Gnosis (GNO): Gnosis Chain, la carta Gnosis Pay e la tesoreria della DAO, e perché è rischioso

Gnosis Pay, la carta di debito crypto creata dal team di Gnosis, ha comunicato il 6 novembre 2026 che tre giorni prima un intruso era entrato nel vecchio sistema che gestisce le sue carte per i consumatori e aveva sottratto «certain customer information», cioè alcune informazioni sui clienti. È il secondo incidente di sicurezza della carta in cinque mesi, dopo che il 1° giugno un bug in uno smart contract aveva permesso agli attaccanti di spostare circa 1,5 milioni di dollari dai conti degli utenti. Entrambi gli episodi cadono mentre il resto di Gnosis viene ricostruito: Gnosis Chain, la rete su cui gira la carta, si prepara a smettere di essere un layer 1 indipendente per diventare un rollup che si regola su Ethereum, e a giugno i possessori di GNO hanno votato per potersi far rimborsare una parte della tesoreria della DAO.

Gnosis è un nome storico di Ethereum. I suoi team hanno scritto il wallet multifirma oggi chiamato Safe, il protocollo di scambio oggi chiamato CoW Protocol e la catena xDai diventata Gnosis Chain. Nel 2026 il progetto è un insieme di pezzi con proprietari e rischi diversi: una catena con circa 86 milioni di dollari di valore bloccato, un’attività di carte che si trasforma in fornitore white label, una tesoreria che si assottiglia a colpi di votazioni e un token di governance deciso da poche decine di wallet.

Che cos’è Gnosis? Dai mercati predittivi all’infrastruttura di Ethereum

Gnosis è nato nel 2015 dentro ConsenSys come progetto di mercati predittivi su Ethereum ed è diventato indipendente nel 2017, secondo la cronologia che l’azienda ha pubblicato per il decimo anniversario, nell’agosto 2025. Quella pagina indica tre cofondatori: Martin Köppelmann, Friederike Ernst e Stefan George.

Il token è arrivato per primo. Il 24 aprile 2017 Gnosis ha venduto GNO con un’asta a prezzo discendente, in cui il prezzo scendeva a ogni blocco finché qualcuno non accettava l’offerta. Cointelegraph ha riferito il giorno dopo che la vendita aveva raccolto quasi 12 milioni di dollari in circa dieci minuti. Era stato venduto solo il 5% dei token; gli sviluppatori hanno tenuto l’altro 95%, e il titolo di Cointelegraph indicava in circa 300 milioni di dollari il valore creato sulla carta. Quel 95% avrebbe segnato ogni discussione successiva su chi possiede Gnosis.

I prodotti che hanno reso famoso il nome sono nati dal team e quasi tutti se ne sono andati. Safe è partito come Gnosis Safe, contratti multifirma scritti dal team per gestire i fondi raccolti con la vendita di token del 2017, secondo The Block. I possessori di GNO hanno approvato lo scorporo da Gnosis Ltd nell’aprile 2022 e il 12 luglio 2022 Safe ha lasciato il nome Gnosis e annunciato una vendita di token da 100 milioni di dollari guidata da 1kx, come hanno riferito The Block e CoinDesk. Gnosis Protocol, lanciato nell’aprile 2020, è stato ribattezzato CoW Protocol all’inizio del 2022. La documentazione di Gnosis elenca oggi Safe, CoW Protocol, il gestore di patrimoni kpk (ex karpatkey) e la Gnosis App come scorpori indipendenti, e Gnosis Pay, Circles, Gnosis Chain e Gnosis VPN come parti ancora attive.

Prima di prendere il nome Gnosis la catena era xDai, una sidechain attiva dal 2018 e governata con proof of authority. La fusione di xDai con la Gnosis Beacon Chain è stata proposta nel novembre 2021 e accettata nel dicembre 2021; con il Merge della catena, l’8 dicembre 2022, si è passati alla proof of stake con GNO come token di staking, al posto del consenso Aura basato sulla proof of authority. GNO resta un token ERC-20 su Ethereum, portato su Gnosis Chain tramite l’Omnibridge.

