Gnosis (GNO) : Gnosis Chain, carte Gnosis Pay et trésor de la DAO, et ce qui les rend risqués

Gnosis Pay, la carte de paiement crypto créée par l’équipe Gnosis, a indiqué le 6 novembre 2026 qu’un intrus avait accédé trois jours plus tôt à l’ancien système qui fait tourner ses cartes grand public et en avait extrait « certaines informations clients ». C’est le deuxième incident de sécurité sur la carte en cinq mois, après un bug de contrat intelligent qui avait permis à des attaquants de sortir environ 1,5 million de dollars de comptes d’utilisateurs le 1er juin. Les deux sont survenus pendant que le reste de Gnosis était en chantier : Gnosis Chain, le réseau sur lequel tourne la carte, s’apprête à cesser d’être une blockchain de couche 1 indépendante pour devenir un rollup qui se règle sur Ethereum, et les détenteurs de GNO ont voté en juin pour pouvoir retirer une partie du trésor de la DAO.

Gnosis est un vieux nom d’Ethereum. Ses équipes ont écrit le portefeuille multisignature aujourd’hui appelé Safe, le protocole d’échange devenu CoW Protocol et la chaîne xDai, devenue Gnosis Chain. En 2026, le projet est un assemblage de briques aux propriétaires et aux risques différents : une chaîne qui verrouille environ 86 millions de dollars, une activité de cartes qui se transforme en fournisseur en marque blanche, un trésor qui fond par votes successifs et un token de gouvernance décidé par quelques dizaines de portefeuilles.

Gnosis, c’est quoi ? Des marchés de prédiction à l’infrastructure Ethereum

Gnosis naît en 2015 au sein de ConsenSys comme un projet de marchés de prédiction sur Ethereum, puis devient indépendant en 2017, selon la chronologie que l’entreprise a publiée pour ses dix ans en août 2025. Cette page nomme trois cofondateurs : Martin Köppelmann, Friederike Ernst et Stefan George.

Le token est arrivé en premier. Le 24 avril 2017, Gnosis a vendu du GNO lors d’une enchère à prix dégressif, où le prix baissait à chaque bloc jusqu’à ce que des acheteurs prennent l’offre. Cointelegraph a rapporté le lendemain que la vente avait levé près de 12 millions de dollars en une dizaine de minutes. Seuls 5 % des tokens ont été vendus ; les développeurs ont gardé les 95 % restants, et le titre de Cointelegraph chiffrait à environ 300 millions de dollars la valeur créée sur le papier. Ces 95 % allaient façonner tous les débats ultérieurs sur la propriété de Gnosis.

Les produits qui ont fait le nom sont sortis de l’équipe, et la plupart l’ont depuis quittée. Safe est né sous le nom de Gnosis Safe, des contrats multisignature écrits par l’équipe pour gérer les fonds levés lors de la vente de 2017, d’après The Block. Les détenteurs de GNO ont approuvé son détachement de Gnosis Ltd en avril 2022 ; le 12 juillet 2022, il abandonnait le nom Gnosis et annonçait une vente de tokens de 100 millions de dollars menée par 1kx, comme l’ont rapporté The Block et CoinDesk. Gnosis Protocol, lancé en avril 2020, a été rebaptisé CoW Protocol début 2022. La documentation de Gnosis classe aujourd’hui Safe, CoW Protocol, le gestionnaire d’actifs kpk (ex-karpatkey) et la Gnosis App parmi les entités détachées, et Gnosis Pay, Circles, Gnosis Chain et Gnosis VPN parmi les briques actives.

Avant de prendre le nom de Gnosis, la chaîne s’appelait xDai : une sidechain active depuis 2018, fonctionnant en preuve d’autorité. La fusion de xDai avec la Gnosis Beacon Chain a été proposée en novembre 2021 et acceptée en décembre 2021 ; la chaîne est passée à la preuve d’enjeu avec le GNO comme token de staking lors de son propre Merge, le 8 décembre 2022, en remplaçant le consensus Aura en preuve d’autorité. Le GNO reste un token ERC-20 sur Ethereum, acheminé vers Gnosis Chain par l’Omnibridge.

