暗号資産カードのGnosis Payが顧客情報への不正アクセスを発表

Gnosis Payで何が起きたのか、発表内容の詳細

暗号資産カードを提供するGnosis Payは、自社ブランドカードの運用基盤となるシステムに不正アクセスがあり、一部の顧客情報が外部に露出したと発表した。同社によると、不正アクセスを検知したのは11月3日で、その2時間以内に封じ込めを開始したという。

同社は、侵害された認証情報を入れ替え、脆弱性を修正したと説明している。資金については影響がなかったとしている。影響を受けたのは個人向け事業の基盤で、もともと12月20日にサービス終了が決まっていたプラットフォームだという。一方で、フィンテック企業やウォレット事業者向けにカード提供を支える法人向けプラットフォームは影響を受けていないとしている。

被害を受けた顧客数や漏えいした具体的なデータの種類は明らかにされていない。同社は影響を受けた顧客それぞれにメールで通知したとしている。

顧客を守るために追加された対策と利用者への注意点

同社は、カード取引とウォレットの不正監視を強化したと明らかにした。加えて、個人向けプラットフォームが終了するまでの間、オンラインのカード決済すべてに追加の本人確認手続きである3Dセキュアを必須とした。また、データが悪用されていないかを監視する専門サービスの手配も進めているという。パートナー企業、カード発行会社、個人情報保護当局にも報告したとされる。

利用者に対しては、カードに関する予期しない連絡には、本物の個人情報や購入履歴を含んでいても注意するよう呼びかけた。同社はシードフレーズ、PIN、カード番号の全桁を求めることも、資金の移動を求めることもないと強調している。住所や暗号資産の保有状況を、オンラインとオフラインを問わず安易に伝えないよう促している。

相次ぐ暗号資産業界のセキュリティ事故と背景

今回の件は、業界で続くセキュリティ事故の一つとして位置づけられる。Decryptの報道では、暗号資産保有者を狙う物理的な襲撃（レンチ攻撃）が増えているとされる。ブロックチェーン分析企業Chainalysisの集計として、2026年上半期に3,000万ドルを超える被害が出たと伝えられており、記録的な年になるペースだと分析されている。レンチ攻撃とは、暗号資産の鍵を持つ人物に危害を加えて資産を奪う手口のことだ。

同じ時期には、Coinbaseが分析ベンダーのAmplitudeへの侵害で一部の顧客の連絡先情報が露出したと先週明らかにした。また、ハードウェアウォレット製造のLedgerは、10月に約8,700万ドルの資産流出が疑われる件で、確認された事例がすべて東南アジアの再販業者CryptoBilisを通じて購入された機器だったと説明している。Ledgerは最近購入した利用者に資金の新しい機器への移動を促した。

論点は、カードの顧客情報と、利用者の住所などの個人情報が組み合わさることで、フィッシングや狙い撃ちにつながるおそれがある点だ。今回の発表では被害規模が明らかでないため、今後どこまで情報が特定されるかを確認することが重要になる。