Chi guida Gnosis: Gnosis Ltd, GnosisDAO e poche decine di votanti

Contano due organismi. Gnosis Ltd è la società che ha gestito la vendita del 2017 e che, nelle proprie richieste di fondi, risulta il principale costruttore dell’infrastruttura e dei prodotti di Gnosis. GnosisDAO è lo strato di governance on-chain: i possessori di GNO votano su Snapshot le Gnosis Improvement Proposal (GIP), con un quorum di 75.000 GNO, e quei voti governano la tesoreria. Secondo la documentazione, la DAO non gestisce il lavoro quotidiano dei prodotti.

Il denaro va dalla DAO alla società. Con la GIP-128, chiusa il 28 luglio 2025 con 76.800 GNO a favore e 10 contrari, la DAO ha accettato di pagare a Gnosis Ltd 30 milioni di dollari l’anno in stablecoin. Lo stesso testo descrive la società come diventata, all’inizio del 2025, una company limited by guarantee senza capitale sociale, una struttura vicina a quella di una fondazione. Non indica in quale paese, e la giurisdizione non risulta confermata. Nell’agosto 2026 la GIP-154 ha ridotto il budget a 15 milioni di dollari per i 12 mesi dal 1° settembre 2026 e ha aggiunto un prestito rimborsabile da 2 milioni di dollari per Gnosis Pay; è passata con 104.172 GNO a favore e 1 contrario.

Questi numeri grandi vengono da platee piccole. Secondo Snapshot, la GIP-154 ha avuto 44 votanti, la GIP-153 sul futuro della catena 54 e il voto di rimborso GIP-151 49. La GIP-150, respinta, ne aveva attirati 95. Un token di governance dà potere in proporzione ai token posseduti, non alle persone, come spiega la guida di Coindaro ai token di governance, e a Gnosis questo significa che la direzione la decidono pochi grandi possessori e le entità di Gnosis. Secondo la documentazione, la tesoreria della DAO è distribuita su 22 Safe più un indirizzo di Gnosis Ltd ed è gestita da febbraio 2026 da Noca (Noctua), scelta con la GIP-148 dopo che la DAO aveva chiuso il mandato di karpatkey con la GIP-143. Il budget di Noca ha un tetto di 1,5 milioni di dollari l’anno.

Come funziona Gnosis Chain: commissioni in xDai, stake in GNO e blocchi da 5 secondi

Sotto il cofano è una catena EVM con chain ID 100, secondo la documentazione di Gnosis Chain, con un blocco circa ogni 5 secondi e due token dai compiti separati. Ogni transazione paga la commissione in xDai, un token ancorato al dollaro e trasferito da Ethereum tramite bridge, così il costo per l’utente non segue il prezzo di una moneta volatile. La commissione va al validatore che ha chiuso il blocco. GNO è il token di consenso che i validatori mettono in stake. La catena riprende il disegno della beacon chain di Ethereum: i depositi si contavano in mGNO, un’unità fissata a 32 mGNO per GNO per rispecchiare i 32 ETH di Ethereum. La documentazione dice ora che mGNO è deprecato e non serve più a niente.

L’uso è modesto. I riepiloghi mensili di governance della DAO contano circa 10,8 milioni di transazioni sulla catena in agosto 2026 e circa 10,2 milioni in settembre, con commissioni di circa 7.800 xDai e 7.400 xDai. Gnosis afferma che nel 2023 la catena ha toccato un picco di più di 5 milioni di transazioni al giorno. L’esploratore di blocchi GnosisScan è stato sostituito da Blockscout l’11 agosto 2026.

