Gnosis Pay, 3 Kasım'daki İhlalde Kart Numaraları ve Cüzdan Adreslerinin Sızdığını Açıkladı

İhlal 3 Kasım'da Tespit Edildi

Gnosis ekosistemi içinde kripto para bağlantılı Visa banka kartları çıkaran Gnosis Pay, Cuma günü müşteri kart verilerinin ve kişisel kayıtların eski tüketici kart sistemi üzerinden sızdığını doğruladı. Şirketin yayımladığı ihlal duyurusuna göre, Gnosis Pay markasıyla tüketiciye sunulan kartların arkasındaki eski platformda 3 Kasım'da yetkisiz erişim tespit edildi ve bu erişim iki saat içinde sınırlanmaya alındı. Şirketin açıklamasında müşteri fonlarının etkilenmediği, beyaz etiketli kart programlarına hizmet veren ayrı kurumsal platformun ise hiç dokunulmadığı belirtiliyor. Gnosis Pay, kripto varlıklara bağlanan ödeme kartları sunan bir fintech hizmeti olarak çalışıyor; dolayısıyla bu olay blok zincirinin kendisinde değil, ödeme altyapısında gerçekleşmiş durumda. Sızan kayıtlar kart numaralarının çok ötesine uzanıyor. Etkilenen kullanıcılara gönderilen bildirimlerde tam kart numaraları, son kullanma tarihleri ve CVV kodlarının yanı sıra müşteri adları, ev adresleri ve hesaplara bağlı kripto cüzdan adresleri de listeleniyor. E-posta adresleri, telefon numaraları ve uyruk bilgileri de sızan veriler arasında; bazı kayıtlarda IBAN ve BIC kodları gibi bankacılık bilgileri bile yer alıyor. Şirketin henüz söylemediği iki şey var: kaç müşterinin etkilendiği ve saldırganlar sisteme nasıl girdi. Her iki soru da açıklamada şimdilik cevapsız.

Kartlar İptal Edildi, 3D Secure Zorunlu Hale Geldi

Sızmanın kapsamı kullanıcıdan kullanıcıya değişiyor. Bazı müşterilere yalnızca kart üzerinde yazılı isimleri, teslimat adresleri ve Gnosis Pay hesap referanslarının ele geçirildiği söylendi. Rotki'nin kurucusu Lefteris Karapetsas ise aldığı bir ihlal bildirimini paylaştı; bildirimde kendisine ait ev adresinin tamamı, adı, kart numarası ve hesabına bağlı tüm cüzdan adreslerinin sızdığı yazıyordu. Aynı bildirim, kartının 3 Kasım'da iptal edildiğini ve şüpheli hareket ya da fon transferi kaydı bulunmadığını teyit ediyor; bu da olayın şimdilik doğrudan hırsızlıktan çok bir veri sızıntısına işaret ettiğini gösteriyor. Gnosis Pay, güvenliği aşlanan kimlik bilgilerini yenilediğini ve açığı kapattığını söylüyor. Geçici bir önlem olarak, online kart ödemelerinde kullanılan ek doğrulama katmanı 3D Secure, eski platformun 20 Aralık Pazar günü planlanan kapatılmasına kadar tüm internet alışverişlerinde zorunlu tutulacak. Şirket ayrıca müşterileri, kişisel veya işlem bilgilerini yeniden kullanmaya çalışan kimlik avı (phishing) girişimlerine karşı uyardı ve çalınan verilerin olası kötüye kullanımına yönelik izleme düzenlediğini belirtiyor. Sızan alanların arasında tam kart bilgileri de bulunduğu için, şimdiye kadar kötüye kullanım kaydı olmasa da şirket dolandırıcılık riskini sürüyor olarak değerlendiriyor.

Günlük 2.400 Aktif Kart Kullanıcısı

Kripto kart faaliyetini izleyen bağımsız platform OpenRate, Gnosis Pay'i yaklaşık 2.400 günlük aktif kart sahibi ile ölçüyor; duyurunun kamuya açılmasından önceki 24 saatte 263.200 dolar tutarında işlem gerçekleştirilmiş. Bu rakam, olay etrafındaki temel kullanım seviyesini tanımlıyor; ihlal sonrası kullanım verisi henüz yayımlanmadı. Yine de sızıntının dokunabileceği kullanıcı tabanının büyüklüğü hakkında fikir veriyor, ne var ki şirket bu kart sahiplerinin tamamının mı, bir kısmının mı yoksa yalnızca bir avucunun mu etkilendiğini teyit etmemiş durumda. Gnosis Pay kurumsal ortaklar için white-label stablecoin kartları da çıkarıyor; bu iş hattı, şirket tarafından olayla ilgisi olmadığı söylenen ayrı bir altyapı üzerinde çalışıyor. Eski tüketici sisteminin yıl sonunda kapatılması zaten önceden planlanmıştı, yani bu karar ihlalden önce alınmıştı; 20 Aralık tarihindeki kapatma artık aynı zamanda geçici 3D Secure zorunluluğunun da bitiş noktası olacak. Açıklamanın kendisi GNO tokeni hakkında hiçbir bilgi içermiyor; dolayısıyla GNO teknik analizini takip eden okuyucuların piyasa hattını güvenlik hattından ayrı tutması gerekiyor. Şirket yorum taleplerine bugüne kadar yanıt vermedi; etkilenen müşteri sayısı ile ihlalin kök nedeni her ikisi de hâlâ teyitsiz.

Ödeme Kaybı Değil, Kimlik Avı Riski

Bizim okumamız şu: asıl çizgi, tanımlayan veriler ile açan veriler arasındaki çizgi. Cüzdan adresleri tanımlar; fon hareket ettiremez. Buna karşılık bir private key fonları açar ve şirket tarafından yayımlanan sızan alanlar listesinde görünmüyor. Gerçekçi tehlike hedefli kimlik avı, çünkü ev adresi, kart numarası ve işlem bağlamı elinde tutan biri, kartı çıkaran kuruluşu ya da bir bankayı taklit etmek için iyi konumda. Harcama bakiyelerini uzun vadeli birikimlerinden ayıran ve birikimini hot wallet yerine hardware wallet gibi bir soğuk cüzdan tutan kart sahipleri daha düşük risk taşıyor. Açıklamada erişimin nasıl sağlandığına dair hiçbir bilgi yok; kök nedeni henüz kimse çözmüş değil. Protokol tarafında bir bağlam notu: Gnosis yakın zamanda FCR ile köprü teyitlerini yaklaşık 12 saniyeye indirdi; bu, zincir düzeyinde bir değişiklik ve kart sistemindeki bu ihlal onunla ilgisiz. Cüzdan ve borsa ayrımının temellerini merak edenler için Kripto Borsası ve Kripto Cüzdanları rehberimiz bu ayrımın arkasındaki saklama (custody) esaslarını anlatıyor.