Gnosis Pay meldet Datenleck bei seinen Kryptokarten

Unbekannte sind in das System hinter den Visa-Karten der Marke Gnosis Pay eingedrungen und haben persönliche Daten von Kunden erbeutet. Guthaben seien nach Angaben des Unternehmens nicht betroffen. Wie viele Karteninhaber es trifft und welche Daten genau abflossen, sagt Gnosis Pay öffentlich nicht; die Betroffenen haben am Freitag eine E-Mail mit den Einzelheiten bekommen.

Gnosis Pay bemerkte den Zugriff am 3. November

Am Dienstag schlugen die Überwachungssysteme an: Jemand hatte sich unbefugt Zugang zu dem System verschafft, über das die Karten mit dem Gnosis-Pay-Logo laufen, also das Geschäft mit Privatkunden. Binnen zwei Stunden habe das Sicherheitsteam begonnen, den Angriff einzudämmen, schreibt das Unternehmen in seiner Mitteilung vom 6. November. Danach wurden die betroffenen Zugangsschlüssel ausgetauscht und die Lücke geschlossen. Wie die Angreifer hineinkamen, schreibt Gnosis Pay nicht.

Die Plattform für Partner, über die andere Wallets und Neobanken eigene Karten mit Gnosis-Pay-Technik ausgeben, war nach Angaben der Firma nicht betroffen.

Erst drei Tage nach der Entdeckung gingen die E-Mails hinaus. Gleichzeitig hat Gnosis Pay die Partner, die zuständigen Datenschutzbehörden und den Kartenherausgeber Monavate informiert. “We sincerely apologise”, heißt es in der Mitteilung, also: Wir entschuldigen uns aufrichtig. Und weiter: “While funds were not affected, we recognise that the security of personal information is just as important.” Sinngemäß: Auch wenn kein Geld betroffen sei, wiege der Schutz persönlicher Daten genauso schwer.

Online-Zahlungen brauchen jetzt eine zweite Bestätigung

Für alle Online-Zahlungen mit der Karte ist seit dem Vorfall das Verfahren 3D Secure Pflicht, bei dem der Kunde jeden Kauf zusätzlich freigibt. Kartenbewegungen und Wallets werden enger überwacht, um Betrug und Zugriffe auf Guthaben früh zu erkennen.

Beides soll bis zum 20. Dezember gelten. An diesem Tag geht das betroffene System ohnehin vom Netz. Gnosis Pay hatte schon im September angekündigt, das Geschäft mit eigenen Karten für Privatkunden samt Web-App einzustellen und Karteninhaber zu Partner-Apps umziehen zu lassen.

Es ist der zweite Vorfall in fünf Monaten. Am 1. Juni hatten Angreifer laut dem Abschlussbericht eine Schwachstelle in den Modulen der Karten-Wallets ausgenutzt und 1,5 Millionen Dollar abgezogen; Gnosis trug den Schaden, Kunden verloren nach Angaben des Unternehmens nichts.

Betrüger können die Daten für glaubwürdige Nachrichten nutzen

Ausgegeben wird die Karte laut Gnosis Pay von der britischen Monavate unter einer Lizenz von Visa Europe. Wer sie nutzt, sollte jede unerwartete Nachricht zu Gnosis Pay oder der eigenen Karte misstrauisch lesen, rät das Unternehmen, selbst wenn sie echte Angaben oder einen echten Kauf enthält. Links darin nicht anklicken, sondern die Web-App oder die Partner-App direkt öffnen.

Seed Phrase, private Schlüssel, PIN und vollständige Kartennummer fragen weder Gnosis Pay noch die Partner ab. Wie man die Wiederherstellungswörter sicher aufbewahrt, steht in unserem Ratgeber zur Seed-Phrase-Sicherheit. Bei Lieferadressen lehrt der Fall des Wallet-Herstellers Keystone, dass ein Datenleck mit Adressen Kryptobesitzer auch offline angreifbar macht. Gnosis Pay mahnt deshalb, die eigene Anschrift und Angaben zu Kryptobeständen sparsam weiterzugeben, im Netz wie außerhalb.

Welche Daten im Einzelfall betroffen sind, erfahren Kunden nur aus der E-Mail; wer keine bekommen hat, kann über help@gnosispay.com nachfragen.