Conteggi dei validatori che non coincidono

Quanti validatori proteggano Gnosis Chain dipende da chi risponde. La documentazione della catena parla di «over 200,000 validators», più di 200.000. Un post del forum di Gnosis del 5 novembre 2025 sull’exploit di Balancer ne citava circa 340.000. I riepiloghi mensili della DAO indicano i validatori attivi in circa 76.000 a giugno 2026 e in circa 33.400 a fine settembre 2026, con circa 299.000 GNO in stake. La GIP-153 dà una quarta cifra: circa 350.000 GNO in stake, più o meno il 27% dell’offerta circolante. Nessuna di queste fonti spiega la propria definizione (chiavi registrate, chiavi attive o chiavi che hanno votato), e i dati non sono stati confrontati con un esploratore della beacon chain: ogni cifra è quindi riportata con la sua fonte.

Bridge firmati da un gruppo 4 su 7

Il denaro arriva su Gnosis Chain attraverso bridge gestiti da Gnosis. Il bridge xDai prende USDS (già DAI) su Ethereum e conia xDai; l’Omnibridge trasporta token ERC-20 come GNO, WETH e WBTC; l’Omnibridge è costruito sull’Arbitrary Message Bridge (AMB), che porta dati e chiamate a contratti. La documentazione dice che i trasferimenti su questi bridge nativi sono firmati da un gruppo di validatori del bridge, e un avviso del team Gnosis Bridges del 21 agosto 2025 descrive quel modello come un multisig 4 su 7. Un trasferimento da Ethereum richiede circa 30 minuti perché il bridge attende la finalità di Ethereum, spiega la documentazione; la roadmap dei bridge, aggiornata il 29 ottobre 2026, elenca un lavoro su una Fast Confirmation Rule per ridurre l’attesa a pochi secondi. Per le differenze tra questo tipo di bridge e i sistemi di messaggistica e di intent, vedi la guida di Coindaro ai bridge cross-chain.

Gnosis ha provato a ridurre questa fiducia. Hashi, un aggregatore di oracoli che fa confermare un messaggio da più di un bridge, era stato integrato nei bridge canonici, e Least Authority ha sottoposto Hashi e quell’integrazione ad audit in un rapporto datato 18 luglio 2024. Un anno dopo è stato spento: lo stesso avviso dell’agosto 2025 diceva che GnosisDAO non aveva stanziato altri fondi, che la manutenzione sarebbe finita entro il 22 agosto 2025 e che il validatore Hashi avrebbe lasciato l’interfaccia del bridge entro il 29 agosto. I contratti di Hashi restano in rete ma non servono a eseguire i messaggi, quindi i bridge sono tornati al modello 4 su 7. Un critico della GIP-153 sul forum ha sostenuto che Gnosis ha perso la neutralità credibile a causa del bridge e del contratto di deposito controllati da un multisig; è la sua opinione, ma i fatti su cui poggia sono nella documentazione.

I bridge hanno già fatto male alla catena, per via del disegno e non di un furto. Il 15 marzo 2022 alcuni attaccanti hanno usato token portati con l’Omnibridge, che seguono lo standard ERC-677 e richiamano il destinatario a ogni trasferimento, per attacchi di reentrancy contro Agave e Hundred Finance, due protocolli di prestito derivati da codice che non prevedeva i callback. Un post-mortem della community ha detto che 517 token erano stati trasferiti prima che il callback venisse limitato e che, non essendo aggiornabili, non si potevano modificare. Il difetto era collocato nei fork dei protocolli di prestito che non si proteggevano dai callback, non nei contratti del bridge.

L’hard fork per Balancer: quando Gnosis Chain ha riscritto i saldi

L’episodio che più definisce la sicurezza di Gnosis Chain risale alla fine del 2025. Il 3 novembre 2025 un exploit di Balancer V2 ha colpito più catene, e circa 9,4 milioni di dollari degli asset rubati si trovavano su Gnosis Chain, secondo un aggiornamento sul forum di Friederike Ernst due giorni dopo. Monerium ha congelato i saldi di EURe compromessi e StakeWise ha valutato un congelamento analogo per osGNO; insieme, diceva il post, sono stati protetti più di 3 milioni di euro, su circa 128 milioni di dollari sottratti tra le varie catene secondo il conteggio del post. I validatori hanno anche adottato un soft fork volontario: un client che rifiuta di attestare i blocchi che spostano i saldi dell’attaccante. Più della metà dei validatori lo ha adottato, secondo il post.

