Gnosis Pay confirma una filtración de datos en sus tarjetas cripto

Gnosis Pay publicó el 6 de noviembre de 2026 en su blog un aviso sobre una filtración de datos que afecta al antiguo sistema que hace funcionar las tarjetas emitidas con su propia marca, es decir, su actividad dirigida a particulares (B2C). Según ese aviso, los sistemas de vigilancia de la empresa detectaron el 3 de noviembre de 2026 un acceso no autorizado a dicho sistema, y quedó expuesta información de clientes. Gnosis Pay es el nombre comercial de Gnosis Pay Co Ltd, sociedad registrada en el Reino Unido con el número 14919639.

Una intrusión contenida en dos horas, según la empresa

De acuerdo con el aviso de Gnosis Pay, el equipo de seguridad empezó a contener la intrusión en las dos horas siguientes a su detección. Después sustituyó las credenciales de seguridad afectadas y corrigió la vulnerabilidad. La empresa afirma que está llevando a cabo una revisión completa y que ha puesto en marcha una vigilancia especializada para detectar cualquier uso indebido de los datos sustraídos.

El aviso acota el alcance del incidente: solo está implicado el sistema de las tarjetas de marca Gnosis Pay. La plataforma para empresas, que gestiona todos los programas de tarjetas de marca blanca ofrecidos a través de aplicaciones asociadas, no se ha visto afectada, según la compañía. Gnosis Pay asegura además que los fondos de los clientes no han sufrido daños.

Según el mismo aviso, cada cliente afectado recibió el 6 de noviembre un correo electrónico con el detalle de la información obtenida de su cuenta. La empresa indica que ha informado a sus socios y que está en contacto con las autoridades de protección de datos competentes y con el emisor de la tarjeta. Esta tarjeta de débito la emite Monavate Limited bajo licencia de Visa Europe; Monavate está autorizada por la FCA británica como entidad de dinero electrónico (FRN 901097). En su cuenta de X, Gnosis Pay afirmó además que «lamenta profundamente» el incidente y que asume toda la responsabilidad, según Coin Edition, Incrypted y crypto.news. En el mismo mensaje, la empresa invitó a los investigadores de seguridad a notificar vulnerabilidades en bounty@gnosis.io, con las mismas recompensas que para Gnosis Chain, según CoinLaw e Incrypted.

Datos expuestos que varían según la cuenta

El aviso público solo menciona «cierta información de clientes». Las notificaciones individuales enviadas a los titulares, recogidas por Cointelegraph, CoinDesk y CoinLaw, citan entre otros datos números de tarjeta de pago, domicilios y las direcciones de los monederos cripto vinculados a las cuentas.

El contenido cambia de una cuenta a otra. Lefteris Karapetsas, fundador de Rotki, indicó en X que su nombre, su dirección, su número de tarjeta y todas sus direcciones de monedero vinculadas figuraban entre los datos expuestos. El aviso recibido por un periodista de Protos enumeraba datos más limitados: nombre en la tarjeta, dirección de envío y referencia de cuenta, según CoinLaw, ForkLog y Cointelegraph.

Quedan varias cuestiones abiertas. No se ha comunicado el número de clientes afectados, según Cointelegraph, Cryptoticker y CoinGape. Tampoco se ha precisado cómo entraron los atacantes ni quién está detrás del ataque, de acuerdo con Cryptoticker y BlockchainReporter. No se ha comunicado nada sobre si los datos circulan ya o se han puesto a la venta.

El incidente llega pocos meses después de otro. En junio de 2026, una vulnerabilidad en las cuentas de tarjeta de Gnosis Pay provocó pérdidas de unos 1,5 millones de dólares en activos digitales; la empresa la atribuyó a un defecto del framework de contratos inteligentes Zodiac y afirmó haber reembolsado íntegramente a los clientes afectados, según crypto.news, CoinGape y BlockchainReporter. Los anuncios de noviembre no relacionan ambos incidentes.

3D Secure obligatorio hasta el cierre del 20 de diciembre

El sistema B2C afectado ya tenía previsto su cierre el 20 de diciembre de 2026, y esa fecha se mantiene, precisa el aviso. Hasta entonces, Gnosis Pay ha reforzado la vigilancia de las operaciones con tarjeta y de los monederos, y ha hecho obligatorio 3D Secure para todos los pagos en línea con tarjeta.

La empresa pide a sus clientes que desconfíen de cualquier correo, SMS, llamada o carta inesperada sobre Gnosis Pay, una aplicación asociada o la tarjeta, aunque contenga datos personales reales o mencione una compra verdadera. Recomienda no pulsar en los enlaces y acceder directamente a la aplicación web oficial o a la aplicación asociada. Gnosis Pay recuerda que ni ella ni sus socios piden nunca la frase de recuperación (seed phrase), las claves privadas, el PIN o el número completo de la tarjeta, ni solicitan «volver a verificar» la identidad o mover fondos por correo, SMS o teléfono; cualquier cambio en la cuenta se realiza únicamente en la aplicación oficial.

El aviso aconseja también prudencia sobre las personas a las que se facilita el domicilio o detalles de las tenencias cripto, tanto en línea como fuera de ella. Indica además que se han recomendado otras medidas a cada cliente en función de los datos consultados. El contacto facilitado para cualquier consulta es help@gnosispay.com.

Qué cambia para los traders

Los traders que usan una tarjeta de marca Gnosis Pay para gastar sus criptoactivos serían los afectados directos; según la empresa, quienes obtuvieron la tarjeta a través de una aplicación asociada de marca blanca no lo están. El correo fechado el 6 de noviembre de 2026 sería la vía más directa para saber qué datos se obtuvieron de cada cuenta. En caso de duda, escribir a help@gnosispay.com tecleando la dirección a mano evitaría depender de un enlace recibido.

El riesgo principal estaría en el phishing dirigido. Unos estafadores con nombre, dirección postal, número de tarjeta y direcciones de monedero podrían redactar correos o cartas en papel muy creíbles, o hacerse pasar por un servicio técnico. Con 3D Secure ya exigido, una solicitud de validación sin ninguna compra en curso sería una señal de alarma, que justificaría rechazarla y revisar los últimos movimientos en la aplicación oficial. Los clientes cuyo número de tarjeta aparezca en la notificación tendrían interés en seguir las instrucciones recibidas, incluido el bloqueo o la sustitución de la tarjeta desde la aplicación.

Para los poseedores de criptomonedas, el vínculo que ahora puede establecerse entre una identidad, un domicilio y unos monederos cuya actividad sigue siendo visible en la blockchain plantearía además una cuestión de seguridad física, que el aviso de Gnosis Pay aborda expresamente al pedir discreción sobre las tenencias.

Por último, el cierre del 20 de diciembre de 2026 obligaría a los titulares a prever otro medio de pago, en especial para las suscripciones y los cargos periódicos vinculados a la tarjeta. En cuanto a posibles reclamaciones, Gnosis Pay afirma estar en contacto con las autoridades de protección de datos, y el emisor de la tarjeta, Monavate Limited, está bajo la supervisión de la FCA.