Aggiornamento del 7 novembre 2026, 17:43 UTC: Cointelegraph, che dice di aver esaminato alcune comunicazioni di violazione, riferisce che tra i dati esposti negli account coinvolti c’erano i numeri di carta completi, le date di scadenza e i codici CVV, oltre a indirizzi email, numeri di telefono, nazionalità e, in alcuni casi, IBAN e BIC. Gnosis Pay non ha confermato nulla e non ha risposto subito alla richiesta di commento di Cointelegraph; blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il suo post sul blog, riletto il 7 novembre, non elenca ancora alcun tipo di dato. CoinDesk ha scritto il 7 novembre che l’azienda ha corretto la falla, senza aggiungere nulla sui dati di carta oltre all’email di Lefteris Karapetsas.
Gnosis Pay, la società dietro una carta di debito Visa che spende da un wallet Safe in self-custody, ha comunicato venerdì 6 novembre 2026 una violazione dei dati: tre giorni prima, il 3 novembre, un intruso ha raggiunto il sistema che sta dietro alle sue carte a marchio Gnosis Pay, esponendo «alcune informazioni dei clienti». In una dichiarazione sul suo blog l’azienda afferma che i fondi dei clienti non sono stati toccati e che la sua piattaforma enterprise, su cui girano i programmi di carte white-label dei partner, non è stata coinvolta. Non indica quanti clienti siano colpiti e la dichiarazione pubblica non dice quali dati siano stati sottratti.
Una parte di quel vuoto la riempiono le email inviate ai clienti. Le comunicazioni citate da Protos dicono che l’esposizione varia da utente a utente e riguarda il nome stampato sulla carta, l’indirizzo di spedizione e il riferimento dell’account. Lefteris Karapetsas, fondatore del portfolio tracker Rotki, ha scritto su X che la sua email elencava di più: indirizzo di casa completo, nome, numero di carta e tutti gli indirizzi wallet collegati al suo account. Cointelegraph, che dice di aver esaminato diverse comunicazioni, riporta un elenco più lungo per gli account coinvolti, con numeri di carta completi, date di scadenza e codici CVV; l’azienda non ha confermato nulla di tutto questo. Le chiavi restano all’utente nella self-custody; un indirizzo di consegna no.
Violazione dati Gnosis Pay: cosa dice l’azienda sul 3 novembre
Stando al post sul blog, il monitoraggio di Gnosis Pay ha rilevato un accesso non autorizzato al sistema che alimenta le sue carte a marchio proprio, la linea di business che chiama B2C. Il contenimento è partito entro due ore dal rilevamento. L’azienda ha poi sostituito le credenziali di sicurezza interessate e dice di aver «risolto la vulnerabilità». Non ha descritto la falla né detto da quanto tempo l’intruso fosse dentro.
Il sistema violato doveva già essere dismesso il 20 dicembre 2026. Fino a quella data, Gnosis Pay afferma di aver rafforzato il monitoraggio dell’attività delle carte e dei wallet «per individuare frodi o tentativi di accedere ai fondi degli utenti», e di aver reso obbligatorio il 3D Secure, il passaggio di conferma aggiuntivo alla cassa, per ogni pagamento online con la carta.
Il 6 novembre la società ha scritto a ogni cliente interessato «indicando con esattezza quali informazioni sono state sottratte dal suo account», ha avvisato i partner e dice di essere in contatto con «le autorità per la protezione dei dati competenti» e con l’emittente della carta. Una revisione completa è in corso e Gnosis Pay sta organizzando un monitoraggio specialistico per cogliere segnali di un uso improprio dei dati rubati. «Anche se i fondi non sono stati toccati, riconosciamo che la sicurezza delle informazioni personali è altrettanto importante», si legge nel post.