Poi la catena è andata oltre. Il 12 dicembre 2025 un collaboratore di Gnosis che scrive con il nome filoozom ha annunciato un hard fork fissato per le 16:11:40 UTC del 22 dicembre, lasciando ai gestori dei nodi dieci giorni per aggiornare i client. Lo scopo era spostare i fondi congelati su un indirizzo di salvataggio, in modo da poterli restituire in seguito; una volta in un wallet controllato dalla DAO, scriveva, tutto il resto si sarebbe sistemato. Una risposta sul forum ha identificato l’indirizzo di salvataggio come un Safe che allora sembrava avere una sola firma, e filoozom ha detto che sarebbe stata sostituita. Unchained ha riferito che il fork si è attivato alle 11:11 ET (16:11 UTC) del 22 dicembre e ha recuperato circa 9,4 milioni di dollari di fondi congelati, la stessa cifra che il forum di Gnosis aveva contato sulla catena a novembre.

Prima non c’è stato nessun voto della DAO. filoozom ha scritto che i validatori «are entitled to run any software they see fit», cioè sono liberi di far girare il software che ritengono, e non sono obbligati a seguire la DAO, aggiungendo che era un parere personale e non quello di Gnosis Ltd. Diversi membri del forum hanno obiettato: alcuni per i dieci giorni di preavviso, altri per il precedente di riscrivere lo stato su una catena venduta come neutrale, uno per la disparità di trattamento rispetto al caso precedente della GIP-127, in cui non era stato congelato nulla. Per l’utente la lezione è doppia. Le vittime dell’exploit di Balancer su Gnosis hanno avuto una via di recupero che la maggior parte delle catene non offrirebbe, e ogni utente sa ora che un insieme coordinato di validatori può spostare i saldi su questa catena, e lo ha fatto.

Gnosis Chain diventa un rollup: che cosa cambia con la GIP-153

Il 22 luglio 2026 Friederike Ernst, con Philippe Schommers e Ben Carvill, ha presentato la GIP-153, chiedendo se Gnosis Chain debba entrare nella «Ethereum Economic Zone» (EEZ). La tesi era netta: «Gnosis Chain has failed to deliver on its original value proposition», cioè la catena non ha mantenuto la promessa iniziale, che descrivono come neutralità credibile, una catena decentralizzata, a basso costo e gestita da molti validatori indipendenti. Le commissioni, scrivono, coprono solo una piccola parte dei costi di sicurezza, quindi paga la tesoreria, e le ricompense di staking diluiscono chi non fa staking di circa il 2,3% l’anno, mentre Ethereum emette meno dell’1% l’anno prima del burn delle commissioni. Il voto su Snapshot si è chiuso il 19 agosto 2026 con 123.158 GNO a favore, 115 contrari e 151 astenuti.

Il piano trasforma Gnosis Chain in un rollup che si regola su Ethereum. Secondo la documentazione di Gnosis, il quadro EEZ è gestito da un’organizzazione svizzera senza scopo di lucro distinta, guidata congiuntamente da Gnosis e dal team di proving ZisK e cofinanziata dalla Ethereum Foundation, e non ha un token proprio. Per gli utenti, indirizzi, saldi e stato dei contratti passano senza bisogno di ridistribuire nulla, e xDai resta il token delle commissioni. Per il modello di sicurezza della catena cambia quasi tutto:

