Gnosis Pay confirma vazamento de dados em seus cartões cripto

A Gnosis Pay publicou em 6 de novembro de 2026, em seu blog, um aviso sobre um vazamento de dados que afeta o antigo sistema responsável pelos cartões emitidos com sua própria marca, ou seja, sua operação voltada a pessoas físicas (B2C). Segundo o aviso, os sistemas de monitoramento da empresa detectaram em 3 de novembro de 2026 um acesso não autorizado a esse sistema, e informações de clientes foram expostas. Gnosis Pay é o nome comercial da Gnosis Pay Co Ltd, empresa registrada no Reino Unido sob o número 14919639.

Invasão contida em duas horas, segundo a empresa

De acordo com o aviso da Gnosis Pay, a equipe de segurança começou a conter a invasão nas duas horas seguintes à detecção. Em seguida, substituiu as credenciais de segurança afetadas e corrigiu a falha. A empresa afirma conduzir uma revisão completa e ter implantado um monitoramento especializado para identificar qualquer uso indevido dos dados roubados.

O aviso delimita o alcance do incidente: apenas o sistema dos cartões da marca Gnosis Pay foi atingido. A plataforma para empresas, que opera todos os programas de cartões white label oferecidos por aplicativos parceiros, não foi afetada, segundo a companhia. A Gnosis Pay afirma ainda que os fundos dos clientes não foram atingidos.

Ainda segundo o aviso, cada cliente afetado recebeu em 6 de novembro um e-mail detalhando as informações obtidas de sua conta. A empresa diz ter informado seus parceiros e estar em contato com as autoridades de proteção de dados competentes e com o emissor do cartão. O cartão de débito é emitido pela Monavate Limited sob licença da Visa Europe; a Monavate é autorizada pela FCA, o regulador britânico, como instituição de moeda eletrônica (FRN 901097). Em sua conta no X, a Gnosis Pay declarou ainda que "lamenta profundamente" o incidente e assume total responsabilidade por ele, segundo Coin Edition, Incrypted e crypto.news. Na mesma mensagem, a empresa convidou pesquisadores de segurança a relatar falhas pelo endereço bounty@gnosis.io, com as mesmas recompensas aplicadas à Gnosis Chain, de acordo com CoinLaw e Incrypted.

Dados expostos variam de uma conta para outra

O aviso público fala apenas em "certas informações de clientes". As notificações individuais enviadas aos titulares, divulgadas por Cointelegraph, CoinDesk e CoinLaw, mencionam, entre outros dados, números de cartão de pagamento, endereços residenciais e os endereços das carteiras cripto vinculadas às contas.

O conteúdo muda conforme a conta. Lefteris Karapetsas, fundador da Rotki, afirmou no X que seu nome, seu endereço, o número do seu cartão e todos os seus endereços de carteira vinculados estavam entre os dados expostos. O aviso recebido por um jornalista do Protos listava dados mais restritos: nome impresso no cartão, endereço de entrega e referência da conta, segundo CoinLaw, ForkLog e Cointelegraph.

Várias questões seguem em aberto. O número de clientes afetados não foi divulgado, segundo Cointelegraph, Cryptoticker e CoinGape. Também não foi informado como os invasores entraram nem quem está por trás do ataque, de acordo com Cryptoticker e BlockchainReporter. Nada foi comunicado sobre se os dados já circulam ou foram colocados à venda.

O incidente ocorre poucos meses depois de outro. Em junho de 2026, uma falha nas contas de cartão da Gnosis Pay causou perdas de cerca de 1,5 milhão de dólares em ativos digitais; a empresa atribuiu o problema a um defeito no framework de contratos inteligentes Zodiac e disse ter reembolsado integralmente os clientes afetados, segundo crypto.news, CoinGape e BlockchainReporter. Os anúncios de novembro não relacionam os dois incidentes.

3D Secure obrigatório até o encerramento de 20 de dezembro

O sistema B2C atingido já tinha encerramento previsto para 20 de dezembro de 2026, e essa data está mantida, informa o aviso. Até lá, a Gnosis Pay reforçou o monitoramento das operações com cartão e das carteiras e tornou o 3D Secure obrigatório para todos os pagamentos on-line com cartão.

A empresa pede que os clientes desconfiem de qualquer e-mail, SMS, ligação ou correspondência inesperada sobre a Gnosis Pay, um aplicativo parceiro ou o cartão, mesmo que contenha dados pessoais verdadeiros ou mencione uma compra real. Recomenda não clicar em links e acessar diretamente o aplicativo web oficial ou o aplicativo parceiro. A Gnosis Pay lembra que nem ela nem seus parceiros pedem a frase de recuperação (seed phrase), as chaves privadas, o PIN ou o número completo do cartão, nem solicitam "reverificar" a identidade ou transferir fundos por e-mail, SMS ou telefone; qualquer alteração na conta é feita somente no aplicativo oficial.

O aviso recomenda também cautela com as pessoas a quem se informa o endereço ou detalhes sobre investimentos em cripto, on-line e fora dela. Indica ainda que outras medidas foram recomendadas a cada cliente conforme os dados acessados. O contato informado para dúvidas é help@gnosispay.com.

O que muda para os traders

Os traders que usam um cartão da marca Gnosis Pay para gastar seus criptoativos seriam os diretamente afetados; segundo a empresa, quem obteve o cartão por meio de um aplicativo parceiro white label não foi atingido. O e-mail datado de 6 de novembro de 2026 seria a forma mais direta de saber quais dados foram obtidos de cada conta. Em caso de dúvida, escrever para help@gnosispay.com digitando o endereço manualmente evitaria depender de um link recebido.

O principal risco estaria no phishing direcionado. Golpistas com nome, endereço, número de cartão e endereços de carteira poderiam produzir e-mails ou cartas em papel muito convincentes, ou se passar por suporte técnico. Com o 3D Secure agora exigido, um pedido de validação sem nenhuma compra em andamento seria um sinal de alerta, que justificaria recusá-lo e conferir as últimas transações no aplicativo oficial. Os clientes cujo número de cartão aparece na notificação teriam interesse em seguir as orientações recebidas, incluindo o bloqueio ou a substituição do cartão pelo aplicativo.

Para quem tem criptomoedas, a ligação que agora pode ser feita entre uma identidade, um endereço residencial e carteiras cuja movimentação continua visível na blockchain levantaria também uma questão de segurança física, que o aviso da Gnosis Pay aborda diretamente ao pedir discrição sobre os investimentos.

Por fim, o encerramento de 20 de dezembro de 2026 obrigaria os titulares a providenciar outro meio de pagamento, sobretudo para assinaturas e cobranças recorrentes vinculadas ao cartão. Quanto a eventuais reclamações, a Gnosis Pay afirma estar em contato com as autoridades de proteção de dados, e o emissor do cartão, a Monavate Limited, está sob supervisão da FCA.