支持指南指出，它从未持有客户的密钥，因此被入侵的系统不可能包含密钥，仅仅知道地址无法花费其中的资金。泄露记录为攻击者提供的目标是：接触谁、他们住在哪里以及他们看似拥有多少资产。公司的披露也指出了这一点，建议客户小心在网上和线下分享地址或持仓信息。加密货币领域有关于此类数据持续有用性的先例。2020年12月，从硬件钱包制造商 Ledger 窃取的一个数据库被发布到网上。该公司确认其中包含约27.2万条客户记录，包括姓名、邮政地址和电话号码。Ledger 自己的账号描述了随后几个月的钓鱼活动，City AM 报道称，一些客户若未付款则受到上门威胁。Ledger 列表仅显示有人购买了硬件钱包。Karapetsas 分享的通知书更进一步：它将特定人名与任何人可检查余额的具体地址联系起来。暴露范围有限。对于仅在卡钱包中保留消费资金的客户，可见余额可能很小。这种保护仅限于钱包保持分离的情况。进出卡钱包的转账会记录在链上，并可能导致更大的地址，而发布的通知列出了所有关联地址，而非单一地址。

逼真的伪造内容可能是什么样

泄露的细节削弱了人们通常对可疑消息应用的测试。英国国家网络安全中心警告称，犯罪分子利用被盗信息使钓鱼看起来合法。它还警告说，关于泄露事件的宣传让他们能够联系那些数据从未被窃取的人。收尾工作为骗子提供了现成的剧本。Gnosis Pay 的卡帮助页面已经警告存在虚假的“迁移您的 Gnosis Pay 账户”网站、虚假合作伙伴优惠以及声称可以帮助转移资金的陌生人。引用真实购买、真实家庭住址和真实12月20日日期的消息可能被视为常规账户管理。上周，类似策略将一个虚假的空投应用放在了 Solana Mobile 特色商店的位置，该应用要求用户提供恢复短语。Gnosis Pay 自身的声明为客户提供了坚定的测试标准。公司表示，无论是它还是其合作应用都不会询问种子短语、私钥、PIN码或完整卡号，也不会要求客户通过电子邮件或短信重新验证身份。它还表示，它不会通过电子邮件、短信或电话要求资金转账。同一支持指南指出，提取自我托管资金没有截止日期。因此，任何将转账与12月20日挂钩的消息显然是虚假的。

如果泄露通知到达您的收件箱

通过官方渠道阅读您自己的通知。直接打开 Gnosis Pay 网页应用或您的合作应用，切勿通过消息中的链接访问，并检查电子邮件列出的字段。Gnosis Pay 表示，它根据每个账户丢失的数据推荐了额外的操作。官方合作应用列在其合作伙伴市场上。如果列出了卡号，请冻结卡片。冻结是即时且可从应用程序撤销的。报告卡片丢失或被盗将永久取消该卡，且只能在12月20日之前订购 replacements。网页应用中可立即添加虚拟卡，供仍需要消费的任何人使用。检查最近的每笔付款。无法识别的交易可以进行争议处理。Gnosis Pay 表示，它将继续处理争议和拒付直到2028年5月24日，远在卡片停止运作之后。在新地址开始新的持仓。接收在从未出现在 Gnosis Pay 记录中的地址的资金不与泄露相关联。在您自己的钱包应用中自行设置它。直接从关联地址移动资金会留下链上痕迹，因此这缩小了连接范围而不是消除它。申请您的完整记录。Gnosis Pay 是一家在英国注册的公司，英国数据保护法赋予个人获取公司持有的关于他们的个人数据的副本的权利。该副本准确显示了存档的内容。

Gnosis Pay 尚未说明的事项

Gnosis Pay 尚未披露三件事：有多少客户受到影响；入侵何时开始，因为11月3日仅是检测到的日期；泄露的卡数据是否包括到期日或安全码，这决定了在12月20日之前泄露数字的可使用程度。公司表示，它正在与数据保护机构和发卡行联系，并已安排专家监控被盗数据被滥用的迹象。来自该监控的发现或监管机构声明将是数据从被入侵服务器进入活跃诈骗的第一个公开确认。在12月20日关闭之前，引用真实客户细节的虚假迁移报价报告也将指向同一方向。