Qui dirige Gnosis : Gnosis Ltd, GnosisDAO et quelques dizaines de votants

Deux entités comptent. Gnosis Ltd est la société qui a mené la vente de 2017 et qui, dans ses propres demandes de financement, est le principal bâtisseur de l’infrastructure et des produits Gnosis. GnosisDAO est la couche de gouvernance on-chain : les détenteurs de GNO votent sur des propositions d’amélioration (GIP) via Snapshot, avec un quorum de 75 000 GNO, et ces votes régissent le trésor. La documentation précise que la DAO ne pilote pas le travail quotidien des produits.

L’argent circule de la DAO vers la société. Avec le GIP-128, clos le 28 juillet 2025 par 76 800 GNO pour et 10 contre, la DAO s’est engagée à verser 30 millions de dollars par an en stablecoins à Gnosis Ltd. Le même texte décrit la société comme devenue, début 2025, une société limitée par garanties sans capital social, une structure proche d’une fondation. Il n’indique pas dans quel pays, et la juridiction n’est pas confirmée. En août 2026, le GIP-154 a ramené le budget à 15 millions de dollars pour les 12 mois à partir du 1er septembre 2026 et ajouté un prêt remboursable de 2 millions de dollars pour Gnosis Pay ; il a passé avec 104 172 GNO pour et 1 contre.

Ces gros chiffres viennent de petites foules. Le GIP-154 a compté 44 votants, le GIP-153 sur l’avenir de la chaîne 54 et le vote de remboursement GIP-151 49, d’après Snapshot. Le GIP-150, rejeté, en a réuni 95. Un token de gouvernance donne du pouvoir en proportion des tokens détenus, pas des personnes, comme l’explique le guide Coindaro sur les tokens de gouvernance ; chez Gnosis, cela veut dire que quelques gros détenteurs et les entités Gnosis fixent la direction. Le trésor de la DAO est réparti sur 22 Safe plus une adresse de Gnosis Ltd, selon la documentation, et il est géré depuis février 2026 par Noca (Noctua), choisi par le GIP-148 après que la DAO a mis fin au mandat de karpatkey avec le GIP-143. Le budget de Noca est plafonné à 1,5 million de dollars par an.

Comment fonctionne Gnosis Chain : frais en xDai, GNO staké et blocs de 5 secondes

Sous le capot, c’est une chaîne EVM d’identifiant 100, d’après la documentation de Gnosis Chain, avec un bloc toutes les 5 secondes environ et deux tokens aux rôles séparés. Chaque transaction paie ses frais en xDai, un token arrimé au dollar et acheminé depuis Ethereum, si bien que le coût pour l’utilisateur ne suit pas le cours d’une monnaie volatile. Les frais vont au validateur qui a scellé le bloc. Le GNO est le token de consensus que les validateurs mettent en jeu. La chaîne reprend la conception de la beacon chain d’Ethereum : les dépôts se comptaient en mGNO, une unité fixée à 32 mGNO par GNO pour refléter les 32 ETH d’Ethereum. La documentation indique désormais que le mGNO est obsolète et ne sert plus à rien.

L’usage reste modeste. Les synthèses mensuelles de gouvernance de la DAO comptent environ 10,8 millions de transactions sur la chaîne en août 2026 et environ 10,2 millions en septembre, pour des frais d’environ 7 800 xDai puis 7 400 xDai. Gnosis affirme que la chaîne a dépassé 5 millions de transactions par jour en 2023. L’explorateur GnosisScan a été remplacé par Blockscout le 11 août 2026.