Anche l’account ufficiale @gnosispay ha pubblicato su X. Secondo Decrypt, che ha incorporato il post, la violazione ha riguardato «il sistema che alimenta le carte a marchio Gnosis Pay (la nostra linea di business B2C)» e «a tutte le persone coinvolte è stata inviata oggi un’email con le informazioni complete». Decrypt lo cita anche mentre dice che l’azienda si assume «piena responsabilità».
Quali dati sono esposti: quattro fonti, quattro elenchi diversi
Il post sul blog non nomina alcuna categoria di dati. Dice solo che sono state raccomandate azioni aggiuntive in base alle «specifiche informazioni a cui si è avuto accesso». Il resto viene dalle email, che cambiano da persona a persona.
Protos, che ha esaminato le comunicazioni condivise dagli utenti, le cita come relative a «il tuo nome come stampato sulla carta, il tuo indirizzo di spedizione e il riferimento del tuo account Gnosis Pay», con una portata che varia da utente a utente. Protos ha chiesto un commento a Gnosis Pay e al momento della pubblicazione non aveva ricevuto risposta.
Karapetsas si è spinto oltre in un post su X. Come riportato da Protos, e nel titolo di The Defiant, ha detto che l’email gli indicava tra i dati esposti il suo indirizzo di casa completo, il nome, il numero di carta e tutti gli indirizzi wallet collegati all’account. CoinDesk, che si basa anch’esso sull’email da lui condivisa, gli attribuisce questa frase: «Mi avevate già perso come utente, ma avreste almeno potuto proteggere i miei dati». CoinDesk non dice se il numero di carta fosse completo e non parla di date di scadenza né di codici CVV.
L’affermazione più pesante arriva da Cointelegraph. Citando comunicazioni di violazione che dice di aver esaminato, senza pubblicarle, la testata riferisce che le informazioni esposte comprendevano numeri completi delle carte di pagamento, date di scadenza e codici CVV, insieme a nomi, indirizzi di casa e indirizzi wallet collegati agli account coinvolti. Aggiunge indirizzi email, numeri di telefono e nazionalità e, in alcuni casi, coordinate bancarie come IBAN e BIC. Non dice quante comunicazioni abbia visto né se tutti i clienti coinvolti abbiano perso gli stessi dati.
Se questa lettura è corretta, la fuga va ben oltre quanto citato da Protos. Gnosis Pay non l’ha confermata: non ha risposto subito alla richiesta di commento di Cointelegraph e il suo post sul blog continua a non nominare alcuna categoria di dati. Una comunicazione citata da Cointelegraph dice che la carta di quel cliente è stata annullata il 3 novembre, senza transazioni sospette né movimenti di fondi rilevati. È il caso di un solo account, non una dichiarazione dell’azienda su tutte le carte.
Cointelegraph cita anche dati di OpenRate: circa 2.400 titolari attivi al giorno e 263.200 dollari di transazioni con la carta nelle 24 ore precedenti. È la dimensione della base utenti, non il numero di persone colpite dalla violazione, che nessuno ha pubblicato.
| Dato | Blog di Gnosis Pay (6 nov) | Testo della comunicazione citato da Protos | Email di Karapetsas, come l’ha descritta su X (secondo Protos) | Comunicazioni esaminate da Cointelegraph (non confermate da Gnosis Pay) |
|---|---|---|---|---|
| Nome | Non indicato | Nome come stampato sulla carta | Sì | Sì |
| Indirizzo | Non indicato | Indirizzo di spedizione | Indirizzo di casa completo | Indirizzo di casa |
| Riferimento dell’account Gnosis Pay | Non indicato | Sì | Non menzionato | Non menzionato |
| Numero di carta | Non indicato | Non menzionato | Sì (intero o mascherato, non precisato) | Numero completo |
| Data di scadenza e codice CVV | Non indicati | Non menzionati | Non menzionati | Sì |
| Indirizzi wallet collegati | Non indicati | Non menzionati | Tutti | Sì |
| Email, telefono, nazionalità | Non indicati | Non menzionati | Non menzionati | Sì |
| IBAN e BIC | Non indicati | Non menzionati | Non menzionati | In alcuni casi |
Ogni colonna è un resoconto a sé delle email e nessuna è l’elenco di ciò che ha perso ogni cliente. Restano ignoti: quante persone siano coinvolte, come l’intruso sia entrato, chi fosse e se qualche dato sia stato usato.
