Gnosis Pay数据泄露:住址、卡号与关联钱包暴露,始于11月3日

旧版刷卡系统于11月3日遭入侵

加密货币借记卡发行商Gnosis Pay发生数据泄露,客户的家庭住址、银行卡卡号以及账户关联的全部加密钱包地址被一并曝光。公司表示,11月3日(星期二)检测到旧版个人刷卡系统出现未授权访问,两小时内即启动处置,更换了受影响的安全凭证,并封堵了入侵者利用的漏洞。至于访问权限最初是如何获得的,公司尚未公开说明。COINOTAG实时现货监测显示,HOME价格过去24小时下跌3.3%,我们倾向于将这一波动与本次披露区分看待。

这次外泄的文件异常完整。加密资产组合追踪工具Rotki的创始人Lefteris Karapetsas在X上发布帖文,公开了他收到的通知邮件,邮件列出了他的姓名、完整家庭住址、卡号以及绑定其账户的每一个钱包地址。“你们早已失去了我这个用户,但至少可以保护好我的数据。”他写道。真正的麻烦在于三者的叠加:攻击者借此可以把现实世界中的身份与链上持仓一一对应,而这恰恰是实施定向诈骗的前提条件,远比一次无关痛痒的信息泄露严重。Rotki是一款自托管性质的资产组合追踪工具,其创始人本人早已不再使用该服务,却依然未能幸免,可见波及范围并不局限于活跃用户。公司称客户资金没有受到影响,为其他企业运营发卡项目的企业平台也完好无损。卡号同样在泄露清单之内,因此这次事件的影响已经越过加密资产本身,触及用户的日常支付记录。公司没有披露受影响人数,只表示已通过邮件逐一通知每位受影响用户其具体情况。

Gnosis Pay于2023年推出,用户借助绑定自身加密钱包的Visa借记卡,可以直接消费稳定币,公开支付追踪数据显示其年化交易额接近6760万美元。11月3日的入侵是该公司2026年的第二起安全事件。今年6月,一处钱包软件漏洞被利用,约150万美元资金被转走;公司自行消化了这笔损失,向客户足额赔付,并发布事后复盘报告,将资金流失归因于该漏洞。两起事件的性质截然不同:6月被拿走的是资金,这个月被拿走的是数据,而被泄露的数据无法像被盗资金那样被追回。

自6月事件以来,该公司已将3D Secure验证设为线上刷卡支付的强制要求,并扩展了欺诈监控。公司还警告称,诈骗分子可能利用被盗的个人信息和过往购买记录,让欺诈信息看起来更加可信。这并非空穴来风的FUD:一条引用了真实卡号或近期购买记录的信息,远比泛泛的钓鱼信息更难让人置之不理,而档案中的家庭住址则更具说服力。时间点又添了一层波折。Gnosis Pay计划于12月20日停用其自有品牌的消费卡,以专注于合作伙伴项目,因此发生泄露的系统本已排定退役,而服务其他企业卡项目的企业级平台则不受影响,继续照常运行。

身份地图不会随停运而消失

Gnosis Pay这个月丢的不是钱,而是一张地图:姓名、街道住址、卡号与关联钱包地址被拼接在同一条记录里。由于没有私钥外泄,把资产转入冷钱包意义有限,而加密混币器也无法解除一个已经与真实姓名绑定的地址。硬件层面的各种方案,直至Tangem移动钱包,保护的是密钥,而不是客户档案。这类残余风险并非理论推演:在法国,曾有一对夫妇因持仓信息外泄,遭蒙面男子入室捆绑,事件发生在兰德斯地区,是一起加密货币入室抢劫案件。12月20日的停运退役的是刷卡系统,而被它泄露出去的记录,不会随之下线。