Des nombres de validateurs qui ne concordent pas

Le nombre de validateurs qui sécurisent Gnosis Chain dépend de la source. La documentation de la chaîne parle de « plus de 200 000 validateurs ». Un message du forum Gnosis du 5 novembre 2025 sur l’exploit de Balancer évoquait environ 340 000. Les synthèses mensuelles de la DAO donnent environ 76 000 validateurs actifs en juin 2026 et environ 33 400 fin septembre 2026, avec environ 299 000 GNO mis en jeu. Le GIP-153 avance un quatrième chiffre, environ 350 000 GNO en staking, soit à peu près 27 % de l’offre en circulation. Aucune de ces sources n’explique sa définition (clés enregistrées, clés actives ou clés qui ont voté) et aucune n’a pu être recoupée avec un explorateur de beacon chain : chaque chiffre est donc donné avec sa source.

Des ponts signés par un ensemble 4 sur 7

L’argent arrive sur Gnosis Chain par des ponts exploités par Gnosis. Le pont xDai prend du USDS (ex-DAI) sur Ethereum et crée du xDai ; l’Omnibridge achemine les tokens ERC-20 comme le GNO, le WETH et le WBTC ; l’Omnibridge repose sur l’Arbitrary Message Bridge (AMB), qui transporte des données et des appels de contrats. La documentation indique que les transferts sur ces ponts natifs sont signés par un ensemble de validateurs de pont, et un avis de l’équipe Gnosis Bridges du 21 août 2025 décrit ce modèle comme un multisig 4 sur 7. Un transfert depuis Ethereum prend environ 30 minutes, car le pont attend la finalité d’Ethereum, précise la documentation ; la feuille de route des ponts, mise à jour le 29 octobre 2026, mentionne un chantier de Fast Confirmation Rule pour réduire ce délai à quelques secondes. Pour la différence entre ce type de pont et les systèmes de messagerie ou d’intentions, voir le guide Coindaro sur les ponts inter-chaînes.

Gnosis a tenté de réduire cette confiance. Hashi, un agrégateur d’oracles qui oblige plusieurs ponts à confirmer un message, a été intégré aux ponts canoniques, et Least Authority a audité Hashi et cette intégration dans un rapport daté du 18 juillet 2024. Un an plus tard, il a été éteint : le même avis d’août 2025 indiquait que GnosisDAO n’allouait plus de financement, que la maintenance cesserait avant le 22 août 2025 et que le validateur Hashi quitterait l’interface du pont avant le 29 août. Les contrats de Hashi restent déployés mais ne sont plus nécessaires pour exécuter des messages ; les ponts sont donc revenus au modèle 4 sur 7. Un détracteur du GIP-153 sur le forum a soutenu que Gnosis avait perdu sa neutralité crédible à cause de son pont et de son contrat de dépôt contrôlés par multisig ; c’est son avis, mais les faits sur lesquels il s’appuie figurent dans la documentation.

Les ponts ont déjà fait du mal à la chaîne, par conception plutôt que par vol. Le 15 mars 2022, des attaquants ont utilisé des tokens acheminés par l’Omnibridge, qui suivent la norme ERC-677 et rappellent le destinataire à chaque transfert, pour mener des attaques par réentrance contre Agave et Hundred Finance, deux protocoles de prêt copiés d’un code qui n’attendait pas ces rappels. Un post-mortem de la communauté indiquait que 517 tokens avaient été acheminés avant que le rappel soit restreint et que, n’étant pas évolutifs, ils ne pouvaient pas être modifiés. Il situait la faille dans les copies de protocoles de prêt qui ne se protégeaient pas contre les rappels, pas dans les contrats du pont.

Le hard fork Balancer : quand Gnosis Chain a réécrit des soldes

L’épisode qui définit le mieux la sécurité de Gnosis Chain date de fin 2025. Le 3 novembre 2025, un exploit de Balancer V2 a touché plusieurs chaînes, et environ 9,4 millions de dollars d’actifs volés se trouvaient sur Gnosis Chain, selon une mise à jour de Friederike Ernst sur le forum deux jours plus tard. Monerium a gelé les soldes EURe compromis et StakeWise a étudié un gel similaire pour l’osGNO ; ensemble, indiquait le message, plus de 3 millions d’euros ont été protégés, sur environ 128 millions de dollars drainés toutes chaînes confondues selon le décompte du message. Les validateurs ont aussi mené un soft fork volontaire : un client qui refuse d’attester les blocs déplaçant les soldes de l’attaquant. Plus de la moitié des validateurs l’ont adopté, d’après le message.