Perché un indirizzo di casa trapelato pesa più di un numero di carta
Un numero di carta si può annullare e riemettere. Un indirizzo di casa no. Se la lettura di Cointelegraph è giusta, anche il rischio sulla carta è concreto: un numero con data di scadenza e codice CVV è quello che chiede un negozio online. Il 3D Secure obbligatorio fino al 20 dicembre aggiunge un passaggio che il titolare deve approvare, e questo limita il rischio senza eliminarlo. Gnosis Pay non ha detto se le carte esposte vengano annullate. Le monete in un Safe hanno comunque bisogno delle chiavi del proprietario per muoversi. Ma gli indirizzi wallet sono pubblici on chain: chi possiede un elenco che lega un nome e una via a quegli indirizzi può leggere i saldi che stanno dietro. È il punto di partenza di un wrench attack, in cui i criminali usano minacce o violenza per costringere il titolare a firmare lui stesso il trasferimento.
La Francia è il paese dove questi attacchi si sono concentrati. Vanessa Perrée, procuratrice nazionale per la criminalità organizzata (PNACO), ha dichiarato in aprile che almeno 88 persone, 10 delle quali minorenni, erano state incriminate in relazione a wrench attack, 75 delle quali in custodia cautelare in 12 procedimenti, ha riportato Cointelegraph il 27 aprile 2026. Il suo ufficio ha registrato 18 episodi nel 2024, 67 nel 2025 e 47 nel 2026 a quella data. Ha invitato i titolari a evitare una «sovraesposizione sui social network che potrebbe farne dei bersagli».
Chainalysis, in dati riportati da The Block il 6 agosto 2026, ha contato oltre 30 milioni di dollari in crypto sottratti da criminali violenti nel primo semestre 2026, contro il record annuale di 58 milioni nel 2025, e 30 casi francesi di dominio pubblico fino a metà anno, contro i 19 di tutto il 2025. Il ministro dell’Interno Laurent Nuñez aveva detto a fine giugno che le autorità avevano documentato più di 70 episodi violenti legati alle crypto. Chainalysis indica una compromissione di dati come la causa più probabile dell’ondata recente, citando tra gli altri la violazione dello strumento fiscale Waltio, che ha riguardato circa 50.000 utenti.
Nulla di quanto pubblicato finora collega la violazione di Gnosis Pay a un attacco o a un tentativo. Il consiglio che Gnosis Pay stessa dà ai clienti indica però il rischio fisico: fare attenzione a chi si comunicano il proprio indirizzo o i dettagli dei propri investimenti, «online e offline».
Non è il primo incidente attorno a Gnosis Pay
I dati personali dei clienti di Gnosis Pay erano già trapelati una volta, attraverso un fornitore. Nel luglio 2024 un aggressore è entrato in un singolo account operatore di Fractal ID, il fornitore di verifica dell’identità che Gnosis Pay usava per il KYC, e ha estratto dati utente che potevano includere nomi, dettagli di residenza, scansioni di selfie e copie di passaporti, ha riportato The Block il 17 luglio 2024. Sono stati coinvolti circa lo 0,5% del milione di utenti di Fractal, e Gnosis Pay ha avvisato i propri clienti via email.
Il secondo episodio riguardava il denaro. Il 1° giugno 2026 il cofondatore e amministratore delegato di Gnosis, Martin Köppelmann, ha confermato «un hack legato a Gnosis Pay e al “delay module”», un livello di permessi Zodiac che permette di mettere in coda le transazioni di un Safe, e ha scritto: «State tranquilli, Gnosis coprirà tutte le perdite degli utenti». The Block ha scritto che l’entità della perdita non era confermata in quel momento.
