Fuite de données Gnosis Pay : fonds saufs selon la société, mais des utilisateurs signalent numéros de carte et adresses personnelles exposés

Mise à jour du 7 novembre 2026, 17 h 43 UTC : Cointelegraph, qui dit avoir consulté des notifications de fuite, rapporte que les données exposées sur les comptes touchés comprenaient les numéros de carte complets, les dates d’expiration et les codes CVV, ainsi que les adresses e-mail, les numéros de téléphone, les nationalités et, dans certains cas, l’IBAN et le BIC. Gnosis Pay n’a rien confirmé et n’a pas répondu dans l’immédiat à la demande de commentaire de Cointelegraph ; son article de blog, relu le 7 novembre, ne liste toujours aucune donnée. CoinDesk a écrit le 7 novembre que la société avait corrigé la faille, sans rien ajouter sur les données de carte au-delà de l’e-mail de Lefteris Karapetsas.

Gnosis Pay, l’entreprise derrière une carte de débit Visa qui dépense depuis un portefeuille Safe en autogarde, a révélé une fuite de données le vendredi 6 novembre 2026 : un intrus a pénétré trois jours plus tôt, le 3 novembre, dans le système qui fait tourner ses cartes à la marque Gnosis Pay, exposant « certaines informations clients ». Dans un communiqué publié sur son blog, la société affirme que les fonds des clients n’ont pas été touchés et que sa plateforme entreprise, qui fait fonctionner les programmes de cartes en marque blanche de ses partenaires, n’a pas été atteinte. Elle ne donne aucun nombre de clients concernés, et son communiqué public ne précise pas quelles données ont été prises.

Les e-mails envoyés aux clients comblent une partie de ce vide. Les notifications citées par Protos indiquent que l’exposition varie selon les utilisateurs et couvre le nom imprimé sur la carte, l’adresse de livraison et la référence du compte. Lefteris Karapetsas, fondateur de l’outil de suivi de portefeuille Rotki, a écrit sur X que son propre e-mail en listait davantage : son adresse personnelle complète, son nom, son numéro de carte et chaque adresse de portefeuille liée à son compte. Cointelegraph, qui dit avoir consulté plusieurs notifications, rapporte une liste plus longue pour les comptes touchés, avec numéros de carte complets, dates d’expiration et codes CVV ; la société n’en a confirmé aucun élément. Les clés restent chez l’utilisateur en autogarde ; une adresse de livraison, non.

Fuite de données Gnosis Pay : ce que la société dit s’être passé le 3 novembre

Selon l’article de blog, la surveillance de Gnosis Pay a détecté un accès non autorisé au système qui alimente ses cartes à la marque Gnosis Pay, ce qu’elle appelle sa ligne d’activité B2C. Le confinement a commencé moins de deux heures après la détection. La société a ensuite remplacé les identifiants de sécurité touchés et dit avoir « corrigé la vulnérabilité ». Elle n’a pas décrit la faille ni indiqué pendant combien de temps l’intrus a eu accès au système.

Le système touché devait déjà être mis hors service le 20 décembre 2026. D’ici là, Gnosis Pay affirme avoir renforcé la surveillance de l’activité des cartes et des portefeuilles « pour détecter les fraudes ou les tentatives d’accès aux fonds des utilisateurs », et avoir rendu le 3D Secure, l’étape de confirmation supplémentaire au moment du paiement, obligatoire pour tous les paiements en ligne par carte.

Le 6 novembre, la société a envoyé un e-mail à chaque client concerné « avec précisément les informations qui ont été prises sur son compte », prévenu ses partenaires, et dit être en contact avec « les autorités de protection des données compétentes » ainsi qu’avec son émetteur de cartes. Un examen complet est en cours, et Gnosis Pay organise une surveillance spécialisée pour repérer tout signe d’utilisation abusive des données volées. « Même si les fonds n’ont pas été touchés, nous reconnaissons que la sécurité des informations personnelles est tout aussi importante », écrit-elle dans l’article.

Le compte officiel @gnosispay a aussi publié un message sur X. Selon Decrypt, qui l’a intégré à son article, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il indique que la fuite touche « le système qui fait fonctionner les cartes Gnosis Pay (notre ligne d’activité B2C) » et que « toutes les personnes concernées ont reçu un e-mail aujourd’hui avec l’ensemble des informations ». Decrypt le cite aussi disant que la société assume « l’entière responsabilité ».

Quelles données sont exposées : quatre sources, quatre listes différentes

L’article de blog ne nomme aucune catégorie de données. Il dit seulement que des mesures supplémentaires ont été recommandées en fonction des « informations précises auxquelles il a été accédé ». Le reste vient des e-mails, qui diffèrent d’une personne à l’autre.

Protos, qui a consulté des notifications partagées par des utilisateurs, les cite comme couvrant « votre nom tel qu’il figure sur votre carte, votre adresse de livraison et la référence de votre compte Gnosis Pay », le périmètre variant selon les utilisateurs. Protos a demandé un commentaire à Gnosis Pay et n’avait pas de réponse à la publication.