La chaîne est ensuite allée plus loin. Le 12 décembre 2025, un contributeur de Gnosis qui postait sous le nom filoozom a annoncé un hard fork fixé à 16 h 11 min 40 s UTC le 22 décembre, laissant dix jours aux opérateurs de nœuds pour mettre à jour leurs clients. Son but : déplacer les fonds gelés vers une adresse de secours afin de pouvoir les restituer ; une fois dans un portefeuille contrôlé par la DAO, écrivait-il, tout le reste serait réglé. Une réponse sur le forum a identifié l’adresse de secours comme un Safe qui, à ce moment, semblait n’avoir qu’un seul signataire, ce que filoozom a dit qu’il serait remplacé. Unchained a rapporté que le fork s’était activé à 11 h 11 (heure de New York), soit 16 h 11 UTC, le 22 décembre et avait récupéré environ 9,4 millions de dollars de fonds gelés, soit le montant que le forum Gnosis avait compté sur la chaîne en novembre.

Aucun vote de la DAO n’a précédé le fork. filoozom a écrit que les validateurs « sont libres d’exécuter le logiciel qu’ils jugent bon » et ne sont pas tenus de suivre la DAO, en précisant qu’il s’agissait de son avis personnel et non de celui de Gnosis Ltd. Plusieurs membres du forum ont protesté : certains contre le préavis de dix jours, d’autres contre le précédent d’une réécriture de l’état sur une chaîne vendue comme neutre, et l’un contre l’inégalité de traitement avec le cas antérieur du GIP-127, où rien n’avait été gelé. Pour un utilisateur, la leçon est double. Les victimes de l’exploit Balancer sur Gnosis ont eu une voie de récupération que la plupart des chaînes n’offriraient pas, et chacun sait désormais qu’un ensemble de validateurs coordonné peut déplacer des soldes sur cette chaîne, et l’a fait.

Gnosis Chain devient un rollup : ce que change le GIP-153

Le 22 juillet 2026, Friederike Ernst, avec Philippe Schommers et Ben Carvill, a déposé le GIP-153, qui demandait si Gnosis Chain devait rejoindre l’« Ethereum Economic Zone » (EEZ). Leur argumentaire est franc : « Gnosis Chain n’a pas tenu sa proposition de valeur d’origine », qu’ils décrivent comme une neutralité crédible, une chaîne décentralisée à bas coût gérée par de nombreux validateurs indépendants. Les revenus de frais, écrivent-ils, ne couvrent qu’une faible part du coût de la sécurité, de sorte que le trésor paie, et les récompenses de staking diluent les non-stakers d’environ 2,3 % par an, alors qu’Ethereum émet moins de 1 % par an avant la destruction des frais. Le vote Snapshot s’est clos le 19 août 2026 avec 123 158 GNO pour, 115 contre et 151 abstentions.

Le plan transforme Gnosis Chain en rollup qui se règle sur Ethereum. Le cadre EEZ est géré par une association suisse à but non lucratif distincte, codirigée par Gnosis et l’équipe de preuves ZisK et cofinancée par l’Ethereum Foundation, sans token propre, d’après la documentation de Gnosis. Pour les utilisateurs, les adresses, les soldes et l’état des contrats sont conservés sans redéploiement, et le xDai reste le token de frais. Pour le modèle de sécurité de la chaîne, presque tout change :