Si inserisce in una serie di fughe di dati di contatto dei clienti nel settore crypto in questo autunno, dall’intruso nel negozio online di Keystone, produttore di hardware wallet ai dati dei clienti esposti attraverso Amplitude, il fornitore di analytics di Coinbase.
La regola GDPR delle 72 ore e le autorità che Gnosis Pay non ha nominato
Ai sensi dell’articolo 33 del Regolamento generale sulla protezione dei dati dell’UE, il titolare del trattamento deve notificare una violazione dei dati personali all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. L’articolo 34 aggiunge che le persone vanno informate senza ingiustificato ritardo quando il rischio per loro è elevato. La versione britannica del GDPR mantiene la stessa scadenza di 72 ore.
Il piè di pagina del sito indica come gestore Gnosis Pay Co Ltd, società registrata nel Regno Unito, e dice che la carta di debito è emessa da Monavate Limited, un istituto di moneta elettronica autorizzato dalla Financial Conduct Authority. L’azienda non ha detto con quali autorità sia in contatto né quando le abbia contattate per la prima volta. I clienti hanno saputo della violazione il 6 novembre, tre giorni dopo il rilevamento. Se le autorità siano state avvisate entro 72 ore non è pubblico e non c’è alcun fondamento per dire che la regola sia stata violata.
In base all’articolo 77, i clienti nell’UE possono presentare reclamo all’autorità del paese in cui vivono, come la CNIL in Francia o il Garante per la protezione dei dati personali in Italia; nel Regno Unito, l’Information Commissioner’s Office.
Cosa possono fare ora i titolari della carta Gnosis Pay
Si parte dall’email del 6 novembre, che dice quali tuoi dati sono stati sottratti.
- Considera sospetta qualsiasi email, SMS, telefonata o lettera inattesa su Gnosis Pay, su un’app partner o sulla tua carta, anche se cita il tuo vero nome, il tuo indirizzo o un acquisto reale. Apri tu stesso la web app ufficiale o l’app partner invece di cliccare su un link.
- Non comunicare mai la seed phrase, le chiavi private, il PIN o il numero completo della carta. Gnosis Pay dice che non li chiederà mai, non ti chiederà mai di «riverificare» la tua identità via email o SMS e non ti chiederà mai di spostare fondi via email, SMS o telefono. La nostra guida a come conservare la frase di recupero spiega le basi.
- Approva una richiesta 3D Secure solo per un pagamento online che hai avviato tu, e controlla nello storico della carta se ci sono acquisti che non riconosci.
- Se la tua email riporta il numero di carta, la data di scadenza o il codice CVV, controlla ogni riga degli estratti conto e chiedi a Gnosis Pay, all’indirizzo [email protected], se la carta è stata annullata e se ne verrà emessa una nuova. La comunicazione di un cliente, citata da Cointelegraph, indicava una carta annullata il 3 novembre.
- Se la tua email elenca indirizzi wallet, parti dal presupposto che quegli indirizzi siano ora legati al tuo nome e alla tua casa. I fondi che aggiungerai più avanti possono stare su un indirizzo nuovo, mai collegato alla carta.
- Tieni i tuoi investimenti lontano da sguardi pubblici, sui social e nelle conversazioni, come consigliato dalla procuratrice francese.
Dopo fughe di questo tipo arriva spesso il phishing che cita una violazione reale; la nostra guida alle truffe crypto elenca i segnali d’allarme e dove denunciare una truffa. Gnosis Pay risponde alle domande all’indirizzo [email protected].
La prossima data fissa è il 20 dicembre 2026, quando il sistema B2C violato dovrebbe essere spento e i controlli aggiuntivi finire con lui. Gnosis Pay deve ancora dire quante persone siano state colpite e quale fosse l’insieme completo dei campi rubati.