Karapetsas est allé plus loin dans un message sur X. Selon Protos, et d’après le titre de The Defiant, il explique que l’e-mail lui a indiqué que les données exposées comprenaient son adresse personnelle complète, son nom, son numéro de carte et toutes les adresses de portefeuille liées au compte. CoinDesk, qui s’appuie aussi sur l’e-mail qu’il a partagé, cite cette phrase de lui : « Vous m’aviez déjà perdu comme utilisateur, mais vous auriez au moins pu protéger mes données. » CoinDesk ne dit pas si le numéro de carte était complet et ne parle ni de date d’expiration ni de code CVV.

L’affirmation la plus lourde vient de Cointelegraph. En s’appuyant sur des notifications de fuite qu’il dit avoir consultées, sans les publier, le site rapporte que les informations exposées comprenaient les numéros complets de cartes de paiement, les dates d’expiration et les codes CVV, ainsi que les noms, les adresses personnelles et les adresses de portefeuille liées aux comptes touchés. Il y ajoute les adresses e-mail, les numéros de téléphone et les nationalités, et, dans certains cas, des coordonnées bancaires comme l’IBAN et le BIC. Il ne dit pas combien de notifications il a vues ni si tous les clients touchés ont perdu les mêmes données.

Si cette lecture est exacte, la fuite va bien au-delà de ce que citait Protos. Gnosis Pay ne l’a pas confirmée : la société n’a pas répondu dans l’immédiat à la demande de commentaire de Cointelegraph, et son article de blog ne nomme toujours aucune catégorie de données. Une notification citée par Cointelegraph indique que la carte de ce client a été annulée le 3 novembre, sans transaction suspecte ni mouvement de fonds détecté. C’est le cas d’un seul compte, pas une déclaration de la société sur l’ensemble des cartes.

Cointelegraph cite aussi des données d’OpenRate : environ 2 400 détenteurs de carte actifs par jour et 263 200 dollars de transactions sur les 24 heures précédentes. Ce chiffre donne la taille de la base d’utilisateurs, pas le nombre de personnes touchées par la fuite, que personne n’a publié.

Chaque colonne est un récit distinct des e-mails, et aucun n’est la liste de ce que chaque client a perdu. Restent inconnus : le nombre de personnes touchées, la manière dont l’intrus est entré, son identité, et si des données ont été utilisées.

Pourquoi une adresse personnelle divulguée pèse plus qu’un numéro de carte

Un numéro de carte peut être annulé et réémis. Une adresse personnelle, non. Si la lecture de Cointelegraph est juste, le risque sur la carte est réel lui aussi : un numéro accompagné de sa date d’expiration et de son code CVV, c’est ce que demande une boutique en ligne. Le 3D Secure obligatoire jusqu’au 20 décembre ajoute une étape que le titulaire doit approuver, ce qui limite ce risque sans le supprimer. Gnosis Pay n’a pas dit si les cartes exposées sont annulées. Les fonds placés dans un Safe ont toujours besoin des clés de leur propriétaire pour bouger. Mais les adresses de portefeuille sont publiques sur la chaîne : quiconque détient une liste qui relie un nom et une rue à ces adresses peut lire les soldes qui s’y trouvent. C’est le point de départ d’une « wrench attack », où des criminels recourent à la menace ou à la violence pour contraindre un détenteur à signer lui-même le transfert.

La France est le pays où ces attaques se sont concentrées. Vanessa Perrée, procureure nationale chargée de la criminalité organisée (PNACO), a déclaré en avril qu’au moins 88 personnes, dont 10 mineurs, avaient été mises en examen en lien avec des « wrench attacks », 75 d’entre elles étant en détention provisoire, dans 12 dossiers, a rapporté Cointelegraph le 27 avril 2026. Son parquet a recensé 18 faits en 2024, 67 en 2025 et 47 en 2026 à cette date. Elle a appelé les détenteurs à éviter la « surexposition sur les réseaux sociaux qui pourrait en faire des cibles ».

Chainalysis, dans des chiffres rapportés par The Block le 6 août 2026, a compté plus de 30 millions de dollars en cryptos pris par des criminels violents au premier semestre 2026, contre un record annuel de 58 millions de dollars en 2025, et 30 cas français connus publiquement jusqu’à la mi-année, contre 19 sur toute l’année 2025. Le ministre de l’Intérieur Laurent Nuñez avait indiqué fin juin que les autorités avaient documenté plus de 70 violences liées aux cryptos. Chainalysis désigne une compromission de données comme le moteur le plus probable de la vague récente, en citant entre autres la fuite chez l’outil fiscal Waltio, qui concernait environ 50 000 utilisateurs.

Rien de ce qui a été publié jusqu’ici ne relie la fuite de Gnosis Pay à une attaque ou à une tentative. Le conseil que Gnosis Pay donne à ses clients vise pourtant bien le risque physique : se méfier de ceux à qui l’on communique son adresse ou le détail de ses avoirs, « en ligne comme hors ligne ».