• Au lancement, Gnosis Ltd exploite un séquenceur central (le GIP l’appelle composer) qui ordonne les transactions et construit des blocs toutes les 2 secondes, et qui peut retarder ou retenir des transactions suspectes pour empêcher des piratages évidents.
• L’ensemble de validateurs de Gnosis Chain est démantelé, les validateurs de pont sont réaffectés à l’exécution de prouveurs et la subvention de staking financée par le trésor prend fin, ce qui libère les quelque 350 000 GNO actuellement mis en jeu.
• La première version repose sur une preuve intérimaire, probablement fondée sur des environnements d’exécution de confiance, la preuve à connaissance nulle en temps réel et la spécification complète étant attendues sur 2027.
• La genèse est visée pour décembre 2026 ou janvier 2027, sous réserve des dépendances de l’EEZ ; un ancien lien du blog de Gnosis mentionne le printemps 2027, la date n’est donc pas ferme.

Des critiques sur le forum ont contesté le composer central et l’inscription d’un pouvoir de censure dans la conception ; l’un d’eux a demandé si la possibilité de retenir des transactions est temporaire ou permanente. Friederike Ernst a répondu qu’un séquenceur centralisé est nécessaire pour des raisons techniques, que Gnosis n’appliquerait pas de contrôles AML ou KYC pour des tiers et n’interviendrait que dans des cas manifestement malveillants, comme un bug de création illimitée de tokens. Une fois le staking terminé, le GNO doit tirer sa valeur des frais, par un partage de frais ou un rachat, mais le GIP laisse la conception à une proposition ultérieure.

Le token GNO : 3 millions d’unités, une grosse destruction et un rachat de 30 millions de dollars

Le GNO a aujourd’hui deux usages : voter sur les GIP et participer au staking de Gnosis Chain. Il ne donne aucun droit automatique aux frais ni à des dividendes. CoinGecko indique une offre totale et maximale de 3 millions de GNO et environ 2,64 millions en circulation, et la documentation du trésor de Gnosis décrit l’offre comme plafonnée à 3 000 000.

Ce plafond est le résultat de destructions. Avec le GIP-116, proposé par karpatkey et approuvé sur Snapshot le 29 novembre 2024 par 92 114 GNO pour et aucun contre, la DAO a détruit 3,15 millions de GNO issus du contrat de vesting de huit ans dans lequel 80 % de l’offre avaient été bloqués en novembre 2020 ; la DAO a annoncé la destruction en janvier 2025 comme une étape vers l’objectif de 3 millions fixé par le GIP-35, un vote de 2022 qui y voyait une réduction de 70 % de l’offre d’origine. Son annonce donne un chiffre de destruction cumulée qui ne se concilie pas proprement avec le plafond ; Coindaro s’appuie donc sur l’offre telle que listée par CoinGecko et la documentation.

La DAO a aussi racheté du GNO. Le GIP-100, proposé en mai 2024 par le fonds Thanefield Capital, demandait un rachat de 30 millions de dollars ; il a passé le 10 juin 2024 avec 87 477 GNO pour et 418 contre. La moitié a été dépensée par des ordres CoW Protocol pondérés dans le temps, placés seulement sous une valeur comptable calculée, l’autre moitié à la discrétion de karpatkey. Le rapport de karpatkey pour janvier 2025, publié le 21 février, indiquait que le programme s’était achevé fin janvier. Le nombre de tokens rachetés et le prix moyen ne figuraient pas dans ce rapport.

Le trésor et le vote de remboursement du GNO

Le trésor est la raison pour laquelle beaucoup d’investisseurs détiennent du GNO. La documentation le situait à plus de 175 millions de dollars en novembre 2025, en citant DefiLlama. Le texte du GIP-151, rédigé en juin 2026, valorisait le trésor hors GNO à 151 220 464 dollars, y ajoutait GnosisVC, un fonds dont environ 13 millions de dollars avaient été appelés, avec une décote de 60 %, pour un total de 156 420 464 dollars ouverts au remboursement. Il comptait l’offre éligible à 1 364 058 GNO : les 3 millions au total moins les tokens détenus par la DAO et Gnosis Ltd.

