Gnosis Pay: Angreifer griffen über altes Kartensystem auf Kundendaten zu

Laut Gnosis Pay haben Hacker persönliche Informationen im alten System, das seine Verbraucherkarten betreibt, kompromittiert. Der Angriff wurde am Freitag, den 6. November, bekanntgegeben, und das Unternehmen versichert, dass weder Gelder noch seine Business-Plattform betroffen waren. Diese Aussagen werden vor dem Hintergrund gemacht, dass die Ausgaben über die Karten von Gnosis Pay rückläufig sind, während der Markt weiterhin wächst.

Was Gnosis Pay zum Vorfall sagt

Laut Gnosis Pay hat das Überwachungssystem am 3. November unbefugten Zugriff festgestellt. Zwei Stunden später wurde ein Eindämmungsprozess eingeleitet. Das Unternehmen entschloss sich, kompromittierte Zugangsdaten zu ersetzen, die Sicherheitslücke zu schließen und den 3D-Secure-Service für alle Kunden bis zur Abschaltung des Systems verpflichtend einzuführen.

Kunden, deren Konten betroffen waren, wurden per E-Mail mit spezifischen Informationen darüber informiert, welche Daten kompromittiert wurden. Gnosis Pay informierte zudem seine Partner und kontaktierte die zuständigen Aussteller sowie die Datenschutzbehörden bezüglich des Datenlecks. In der offiziellen Erklärung des Unternehmens wurde dargelegt, dass Monavate Ltd und UAB Monavate als regionale Aussteller gelten.

Dennoch gibt es zwei unbeantwortete Fragen: Wie viele Kunden sind betroffen und welche Art von persönlichen Daten wurden offengelegt? Gnosis Pay hat noch nicht klar gestellt, ob sich die Menge der geleakten Informationen von Kunde zu Kunde unterschied. Das Unternehmen erklärte, dass Kundengelder und die Kartplattform, die es für andere Unternehmen betreibt, nicht betroffen seien. Es gab jedoch keine unabhängige Bestätigung dieser Behauptungen.

Warum Self-Custody die Identitätsdaten nicht schützte

Der Unterschied zwischen dem Schutz von Kundengeldern und der Sicherung persönlicher Daten offenbart eine Schwachstelle bei selbstverwahrten Zahlungskarten. Kunden können zwar die Kryptowährung in ihren Wallets kontrollieren, aber die Zahlungsdienstleister behalten dennoch ihre Identität, Adressen und Bankinformationen. Diese Informationen könnten offengelegt werden, ohne dass die Gelder berührt werden müssen. Andere Sicherheitsvorfälle bei Kryptowährungs-Wallets haben ebenfalls ähnliche Risiken aufgezeigt.

Die möglichen Folgen wurden deutlich, als Lefteris Karapetsas, der Gründer von Rotki, erklärte, dass sein Name, seine Privatadresse, seine Kartennummer und jede mit seinem Konto verknüpfte Wallet-Adresse offengelegt wurden. Sein Fall bestätigt nicht, was mit den anderen Nutzern geschehen ist. Gnosis Pay hat offiziell noch nicht bestätigt, ob auch E-Mail-Adressen, Telefonnummern, Kartensicherheitscodes und Bankdaten geleakt wurden.

Die Verknüpfung der Identität und der Privatadresse einer Person mit ihren Krypto-Wallets birgt weitere Risiken. Kriminelle könnten diese Informationen nutzen, um überzeugende Phishing-Nachrichten zu versenden oder potenzielle Ziele zu identifizieren. Chainalysis schätzte ein, dass gewalttätige Angriffe auf Krypto-Besitzende bis Mitte 2026 zu Verlusten in Höhe von über 30 Millionen US-Dollar führten. Es gibt jedoch keine Beweise, die diese Angriffe mit dem Gnosis-Pay-Breach verbinden.

Ein Datenleck, nicht der Exploit vom Juni

Der November-Breach steht im Zusammenhang mit dem Zodiac Smart-Contract-Exploit, der Gnosis Pay im Juni traf. Angreifer nutzten eine Software-Schwachstelle aus, um rund 1,5 Millionen US-Dollar zu stehlen. Weitere 300.000 US-Dollar waren nicht mehr zugänglich. Gnosis übernahm später die Verluste und stellte die Kundengelder wieder her, wie Cryptopolitan berichtete.

Die beiden Vorfälle legten unterschiedliche Schwachstellen offen. Der Angriff im Juni zielte auf die Software zur Sicherung von Karten-Geldbörsen, während der Sicherheitsvorfall im November persönliche Daten enthüllte, die in einem älteren System gespeichert waren. Gnosis Pay gibt an, dass bei dem jüngsten Vorfall keine Kundengelder gestohlen wurden.

Eine schrumpfende Karte, während der Markt expandiert

Das vom November-Breach betroffene System stand bereits zur Außerbetriebnahme. Gnosis Pay ankündigte im September, dass seine Consumer-Karten am 20. Dezember um 23:59 Uhr UTC nicht mehr funktionieren würden. Die Web-App bleibt für Auszahlungen verfügbar, da das Unternehmen seinen Fokus auf die Bereitstellung von Kartendiensten für andere Unternehmen verlagert.

Auch das Konsumentengeschäft von Gnosis Pay verlor an Boden. Die Kartenausgaben im Oktober sanken von 12,05 Millionen US-Dollar im Jahr 2025 auf etwa 6,1 Millionen US-Dollar im Jahr 2026, was einem Rückgang von fast 50 % entspricht.

Der breitere Markt entwickelte sich in die entgegengesetzte Richtung. Die nachverfolgte Krypto-Kartenausgabe verdreifachte sich fast von 464 Millionen US-Dollar auf 1,37 Milliarden US-Dollar im selben Zeitraum. Gleichzeitig berichtete Visa über mehr als 160 stabilecoin-verknüpfte Kartenprogramme, wobei das Zahlungsvolumen im Jahresvergleich um fast 200 % stieg. Cryptopolitan hat diese Expansion ebenfalls berichtet.

Der Rückgang der Ausgaben bei Gnosis Pay begann vor dem Sicherheitsvorfall im November. Daher können die Zahlen nicht belegen, ob der Vorfall das Kundenverhalten beeinflusst hat. Seine langfristigen Auswirkungen auf den Ruf und das Geschäft des Unternehmens bleiben ungewiss.