Pas le premier incident autour de Gnosis Pay

Des données personnelles de clients de Gnosis Pay avaient déjà fuité une fois, par l’intermédiaire d’un prestataire. En juillet 2024, un attaquant est entré dans un seul compte opérateur chez Fractal ID, le fournisseur de vérification d’identité que Gnosis Pay utilisait pour le KYC, et a extrait des données d’utilisateurs pouvant comprendre noms, détails de résidence, scans de selfies et copies de passeports, a rapporté The Block le 17 juillet 2024. Environ 0,5 % du million d’utilisateurs de Fractal étaient touchés, et Gnosis Pay avait averti ses propres clients par e-mail.

Le second épisode concernait de l’argent. Le 1er juin 2026, Martin Köppelmann, cofondateur et directeur général de Gnosis, a confirmé « un piratage lié à Gnosis Pay et au “delay module” », une couche de permissions Zodiac qui permet de mettre en file d’attente les transactions d’un Safe, et a écrit : « Soyez rassurés, Gnosis couvrira toutes les pertes des utilisateurs. » The Block précisait que l’ampleur de la perte n’était pas confirmée à ce moment-là.

Elle s’inscrit aussi dans une série de fuites de coordonnées de clients dans le secteur crypto cet automne, de l’intrus dans la boutique en ligne du fabricant de portefeuilles matériels Keystone aux données clients exposées chez le prestataire d’analyse de Coinbase, Amplitude.

Le délai RGPD de 72 heures et les autorités que Gnosis Pay n’a pas nommées

Selon l’article 33 du Règlement général sur la protection des données (RGPD), un responsable de traitement doit notifier une violation de données personnelles à son autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. L’article 34 ajoute que les personnes doivent être informées dans les meilleurs délais lorsque le risque pour elles est élevé. La version britannique du RGPD conserve le même délai de 72 heures.

Le pied de page du site désigne l’exploitant comme Gnosis Pay Co Ltd, une société immatriculée au Royaume-Uni, et indique que la carte de débit est émise par Monavate Limited, un établissement de monnaie électronique agréé par la Financial Conduct Authority. La société n’a pas dit avec quelles autorités elle est en contact, ni quand elle les a contactées la première fois. Les clients ont appris la fuite le 6 novembre, trois jours après la détection. Que les autorités aient été prévenues dans les 72 heures n’est pas public, et rien ne permet de dire que la règle a été enfreinte.

En vertu de l’article 77, les clients établis dans l’UE peuvent déposer une plainte auprès de l’autorité du pays où ils vivent, comme la CNIL en France ou le Garante en Italie ; au Royaume-Uni, auprès de l’Information Commissioner’s Office.

Que peuvent faire les détenteurs d’une carte Gnosis Pay dès maintenant

Partez de l’e-mail du 6 novembre, qui indique lesquelles de vos données ont été prises.

• Considérez comme suspect tout e-mail, SMS, appel ou courrier inattendu au sujet de Gnosis Pay, d’une application partenaire ou de votre carte, même s’il cite votre vrai nom, votre vraie adresse ou un achat réel. Ouvrez vous-même l’application web officielle ou l’application partenaire plutôt que de cliquer sur un lien.
• Ne communiquez jamais votre phrase de récupération, vos clés privées, votre code PIN ou le numéro complet de votre carte. Gnosis Pay dit qu’elle ne les demandera jamais, ne vous demandera jamais de « revérifier » votre identité par e-mail ou SMS, et ne vous demandera jamais de déplacer des fonds par e-mail, SMS ou téléphone. Notre guide pour conserver une phrase de récupération donne les bases.
• N’approuvez une demande 3D Secure que pour un paiement en ligne que vous avez vous-même lancé, et vérifiez l’historique de votre carte à la recherche d’achats que vous ne reconnaissez pas.
• Si votre e-mail mentionne votre numéro de carte, sa date d’expiration ou son code CVV, surveillez chaque ligne de vos relevés et demandez à Gnosis Pay, à [email protected], si la carte a été annulée et si une nouvelle carte sera émise. La notification d’un client, citée par Cointelegraph, indiquait une carte annulée le 3 novembre.
• Si votre e-mail liste des adresses de portefeuille, partez du principe que ces adresses sont désormais liées à votre nom et à votre domicile. Les fonds que vous ajouterez plus tard peuvent se trouver sur une adresse neuve, jamais associée à la carte.
• Gardez vos avoirs à l’abri des regards, sur les réseaux sociaux comme en conversation, comme l’a recommandé la procureure française.

Le hameçonnage qui s’appuie sur une fuite réelle suit souvent ce genre de divulgation ; notre guide des arnaques crypto liste les signaux d’alerte et indique où signaler une arnaque. Gnosis Pay répond aux questions à [email protected].

La prochaine date fixe est le 20 décembre 2026, quand le système B2C touché doit être fermé et que les contrôles supplémentaires sont censés disparaître avec lui. Gnosis Pay doit encore dire combien de personnes ont été touchées et quel était l’ensemble complet des champs volés.