Il a fallu deux votes. Le GIP-150, un remboursement qui aurait aussi émis un titre de créance sur les investissements illiquides et sur la valeur de Gnosis Ltd, a échoué le 12 mai 2026 avec 167 692 GNO pour et 432 545 contre ; son texte signalait aussi environ 25 millions de dollars d’investissements hors chaîne illiquides qui, disait-il, n’avaient pas été révélés auparavant. Le GIP-151, un remboursement unique, sur option, à la valeur d’actif net, élaboré « conjointement avec l’équipe fondatrice de Gnosis », a passé le 26 juin 2026 avec 157 749 pour, 2 500 contre et 1 492 abstentions. Le gestionnaire du trésor Noca a ouvert le site de remboursement le 3 juillet et clos la fenêtre de dépôt le 17 juillet 2026 à 12 h UTC. Les dépôts n’étaient pas réversibles, et Noca a décrit le contrat comme « audité en interne chez Gnosis », et non par un cabinet extérieur.

Noca a bien publié le prix. À partir d’un instantané du 17 juillet à 00 h UTC, il comptait 164,7 millions de dollars d’actifs du trésor hors GNO pour 1 330 414 GNO éligibles, soit 123,80 dollars par token, plus 3,91 dollars pour la part de GnosisVC : 127,71 dollars par GNO au total, versés surtout en ETH (56 %) et en stablecoins (28,9 %). Les demandes ont ouvert l’après-midi même. Ce qui manque encore, au 6 novembre 2026, c’est le résultat : ni le nombre de GNO remboursés ni les actifs versés n’apparaissent dans le fil du forum, dans les synthèses de la DAO jusqu’en septembre ou sur la page du trésor. Un détenteur qui a laissé passer la fenêtre possède toujours une part d’un trésor dont la taille après remboursements n’a pas été indiquée.

La carte Gnosis Pay : d’une carte grand public à une plateforme B2B

Gnosis Pay a été lancée en 2023, selon Gnosis lui-même, comme une carte de débit Visa qui dépense directement depuis un compte Safe en autogarde sur Gnosis Chain, avec des comptes en euros, livres et dollars entre autres devises. La société derrière est Gnosis Pay Co Ltd, immatriculée en Angleterre le 7 juin 2023 (numéro Companies House 14919639). Les cartes sont émises par Monavate Limited, un établissement de monnaie électronique agréé par la Financial Conduct Authority britannique (FRN 901097), sous licence de Visa Europe, d’après gnosispay.com. Obtenir une carte suppose de passer des contrôles d’identité (KYC) : un compte Gnosis Pay relie donc un nom et une adresse à des adresses de portefeuilles, ce qui compte pour la suite.

Son propre site revendique plus de 209,5 millions de dollars de volume traité, 3,9 millions de transactions et 84 600 comptes déployés ; ces totaux n’ont pas pu être vérifiés. La synthèse d’août 2026 de la DAO est plus modeste pour un seul mois : 180 432 paiements, contre 188 768 en juillet, pour un volume stable autour de 8,3 millions de dollars. Le cashback en GNO sur l’ancienne application a pris fin le 30 septembre 2026. En septembre, Gnosis Pay a officialisé son virage vers les entreprises : les interfaces grand public s’arrêtent d’ici fin 2026, et la société vend désormais à d’autres sociétés des programmes de cartes en stablecoins en marque blanche. Sa documentation entreprise liste des programmes dans l’UE, au Royaume-Uni, au Brésil, en Colombie, au Mexique, au Japon, à Singapour, aux Philippines, en Indonésie et en Thaïlande.

