Datalek bij cryptokaart Gnosis Pay: adressen en walletgegevens buitgemaakt, tegoeden veilig

Gnosis Pay is gehackt. De aanbieder van cryptobetaalkaarten meldde vrijdag dat onbevoegden toegang kregen tot het systeem achter de eigen Gnosis Pay-kaarten, waarbij klantgegevens zijn buitgemaakt. Het geld van klanten is volgens het bedrijf niet geraakt. Dat klinkt geruststellend, maar het echte risico zit hier niet in de tegoeden. Het zit in wat de aanvallers nu weten over wie die tegoeden bezit en waar die persoon woont.

Wat er gebeurde

De monitoringsystemen van Gnosis Pay sloegen op 3 november alarm, zo schrijft het bedrijf in een blogpost. Binnen twee uur begon het team de inbraak in te dammen. De gecompromitteerde beveiligingssleutels zijn inmiddels vervangen en het lek is gedicht. Het ging om het consumentenplatform (de B2C-tak), dat toch al op 20 december met pensioen zou gaan. Het zakelijke platform, waarop fintechs, wallets en neobanken hun eigen kaarten onder hun eigen merk draaien, bleef buiten schot.

Hoeveel klanten getroffen zijn, zegt Gnosis Pay niet. Ook een volledige lijst van gelekte gegevens ontbreekt in de publieke mededeling. Wel kreeg iedere getroffen klant een e-mail met daarin precies welke informatie uit zijn account is gehaald. Op X schreef het bedrijf: "While funds were not affected, the security of personal information is just as important and we take full responsibility."

Adres plus wallet: een gevaarlijke combinatie

Die e-mails geven een beter beeld dan de officiële verklaring. Volgens Protos deelden gebruikers screenshots waaruit blijkt dat onder meer woonadressen, kaartnummers en walletadressen zijn gelekt. Lefteris Karapetsas, oprichter van de open-source cryptotracker Rotki, meldde dat zijn volledige thuisadres en gekoppelde walletadressen in de buit zaten.

Voor wie minder thuis is in crypto: een walletadres is openbaar en op de blockchain kan iedereen zien hoeveel er op staat. Koppel je dat aan een naam en een huisadres, dan heb je in feite een lijst van mensen met crypto en hun saldo. Dat maakt dit lek gevaarlijker dan een gemiddeld datalek bij een webwinkel.

Gnosis Pay waarschuwt klanten dan ook om voorzichtig te zijn met het delen van hun adres en details over hun cryptobezit, online én offline. Die waarschuwing is niet theoretisch. Volgens Chainalysis werd in de eerste helft van 2026 al ruim $30 miljoen buitgemaakt bij zogeheten wrench attacks: fysieke aanvallen op cryptobezitters, van woninginbraken tot ontvoeringen. Het jaar lag daarmee op koers voor een record.

Maatregelen en phishing

Tot de sluiting van het consumentenplatform is 3D Secure verplicht voor alle online kaartbetalingen. Dat is de extra controlestap waarbij je een betaling bevestigt in een app of via een code, zodat een gestolen kaartnummer alleen niet genoeg is. Daarnaast houdt Gnosis Pay kaartactiviteit en wallets scherper in de gaten op fraude. Het lek is gemeld bij partners, de kaartuitgever en toezichthouders op gegevensbescherming, en er wordt gespecialiseerde monitoring ingezet om misbruik van de data op te sporen.

De grootste dreiging op korte termijn is phishing. Oplichters met echte persoonsgegevens en zelfs echte aankopen in handen kunnen zeer overtuigende berichten sturen. Gnosis Pay benadrukt dat het nooit vraagt om een seed phrase, pincode of volledig kaartnummer, en klanten nooit vraagt geld te verplaatsen. Krijg je zo'n verzoek, dan is het per definitie nep.

Niet de eerste keer

Het is niet het eerste privacyprobleem voor Gnosis Pay. In juli 2024 werd het bedrijf al geraakt door een datalek bij KYC-dienstverlener Fractal ID, die identiteitscontroles voor meerdere cryptoprojecten uitvoerde. Destijds lag de fout bij een externe partij, nu zat het lek in eigen huis. Voor een dienst die juist draait om de belofte dat je zelf de baas blijft over je geld, is dat een pijnlijk verschil. Je sleutels kunnen nog zo veilig zijn: zodra je identiteit en adres op straat liggen, ben je als cryptobezitter kwetsbaarder dan ooit.