• al lancio Gnosis Ltd gestisce un sequencer centrale (la GIP lo chiama composer) che ordina le transazioni e costruisce blocchi ogni 2 secondi, e che può ritardare o trattenere transazioni sospette per fermare gli attacchi più evidenti;
• l’insieme dei validatori di Gnosis Chain viene smantellato, i validatori dei bridge sono riconvertiti a far girare i prover e il sussidio di staking finanziato dalla tesoreria finisce, il che libera i circa 350.000 GNO oggi in stake;
• la prima versione si appoggia a un proving provvisorio, probabilmente basato su ambienti di esecuzione fidati (TEE), mentre il proving zero-knowledge in tempo reale e la specifica completa sono attesi nel corso del 2027;
• il genesis è previsto per dicembre 2026 o gennaio 2027, subordinato alle dipendenze dell’EEZ; un vecchio link del blog di Gnosis parla della primavera 2027, quindi la data non è definitiva.

I critici sul forum si sono opposti al composer centrale e all’idea di inserire nel disegno il potere di censura; uno ha chiesto se la possibilità di trattenere le transazioni sia temporanea o permanente. Ernst ha risposto che un sequencer centralizzato serve per ragioni tecniche, che Gnosis non eseguirebbe controlli AML o KYC per conto di altri e che interverrebbe solo nei casi di malintenzione evidente, come un bug di conio infinito. Quando lo staking finirà, GNO dovrebbe trarre valore dalle commissioni, con una quota delle commissioni o un buyback, ma la GIP lascia il progetto a una proposta successiva.

Il token GNO: 3 milioni di offerta, un grande burn e un buyback da 30 milioni

Oggi GNO ha due usi: votare le GIP e fare staking su Gnosis Chain. Non dà alcun diritto automatico a commissioni o dividendi. CoinGecko indica un’offerta totale e massima di 3 milioni di GNO e circa 2,64 milioni in circolazione, e la documentazione sulla tesoreria di Gnosis descrive l’offerta come limitata a 3.000.000 per costruzione.

Il tetto è il risultato di alcuni burn. Con la GIP-116, proposta da karpatkey e approvata su Snapshot il 29 novembre 2024 con 92.114 GNO a favore e nessuno contrario, la DAO ha bruciato 3,15 milioni di GNO dal contratto di vesting di otto anni in cui l’80% dell’offerta era stato bloccato nel novembre 2020; la DAO ha annunciato il burn nel gennaio 2025 come tappa verso l’obiettivo di 3 milioni fissato la prima volta nella GIP-35, un voto del 2022 che lo presentava come un taglio del 70% rispetto all’offerta originale. Il suo stesso annuncio riporta una cifra cumulativa di burn che non si concilia bene con il tetto, quindi ci si basa sull’offerta indicata da CoinGecko e dalla documentazione.

La DAO ha anche ricomprato GNO. La GIP-100, proposta nel maggio 2024 dal fondo Thanefield Capital, chiedeva un buyback da 30 milioni di dollari; è passata il 10 giugno 2024 con 87.477 GNO a favore e 418 contrari. Metà è stata spesa con ordini TWAP su CoW Protocol piazzati solo sotto un valore di libro calcolato, metà a discrezione di karpatkey. Il rapporto di karpatkey per gennaio 2025, pubblicato il 21 febbraio, diceva che il programma si era concluso a fine gennaio. Il numero di token acquistati e il prezzo medio non figuravano in quel rapporto.

La tesoreria e il voto sul rimborso dei GNO

La tesoreria è il motivo per cui molti investitori tengono GNO. La documentazione la stima in più di 175 milioni di dollari nel novembre 2025, citando DefiLlama. Il testo della GIP-151, scritto a giugno 2026, valutava la tesoreria esclusi i GNO in 151.220.464 dollari e aggiungeva GnosisVC, un fondo di cui erano stati richiamati circa 13 milioni, con uno sconto del 60%, per un totale di 156.420.464 dollari disponibili al rimborso. Contava l’offerta ammissibile in 1.364.058 GNO: i 3 milioni totali meno i token in mano alla DAO e a Gnosis Ltd.