Juin 2026 : un bug de signature dans les modules Zodiac

Le 1er juin 2026, la surveillance a signalé le premier gros transfert non autorisé à 06 h 17 UTC ; l’équipe a trouvé la cause à 08 h 06, mis les services de carte hors ligne, et les validateurs de pont ont mis en pause le pont vers Gnosis Chain. Selon le post-mortem de Gnosis Pay, la faille se trouvait dans deux modules Zodiac, Delay et Roles, que la carte utilise pour mettre en file d’attente et plafonner les retraits. Lors de la vérification d’une signature de contrat ERC-1271, le code lisait la valeur renvoyée mais ignorait si l’appel lui-même avait échoué : un contrat qui échouait tout en renvoyant la réponse « valide » passait donc pour une signature. Les attaquants pouvaient ainsi mettre en file d’attente des retraits de comptes qui n’étaient pas les leurs. Le bug remontait à la version 3.4.0 de Zodiac, publiée le 30 octobre 2023.

Les attaquants ont pris environ 1,5 million de dollars, surtout en GNO, EURe et USDC.e, et environ 300 000 dollars de plus sont devenus inaccessibles, sur 5 281 portefeuilles contenant au moins 1 dollar. ChainSecurity a revu les modules corrigés avant le 4 juin, et le service est revenu pour 99 % des utilisateurs le 6 juin. Gnosis a absorbé les pertes et affirme qu’aucun utilisateur n’a perdu de fonds. Le jour même, Köppelmann a d’abord conseillé aux utilisateurs de retirer leurs fonds, puis a supprimé ce conseil en disant que la plupart ne le pouvaient pas, a rapporté Cointelegraph. Le post-mortem porte lui-même une signature datée du 3 juillet 2026, bien que les métadonnées de la page affichent aujourd’hui le 6 novembre 2026 ; il est cité ici comme le document de juillet.

Novembre 2026 : des données clients prises dans l’ancien système de cartes

Le 3 novembre 2026, la surveillance de Gnosis Pay a détecté un accès non autorisé au système qui fait tourner ses cartes grand public de marque Gnosis Pay. La société affirme que le confinement a commencé en moins de deux heures, que les identifiants ont été remplacés et la vulnérabilité corrigée. Elle a écrit aux clients concernés le 6 novembre et dit informer ses partenaires, son émetteur de cartes et des autorités de protection des données, qu’elle n’a pas nommés. Les fonds n’ont pas été touchés et la plateforme entreprise qui sert les programmes en marque blanche n’a pas été atteinte, d’après la société. Elle n’a pas dit combien de clients étaient concernés.

L’article de blog de la société ne parle que de « certaines informations clients ». Le message envoyé aux clients, cité par Protos, énumère le nom imprimé sur la carte, l’adresse de livraison et la référence du compte Gnosis Pay, et précise que l’exposition variait selon les utilisateurs. Lefteris Karapetsas, fondateur de Rotki, a dit que son e-mail citait aussi son adresse personnelle complète, son numéro de carte et toutes les adresses de portefeuille liées à son compte, selon Protos. Cette affirmation n’est pas confirmée : Gnosis Pay n’a pas dit publiquement que des numéros de carte ou des adresses de portefeuille avaient été pris. Jusqu’au retrait de l’ancien système le 20 décembre 2026, Gnosis Pay a rendu le 3D Secure obligatoire pour tous les paiements en ligne par carte et renforcé la surveillance des cartes et des portefeuilles. Le compte rendu de Coindaro sur la fuite de données Gnosis Pay détaille les réactions de clients et ce que peuvent faire les utilisateurs touchés.

L’inquiétude est précise. Une liste qui relie une adresse postale à un ensemble de portefeuilles en autogarde est plus sensible qu’une adresse e-mail divulguée, car elle indique à qui la lit qui détient quoi et où la personne habite. Rien de ce qui a été publié jusqu’ici ne relie la fuite à une attaque contre un client. Ce n’était pas non plus le premier incident de données autour de la carte : en juillet 2024, une fuite chez le prestataire KYC Fractal ID a touché certains utilisateurs de Gnosis Pay, prévenus par e-mail le 17 juillet, a rapporté The Block ; Fractal a dit que 0,5 % environ de ses 1 million d’utilisateurs étaient concernés.

