Gnosis Pay : fuite de données sur l'ancien système de cartes, détectée le 3 novembre

Gnosis Pay publie le 6 novembre 2026 la divulgation d'une fuite de données touchant l'ancien système B2C qui alimente ses cartes de débit crypto. L'accès non autorisé a été détecté le 3 novembre 2026 et contenu en moins de deux heures. Les fonds des utilisateurs sont intacts. Source primaire : la publication de l'entreprise, "Data breach: Legacy system — Gnosis Pay-branded cards" ; reprises par Journal du Coin et Cryptoast.

Ce qui est confirmé

• Date de détection : 3 novembre 2026.
• Portée : « certaines informations client » sur l'ancien système B2C. Gnosis Pay n'a pas publié la liste exhaustive des champs ni le nombre total d'utilisateurs affectés ; chaque client affecté a été prévenu par email avec le détail des données exposées sur son compte.
• Fonds clients : non touchés.
• Plateforme enterprise : l'infrastructure white-label utilisée par les partenaires tiers est une pile distincte et n'est pas concernée.
• Vecteur d'attaque : non divulgué. La publication indique que la faille a été corrigée et les credentials de sécurité remplacés.

Journal du Coin évoque des premiers rapports mentionnant des noms, adresses postales et données liées au portefeuille parmi les données compromises ; Gnosis Pay elle-même parle plus prudemment d'« informations client ».

Mesures prises

• Confinement en moins de deux heures.
• Credentials de sécurité compromis remplacés.
• Vulnérabilité corrigée.
• Surveillance renforcée de l'activité des cartes et des wallets.
• 3D Secure désormais obligatoire pour tous les paiements en ligne sur le système concerné, jusqu'à la fermeture.
• Une surveillance spécialisée est en cours d'organisation pour détecter tout usage frauduleux des données exposées.
• Revue interne complète en cours.
• Partenaires notifiés ; communications avec les autorités de protection des données et l'émetteur de carte.

Le 20 décembre était déjà la date de fermeture

L'ancien système B2C était déjà planifié pour une fermeture au 20 décembre 2026 avant l'incident — cette date reste inchangée. Le cadrage de Gnosis Pay : il s'agit d'une infrastructure dépréciée dont les utilisateurs étaient déjà en cours de migration, et les contrôles durcis restent actifs jusqu'au sunset.

La plateforme enterprise de Gnosis Pay pour les programmes de cartes white-label, utilisée par les partenaires, reste la ligne produit stratégique et n'est pas affectée.

Pourquoi c'est significatif

Les programmes de cartes se situent à un périmètre de risque spécifique : ils relient des portefeuilles on-chain à des réseaux de paiement off-chain, ce qui place dans le périmètre d'exposition des PII liées au KYC de l'émetteur et à l'historique des transactions. Le fait que les fonds n'aient pas été touchés correspond à une fuite de credentials/données de compte, pas à une compromission de clés de signature ou de wallet — l'attaquant a obtenu des données, pas la capacité de bouger des fonds.

Les inconnues matérielles restantes sont : (1) la liste exacte des champs exposés, (2) le nombre d'utilisateurs concernés, et (3) si des identifiants de wallet ou de token figurent dans l'ensemble divulgué. La formulation « email avec le détail des données exposées sur son compte » suggère une variance champ par champ selon les clients.

Que surveiller / que faire

1. Clients Gnosis Pay B2C : vérifier l'email direct de help@gnosispay.com qui précise les champs exposés sur votre compte.
2. Surveillance jusqu'au 20 décembre : la 3D Secure obligatoire limite le risque de paiement en ligne non autorisé ; maintenir la revue des relevés de carte.
3. PII exposées = persistantes : rotation des mots de passe et de la 2FA sur tout service où cette adresse email a été réutilisée.
4. Clients enterprise du produit white-label : aucune action requise selon l'éditeur ; confirmer avec son interlocuteur commercial Gnosis Pay que l'isolation entre pile B2C et plateforme enterprise s'applique bien à sa filière d'émission.

Contexte

Gnosis Pay a connu une année 2026 difficile côté cartes. L'incident Zodiac Delay Module de juin 2025 avait coûté environ 1,5 M$ sur l'infrastructure on-chain ; l'éditeur avait alors indiqué que les fonds des porteurs n'avaient pas été touchés. L'épisode actuel concerne une surface différente — l'ancien système de cartes off-chain, pas la pile on-chain Safe/Delay-module — et les fonds sont, à nouveau, intacts. Les fuites de type « données seulement, pas de mouvement de fonds » chez des émetteurs crypto ont été plus fréquentes en 2026 que les compromissions de clés ou de wallets ; la fuite Amplitude chez un fournisseur analytics de Coinbase plus tôt dans l'année est le parallèle le plus proche.