Per arrivarci sono serviti due voti. La GIP-150, un rimborso che avrebbe anche emesso un token di credito sugli investimenti illiquidi e sul valore di Gnosis Ltd, è stata respinta il 12 maggio 2026 con 167.692 GNO a favore e 432.545 contrari; il testo indicava anche circa 25 milioni di dollari di investimenti off-chain illiquidi che, a quanto diceva, non erano stati resi noti prima. La GIP-151, un rimborso una tantum e facoltativo al valore patrimoniale netto, sviluppato «jointly with the Gnosis founding team», cioè insieme al team fondatore di Gnosis, è passata il 26 giugno 2026 con 157.749 a favore, 2.500 contrari e 1.492 astenuti. Il gestore della tesoreria Noca ha aperto il sito del rimborso il 3 luglio e ha chiuso la finestra dei depositi il 17 luglio 2026 alle 12:00 UTC. I depositi non erano revocabili, e Noca ha descritto il contratto come «internally audited at Gnosis», cioè verificato internamente a Gnosis e non da una società esterna.

Noca il prezzo lo ha pubblicato. Da uno snapshot delle 00:00 UTC del 17 luglio ha contato 164,7 milioni di dollari di asset di tesoreria esclusi i GNO a fronte di 1.330.414 GNO ammissibili, cioè 123,80 dollari a token, più 3,91 dollari per la quota di GnosisVC: 127,71 dollari per GNO in tutto, pagati soprattutto in ETH (56%) e stablecoin (28,9%). I rimborsi sono partiti nel pomeriggio stesso. Quello che manca ancora, al 6 novembre 2026, è l’esito: né il numero di GNO rimborsati né gli asset pagati compaiono nella discussione del forum, nei riepiloghi della DAO fino a settembre o nella pagina della tesoreria. Chi ha saltato la finestra possiede ancora una quota di una tesoreria la cui dimensione dopo i rimborsi non è stata dichiarata.

La carta Gnosis Pay: da carta per i consumatori a piattaforma B2B

Gnosis Pay è stata lanciata nel 2023, secondo la stessa Gnosis, come carta di debito Visa che spende direttamente da un conto Safe in self-custody su Gnosis Chain, con conti in euro, sterline e dollari tra le altre valute. La società che la gestisce è Gnosis Pay Co Ltd, registrata in Inghilterra il 7 giugno 2023 (numero di Companies House 14919639). Le carte sono emesse da Monavate Limited, un istituto di moneta elettronica autorizzato dalla Financial Conduct Authority britannica (FRN 901097), su licenza di Visa Europe, secondo gnosispay.com. Per avere una carta bisogna superare i controlli di identità (KYC), quindi un conto Gnosis Pay lega un nome e un indirizzo a indirizzi di wallet, un dettaglio che conta per quanto segue.

Il suo stesso sito rivendica più di 209,5 milioni di dollari di volumi, 3,9 milioni di transazioni e 84.600 conti attivati; questi totali non sono stati verificati. Il riepilogo di agosto 2026 della DAO è più sobrio per un singolo mese: 180.432 pagamenti, in calo dai 188.768 di luglio, con volumi stabili a circa 8,3 milioni di dollari. Il cashback in GNO sulla vecchia app è finito il 30 settembre 2026. A settembre Gnosis Pay ha reso ufficiale la svolta verso i clienti aziendali: le interfacce per i consumatori si chiudono entro la fine del 2026 e la società vende invece programmi di carte in stablecoin in white label ad altre aziende. La sua documentazione per le imprese elenca programmi in UE, Regno Unito, Brasile, Colombia, Messico, Giappone, Singapore, Filippine, Indonesia e Thailandia.

