Основатель Based Card прокомментировал утечку данных ID держателей карт

Сооснователь Based Эдисон сообщил, что компания оповестила регулятора по защите данных Сингапура и подала заявление в полицию после недавнего взлома. 

Инцидент произошёл 5 октября; компания сообщила, что внутренний дашборд, связанный с программой выпуска карт Visa, мог раскрыть имена владельцев карт, номера паспортов, даты рождения и домашние адреса.

Какое обновление предоставил Based своим затронутым пользователям?

В посте в X 11 октября сооснователь Based Эдисон сообщил, что сотрудники отдела комплаенса и операционного блока начали связываться с людьми, чьи данные оказались под угрозой. Компания также обратилась в Комиссию по защите персональных данных (PDPC) — сингапурский орган по регулированию конфиденциальности, а также в другие надзорные органы. 

Эдисон отметил, что команда сотрудничает с правоохранительными органами по данному делу.

По данным Cryptopolitan, злоумышленник получил доступ к внутренней операционной системе компании и скачал файлы KYC клиентов, привязанные к адресам кошельков. В утечку попали имена, даты рождения, гражданство, номера паспортов или национальных удостоверений личности Сингапура, адреса электронной почты, номера телефонов и домашние адреса.

Данные были собраны эмитентом карт для Based Visa Card — продукта для расходов, который интегрируется с торговым приложением компании и предлагает кэшбэк до 8%. 

Based привлекла $11,5 млн в рамках раунда Series A под руководством Pantera Capital и сообщает о более чем 100 000 зарегистрированных пользователей. 

Точное количество затронутых инцидентом клиентов пока не раскрывается. Также не подтверждено, были ли переведены какие-либо средства в ходе инцидента. 

Не была ли взломана только платформа карт Based?

Based утверждает, что её торговое приложение и кошельки не пострадали, поскольку кошельки работают по модели самохранения (self-custody), платформа не хранит ключи, а социальный вход обеспечивается через Privy. Бизнес по выпуску карт продолжит работу в обычном режиме на время проведения расследования.

Эдисон обсудили вопросы о бэкэнде администратора, который, как выяснилось, был утечен пятью месяцами ранее. Он уточнил, что система бэкэнда администратора представляла собой ранний прототип OpenClaw для внутреннего тестирования в марте 2026 года и впоследствии была выведена из эксплуатации. Она не имеет отношения к инциденту, поскольку не связана с карточным бизнесом и не содержит клиентских данных.

В посте Эдисона также отмечается, что текущие приоритеты Based — поддержка пострадавших клиентов, усиление внутренних мер безопасности и мониторинга, а также продолжение развития торговой платформы.

Однако, записи об идентичности, привязанные к адресам кошельков как те, что были украдены в ходе взлома Based могут привести к «атакам с применением физической силы», то есть нападениям и похищениям людей, направленным на принуждение крипто-держателей к переводу средств. По данным Chainalysis, жертв часто выбирают на основе утеченных данных, информации из социальных сетей или подсказок инсайдеров. 

Инцидент с Based стал одним из серии случаев раскрытия KYC-данных во всей отрасли. сообщил Cryptopolitan Revolut сообщил об атаке, в ходе которой злоумышленники использовали поддельное правительственное электронное письмо, чтобы получить доступ к документам, удостоверяющим личность клиентов, и истории их транзакций. Затем они потребовали выкуп в размере около 3 миллионов долларов.