Audits : les ponts sont examinés, la carte surtout après coup

La documentation de Gnosis Chain tient une liste d’audits des ponts avec les rapports des auditeurs. Elle comprend Quantstamp sur les contrats TokenBridge derrière l’Omnibridge (6 novembre 2020), deux revues de ChainSecurity sur l’Omnibridge (27 avril 2021 et version 6.0 le 7 septembre 2021), Least Authority sur Hashi et son intégration (18 juillet 2024) et Omega sur la migration du pont xDai vers USDS (un rapport déposé en octobre 2025, avec une revue interne de Gnosis Ltd). Omega et ChainSafe ont aussi examiné la mise à niveau sDAI du pont xDai le 31 août 2023. Gnosis Chain a également un programme de bug bounty via Immunefi.

Pour la carte, le tableau est plus mince. Aucun audit externe publié du paramétrage des comptes Gnosis Pay avant l’exploit de juin 2026 n’est référencé dans les sources consultées, et la revue qui a suivi, par ChainSecurity, n’a pas de rapport public localisé. Le post-mortem promet une évaluation indépendante de bout en bout par un cabinet extérieur, des audits élargis des dépendances externes et un processus pour appliquer rapidement les correctifs amont ; aucun n’a de date. Le contrat de remboursement n’a été audité qu’en interne.

La TVL de Gnosis Chain face aux autres chaînes

DefiLlama comptait 86,2 millions de dollars de valeur verrouillée sur Gnosis Chain le 6 novembre 2026, contre 147,3 millions un an plus tôt, soit une baisse d’environ 41 %, et environ 70 % sous le pic de 291,4 millions du 17 décembre 2024. Les stablecoins de la chaîne comprennent environ 14 millions de dollars de tokens en dollars et environ 14,3 millions d’euros (à peu près 15,9 millions de dollars) de tokens en euros comme l’EURe de Monerium, selon les données DefiLlama du 6 novembre 2026.

DefiLlama classe Gnosis Pay parmi les émetteurs de cartes crypto mais n’affiche pas de TVL pour lui, et les chiffres de frais ou de revenus de la chaîne n’ont pas pu être récupérés. La carte concurrence des cartes en stablecoins de sociétés crypto et de réseaux de paiement, dont la carte Cash d’ether.fi, mais aucun ne publie de volume de cartes sous une forme comparable.

Pourquoi Coindaro note Gnosis 4 sur 5 en risque

Coindaro note Gnosis 4 sur son échelle de 1 à 5, où 5 est le plus risqué. Ces faits expliquent la note. La carte a subi une faille de contrat et une fuite de données en cinq mois. La chaîne s’apprête à changer de modèle de sécurité, d’un large ensemble de validateurs à un séquenceur exploité par Gnosis Ltd avec une preuve intérimaire, à une date qui n’est pas fixée. Ses ponts reposent sur un multisig 4 sur 7 depuis que la DAO a cessé de financer Hashi, et en décembre 2025 ses validateurs ont montré qu’ils peuvent réécrire des soldes sans vote préalable. Enfin, la gouvernance du GNO se joue à quelques dizaines, voire moins d’une centaine de votants, avec un remboursement dont le résultat n’a pas été publié. En face, l’équipe a remboursé intégralement les pertes de juin, publie des post-mortems et des textes de gouvernance détaillés, et a montré en 2025 qu’elle sait agir vite après un exploit, ce que certains utilisateurs liront comme une protection et d’autres comme une faiblesse.

À surveiller

Les prochaines échéances sont proches. L’ancien système grand public de Gnosis Pay est retiré le 20 décembre 2026, et les applications grand public s’arrêtent d’ici la fin de l’année. La genèse de Gnosis Chain sur l’EEZ est visée pour décembre 2026 ou janvier 2027. Le budget de 15 millions de dollars de Gnosis Ltd court jusqu’au 31 août 2027. Restent à connaître : le nombre de clients touchés par la fuite de novembre, le résultat du remboursement du GNO et l’évaluation de sécurité indépendante de bout en bout que l’équipe de la carte a promise dans son post-mortem.