Gnosis Pay confirmó una filtración de datos en el sistema de sus tarjetas de consumo: un acceso no autorizado, detectado el 3 de noviembre, expuso información de clientes; el aviso público llegó el 6 de noviembre. Los fondos quedaron fuera del alcance del intruso.
La empresa contó el orden en su comunicado. Sus sistemas de vigilancia detectaron la entrada el 3 de noviembre y la contención arrancó en menos de dos horas. Después reemplazó las credenciales afectadas y corrigió la falla que permitió el acceso. El sistema alcanzado es el de las tarjetas Visa de débito con la marca Gnosis Pay, producto de 2023 que permite gastar monedas estables desde billeteras cripto vinculadas, con un volumen anualizado cercano a US$67,6 millones en datos de Paymentscan vía CoinDesk.
El comunicado habla de «cierta información» de clientes, sin enumerarla. El detalle fino apareció en los correos individuales: el 6 de noviembre la empresa escribió a cada afectado con la lista exacta de lo tomado de su cuenta. Cointelegraph revisó notificaciones de ese envío y reportó números completos de tarjeta, fechas de vencimiento y códigos CVV, con nombres, domicilios, correos, teléfonos y billeteras vinculadas, más datos IBAN y BIC en algunos casos. Un aviso hecho público por su destinatario lo deja ver en concreto: Lefteris Karapetsas, fundador del rastreador Rotki, compartió en X su correo y contó que incluía su nombre, su domicilio completo, su número de tarjeta y cada billetera enlazada a su cuenta. Su cierre fue directo: la empresa ya lo había perdido como usuario, pero al menos pudo haber protegido sus datos.
La cifra de clientes afectados no aparece en ninguna parte. Gnosis Pay tampoco dijo cuándo empezó la entrada: el 3 de noviembre es la fecha de detección, no necesariamente la del primer acceso. La plataforma empresarial, que opera programas de marca blanca para otras compañías, quedó fuera del incidente; las tarjetas de consumo corren con la emisión de Monavate, entidad de dinero electrónico autorizada en el Reino Unido.
El vínculo con la billetera no caduca el 20 de diciembre
El sistema alcanzado ya tenía fecha de muerte antes del incidente. Un aviso formal del 21 de septiembre fijó el retiro de las tarjetas propias para el 20 de diciembre de 2026 a las 23:59 UTC, al cerrar la línea de consumo para concentrarse en los programas para socios. Esa fecha le pone tope a una parte del riesgo: un número robado sirve para compras en línea hasta que la tarjeta deja de autorizar pagos, y ese día la puerta se cierra sola.
Para el tramo que queda vivo, la empresa activó la verificación 3D Secure como paso obligatorio en todo pago en línea y reforzó la vigilancia de movimientos de tarjetas y billeteras. Ambas medidas siguen vigentes hasta el retiro del sistema. El resto del paquete robado no tiene fecha parecida. Una dirección de billetera es pública por diseño: cualquiera abre un explorador de bloques y mira su saldo y su historial. Lo que le falta a esa dirección es un nombre. El registro filtrado aporta el nombre, el domicilio y el teléfono, y esa unión sigue valiendo mientras la billetera se use. Conocer una dirección no permite gastar desde ella: las claves privadas nunca estuvieron en manos de la empresa. El dato entrega un mapa de a quién acercarse y dónde vive.
Es el segundo golpe de seguridad del año para el producto. En junio, un ataque a un programa de billeteras usado por sus cuentas drenó cerca de US$1,5 millones, pérdida que la empresa cubrió, recordó CoinDesk. El patrón se repite en el sector: la filtración de Revolve dejó avisos para 197.072 personas con tarjetas guardadas, otro recordatorio de que el dato de pago guardado vale igual que el dinero que mueve.
El correo verdadero y el falso se parecen demasiado
La propia empresa advirtió el riesgo en su comunicado: hay que desconfiar de todo correo, mensaje, llamada o carta inesperada sobre Gnosis Pay o la tarjeta, aunque incluya datos reales o una compra verdadera. La instrucción es no tocar los enlaces y entrar directo a la aplicación oficial. Ninguna vía legítima pide la frase de recuperación, las claves privadas, el PIN ni el número completo de la tarjeta, ni pide mover fondos por correo, mensaje o teléfono. Un mensaje que ate una transferencia al 20 de diciembre nace falso: el dinero en autocustodia no vence ese día y su retiro no tiene plazo.
Quien recibió el aviso individual tiene ahí su lista exacta, y esa lista manda sobre cualquier resumen público. Con el número entre los datos, congelar la tarjeta desde la aplicación corta el uso inmediato; reportarla como perdida o robada la cancela de forma permanente, con reemplazos solo hasta el 20 de diciembre. Para la billetera enlazada, recibir fondos en una dirección nueva, creada por iniciativa propia, deja lo nuevo fuera del registro filtrado, con una salvedad: mover fondos desde la dirección expuesta deja rastro en la cadena y estrecha el vínculo, sin borrarlo.
Gnosis Pay informó el incidente a sus socios, al emisor y a las autoridades de protección de datos, y contrató vigilancia especializada para detectar uso indebido de lo robado. Una primera señal pública de ese uso sería la confirmación de que los datos pasaron del servidor alcanzado a las campañas de engaño que la empresa anticipó en su aviso.
Fuente: Gnosis Pay