Giugno 2026: un bug di firma nei moduli Zodiac

Il 1° giugno 2026 il monitoraggio ha segnalato il primo grosso trasferimento non autorizzato alle 06:17 UTC; il team ha trovato la causa alle 08:06, ha messo offline i servizi della carta e i validatori del bridge hanno messo in pausa il bridge verso Gnosis Chain. Secondo il post-mortem di Gnosis Pay, il difetto stava in due moduli Zodiac, Delay e Roles, che la carta usa per mettere in coda e limitare i prelievi. Nel controllare la firma di un contratto ERC-1271, il codice leggeva il valore restituito ma ignorava se la chiamata fosse fallita, così un contratto che andava in revert restituendo la risposta «valida» passava come firma. Questo permetteva agli attaccanti di mettere in coda prelievi da conti che non erano loro. Il bug risaliva alla versione 3.4.0 di Zodiac, uscita il 30 ottobre 2023.

Gli attaccanti hanno preso circa 1,5 milioni di dollari, soprattutto in GNO, EURe e USDC.e, e altri 300.000 circa sono rimasti inaccessibili, su 5.281 wallet con almeno 1 dollaro. ChainSecurity ha rivisto i moduli corretti entro il 4 giugno e il servizio è tornato per il 99% degli utenti il 6 giugno. Gnosis ha assorbito le perdite e dice che nessun utente ha perso fondi. Quel giorno Köppelmann aveva prima invitato gli utenti a ritirare i fondi, poi ha cancellato il consiglio dicendo che la maggior parte non poteva farlo, ha riferito Cointelegraph. Il post-mortem porta una data di pubblicazione del 3 luglio 2026, anche se i metadati della pagina mostrano oggi il 6 novembre 2026: qui è citato come il documento di luglio.

Novembre 2026: dati dei clienti sottratti dal vecchio sistema delle carte

Il 3 novembre 2026 il monitoraggio di Gnosis Pay ha rilevato un accesso non autorizzato al sistema che gestisce le sue carte per i consumatori con il marchio Gnosis Pay. La società dice che il contenimento è iniziato entro due ore, le credenziali sono state sostituite e la vulnerabilità corretta. Ha scritto ai clienti coinvolti il 6 novembre e ha detto di informare i partner, l’emittente della carta e le autorità per la protezione dei dati, che non ha nominato. I fondi non sono stati toccati e la piattaforma enterprise dei programmi white label non è stata coinvolta, secondo la società. Non ha detto quanti clienti siano coinvolti.

Il post sul blog dell’azienda parla soltanto di «certain customer information». L’avviso inviato ai clienti, citato da Protos, elenca il nome stampato sulla carta, l’indirizzo di spedizione e il riferimento del conto Gnosis Pay, e dice che l’esposizione varia da utente a utente. Lefteris Karapetsas, fondatore di Rotki, ha detto che la sua email elencava anche il suo indirizzo di casa completo, il numero della carta e tutti gli indirizzi di wallet collegati al suo conto, secondo Protos. L’affermazione non è confermata: Gnosis Pay non ha dichiarato pubblicamente che siano stati sottratti numeri di carta o indirizzi di wallet. Fino alla chiusura del vecchio sistema, il 20 dicembre 2026, Gnosis Pay ha reso obbligatorio il 3D Secure per tutti i pagamenti online con la carta e ha rafforzato il monitoraggio di carte e wallet. La notizia di Coindaro sulla violazione dei dati di Gnosis Pay racconta la reazione dei clienti e che cosa possono fare gli utenti coinvolti.

La preoccupazione è concreta. Un elenco che collega un indirizzo di casa a un insieme di wallet in self-custody è più delicato di un indirizzo email trapelato, perché dice a chi lo legge chi possiede che cosa e dove abita. Finora nulla di pubblicato collega la violazione a un attacco contro un cliente. Non era nemmeno il primo incidente sui dati attorno alla carta: nel luglio 2024 una violazione presso il fornitore di KYC Fractal ID ha raggiunto alcuni utenti di Gnosis Pay, avvisati via email il 17 luglio, ha riferito The Block; Fractal ha detto che era coinvolto circa lo 0,5% dei suoi 1 milione di utenti.

