Gnosis Pay Veri İhlali HOME Kullanıcılarının Ev Adreslerini ve Cüzdanlarını Açığa Çıkardı

3 Kasım'da Eski Kart Sistemine Sızma

Kripto banka kartı sağlayıcısı Gnosis Pay'deki bir veri ihlali, müşterilerin ev adreslerini, kart numaralarını ve hesaplarına bağlı her kripto cüzdanını açığa çıkardı. Şirket, 3 Kasım Salı günü eski tüketici kartı sisteminde yetkisiz erişim tespit ettiğini duyurdu ve olayı iki saat içinde kontrol altına aldığını, etkilenen güvenlik bilgilerini yenilediği ve saldırganların içeri girmesini sağlayan açığı kapattığını bildirdi. Erişimin hangi yolla sağlandığı ise henüz açıklanmış değil. Şirketin uygulamasına adını veren HOME fiyatı son 24 saatte yüzde 3,3 geriledi; COINOTAG'in canlı spot takibi bu hareketi, yapilan açıklamadan bağımsız bir piyasa gelişmesi olarak okuyor.

Açığa çıkan dosya, alışılmadık ölçüde eksiksiz. Portföy takip aracı Rotki'nin kurucusu Lefteris Karapetsas, firmadan kendisine ulaşan bildirim e-postasını X'te yaptığı bir paylaşımda yayımladı. E-postada adının, ev adresinin tamamının, kart numarasının ve hesabına bağlı her cüzdan adresinin yer aldığını aktardı. Karapetsas, “Beni kullanıcı olarak zaten kaybetmiştiniz ama en azından verilerimi koruyabilirdiniz” ifadesini kullandı. Asıl mesele tam da bu birleşim: saldırgan, zincir üstü varlıkları gerçek dünyadaki bir kimlikle eşleştirebiliyor ve bu da sıradan bir sızıntıyı hedefli bir dolandırıcılığın ön koşuluna dönüştürüyor. Rotki, kullanıcıların varlıklarının anahtarlarını kendilerinde tutan bir portföy aracı; kurucusunun durumu, sızmanın hizmetten çoktan uzaklaşmış biri için bile geçerli olduğunu gösteriyor. Şirkete göre müşteri fonları etkilenmedi; diğer işletmelerin kart programlarını yürüten kurumsal çözümü de zarar görmedi. Kart numaraları aynı veri setinde yer aldığı için sızıntı, kriptonun ötesine geçip gündelik ödeme kayıtlarına kadar uzanıyor. Firmanın açıklamadığı konu ise kaç kişinin etkilendiği; şirket yalnızca, her etkilenen kullanıcıya kendi durumuna dair ayrıntıları içeren bir e-posta gönderdiğini söyledi.

2023'te tanıtılan Gnosis Pay, kullanıcıların kripto cüzdanlarına bağlı Visa banka kartlarıyla stablecoin harcamasını sağlıyor; kamuya açık ödeme takibine göre yıllıklandırılmış işlem hacmi 67,6 milyon doların yakınında. 3 Kasım'daki sızma, şirketin 2026'daki ikinci güvenlik olayı. Haziran'da cüzdan yazılımındaki bir açık sömürülerek yaklaşık 1,5 milyon dolar çekilmişti; şirket bu zararı üstlenmiş, müşterilerini tam olarak telafi etmiş ve çekilişi o yazılıma bağlayan bir olay incelemesi yayımlamıştı. İki olay nitelik olarak farklı: Haziran parayı götürdü, bu ay veriyi aldı. Açığa çıkan veriyi geri almak ise çalınan fonları telafi etmek gibi mümkün değil.

Haziran'daki olaydan bu yana firma, çevrimiçi kart ödemelerinde 3D Secure doğrulamasını zorunlu hale getirdi ve dolandırıcılık izlemesini genişletti. Ayrıca, ele geçirilen kişisel bilgilerin ve geçmiş alışveriş kayıtlarının, dolandırıcı mesajları inandırıcı kılabilir biçimde kullanılabileceği uyarısında bulundu. Bu soyut bir FUD senaryosu değil: gerçek bir kart numarası ya da yakın tarihli bir alışverişi belirten mesaj, jenerik oltalama girişiminden çok daha zor reddedilir; dosyada ev adresi de varsa inandırıcılık iyice artar. Zamanlama ise işin içine ayrı bir pürüz koyuyor. Gnosis Pay, markalı tüketici kartlarını 20 Aralık'ta kapatarak ortaklık programlarına odaklanmayı planlıyor; yani sızan sistem zaten emekliye ayrılmayı bekliyor. Diğer işletmelerin kart programlarını yürüten kurumsal altyapı ise aynen devam ediyor.

Kimlik Haritası Kapatmanın Ötesinde Kalıyor

Gnosis Pay'in bu ay kaybettiği şey para değil, bir haritaydı: isimler, sokak adresleri, kart numaraları ve bağlı cüzdan adresleri tek kayıtta birleşmiş halde. Anahtar açığa çıkmadığı için varlıkları bir soğuk cüzdana taşımak çok bir şey kazandırmıyor; bir kripto mikseri de isimle bağlanmış bir adresi ayrıştıramıyor. Tangem mobil cüzdan dahil donanım çözümleri anahtarları koruyor, müşteri dosyalarını değil. Kalıcı risk, Fransa'da somutlaşan türden: varlıkları bilindik hale gelen bir çift, Landes'teki kripto evi baskınında maskeli saldırganlar tarafından bağlanarak rehin alınmıştı. 20 Aralık'taki kapanış kart sistemini rafa kaldırıyor; sızan kayıtlar ise onunla birlikte emekli olmuyor.