Audit: i bridge sono rivisti, la carta soprattutto a cose fatte

La documentazione di Gnosis Chain tiene un elenco di audit dei bridge con i rapporti dei revisori. Include Quantstamp sui contratti TokenBridge dietro l’Omnibridge (6 novembre 2020), due revisioni di ChainSecurity dell’Omnibridge (27 aprile 2021 e versione 6.0 il 7 settembre 2021), Least Authority su Hashi e la sua integrazione (18 luglio 2024) e Omega sulla migrazione a USDS del bridge xDai (un rapporto depositato come ottobre 2025, insieme a una revisione interna di Gnosis Ltd). Omega e ChainSafe hanno anche rivisto l’aggiornamento sDAI del bridge xDai il 31 agosto 2023. Gnosis Chain ha inoltre un programma di bug bounty tramite Immunefi.

Per la carta il quadro è più magro. Non risulta alcun audit esterno pubblicato sull’impostazione dei conti Gnosis Pay prima dell’exploit di giugno 2026, e la revisione successiva, di ChainSecurity, non ha un rapporto pubblico rintracciabile. Il post-mortem promette una valutazione end-to-end indipendente da parte di una società esterna, audit più ampi delle dipendenze esterne e un processo per applicare rapidamente le correzioni a monte; nessuna di queste ha una data. Il contratto di rimborso è stato verificato solo internamente.

Il TVL di Gnosis Chain a confronto con altre catene

DefiLlama contava 86,2 milioni di dollari di valore bloccato su Gnosis Chain il 6 novembre 2026, contro 147,3 milioni un anno prima, un calo di circa il 41%, e circa il 70% sotto il picco di 291,4 milioni del 17 dicembre 2024. Sulla catena le stablecoin comprendono circa 14 milioni di dollari di token in dollari e circa 14,3 milioni di euro (circa 15,9 milioni di dollari) di token in euro come l’EURe di Monerium, secondo i dati di DefiLlama del 6 novembre 2026.

DefiLlama classifica Gnosis Pay tra gli emittenti di carte crypto ma non mostra alcun TVL, e per la catena non è stato possibile ottenere dati su commissioni o ricavi. La carta compete con le carte in stablecoin di società crypto e circuiti di pagamento, tra cui la Cash card di ether.fi, ma nessuna pubblica i volumi delle carte in una forma confrontabile.

Perché il rischio di Gnosis è 4 su 5

Il punteggio di Gnosis è 4 su una scala da 1 a 5, dove 5 è il più rischioso. Lo determinano questi fatti. La carta ha subìto un exploit di contratto e una violazione di dati nell’arco di cinque mesi. La catena sta per cambiare modello di sicurezza, da un grande insieme di validatori a un sequencer gestito da Gnosis Ltd con proving provvisorio, in una data non fissata. I bridge poggiano su un multisig 4 su 7 dopo che la DAO ha smesso di finanziare Hashi, e nel dicembre 2025 i validatori hanno mostrato di poter riscrivere i saldi senza un voto preventivo. E la governance di GNO è decisa da alcune decine, a meno di un centinaio, di votanti, con un rimborso il cui esito non è stato pubblicato. In senso opposto, il team ha rimborsato per intero le perdite di giugno, pubblica post-mortem e testi di governance dettagliati e nel 2025 ha mostrato di saper agire in fretta dopo un exploit, cosa che alcuni utenti leggeranno come una tutela e altri come una debolezza.

Cosa tenere d’occhio

Le prossime scadenze sono vicine. Il vecchio sistema delle carte per i consumatori di Gnosis Pay chiude il 20 dicembre 2026, e le app per i consumatori si spengono entro fine anno. Il genesis EEZ di Gnosis Chain è previsto per dicembre 2026 o gennaio 2027. Il budget da 15 milioni di dollari per Gnosis Ltd arriva fino al 31 agosto 2027. Restano da chiarire: il numero di clienti colpiti dalla violazione di novembre, l’esito del rimborso dei GNO e la valutazione di sicurezza end-to-end indipendente che il team della carta ha promesso nel post-mortem.