Gnosis Payの情報漏えい、HOMEの住所やカード番号・ウォレット流出

旧カードシステムへの侵入、11月3日

仮想通貨デビットカードを発行するGnosis Payで情報漏えいが発生し、利用者の自宅住所、カード番号、アカウントに紐づく全暗号資産ウォレットのアドレスが流出した。同社によると、11月3日(火)に旧来の個人向けカードシステムへの不正アクセスを検知し、約2時間以内に封じ込めを開始したという。影響を受けたセキュリティ認証情報の差し替えと、侵入経路となった脆弱性の修正は完了済みだ。アクセスをどのように獲得したのかは、依然として公表されていない。HOMEの価格はこの24時間で3.3%下落しており、COINOTAGのスポット監視データでは、この下落は開示とは別の市場要因と読むのが妥当だ。

流出したファイルの内容は、異例なほど網羅的だった。ポートフォリオ管理ツールRotkiの創業者であるLefteris Karapetsas氏は、同社から受け取った通知メールをXへの投稿で公開し、そこに氏の氏名、自宅の完全な住所、カード番号、アカウントに紐づくすべてのウォレットアドレスが列挙されていたと明かした。氏は「利用者としては既に離れていたが、せめてデータくらいは守ってほしかった」と綴っている。問題の核心はこの組み合わせだ。実世界の身元とオンチェーン上の保有資産を結びつけられるため、単なる煩わしい漏えいではなく、標的型詐欺の前提条件が整ってしまう。Rotkiは自己管理型のポートフォリオツールであり、その創業者の事例は、既にサービスから離れた人間にまで漏えいが及んでいたことを示す。同社は顧客の資金には影響がないと説明する。また、他企業のカードプログラムを支えるエンタープライズ向けプラットフォームも、こちらは無傷という。カード番号も同じ流出データに含まれており、漏えいの範囲は仮想通貨を超え、日常の決済記録にまで及ぶ。一方、被害者数については未開示のままだ。同社は該当する各利用者に個別の詳細を記載したメールを送ったと述べるにとどまっている。

Gnosis Payは2023年に登場し、仮想通貨ウォレットに紐づくVisaデビットカードでステーブルコインの支払いを可能にした。決済データの集計では、年換算の取扱高は約6,760万ドルに達する。11月3日の侵入は、同社にとって2026年に入って2件目のセキュリティ事故だ。6月にはウォレットソフトの脆弱性を突いた攻撃で約150万ドルが流出したが、同社はこの損失を自ら引き受け、利用者に全額を補填し、脆弱性が原因とする検証報告を公表していた。両事故は性質が異なる。6月は資金を奪われたのに対し、今回はデータを奪われた。奪われたデータは、盗まれた資金のように取り戻すことはできない。

6月事故後の強化、それでも残る懸念

6月の事故以降、同社はオンラインカード決済に3Dセキュア認証を必須とし、不正利用の監視体制も拡充してきた。その上で同社は、盗まれた個人情報と過去の購入履歴を詐欺師が悪用し、偽の連絡を本物らしく見せかける可能性があると警告している。これは抽象的なFUDではない。実在のカード番号や直近の購入実績を引用したメッセージは、ありきたりなフィッシングと比べて格段に信用されやすい。自宅住所まで把握されていれば、説得力はさらに増す。タイミングにも含みがある。Gnosis Payは12月20日(日)に自社ブランドの個人向けカードを停止し、パートナー向けプログラムに経営資源を集中する計画だ。つまり漏えいしたシステムは、すでに廃止が予定されていたが、他企業のカードプログラムを支えるエンタープライズ基盤は変更なく続く。

「身元の地図」は廃止後も残る

今月Gnosis Payが失ったのは金銭ではなく地図だ。氏名、住所、カード番号、紐づくウォレットアドレスが一つの記録に結合している。秘密鍵は流出していないため、資金をコールドウォレットへ移しても効果は薄い。すでに氏名と結びついたアドレスは、クリプトミキサーを使っても切り離せない。Tangemのモバイルウォレットに代表されるハードウェアウォレットが守るのは鍵であって、企業側の顧客ファイルではない。残された危険性は、すでに現実の犯行へ発展した事例が示している。フランスのランド県では、保有資産が知られたことを挙げて、覆面の男らが夫婦を自宅に拘束する事件が起きた。12月20日の停止はカードシステムを引退させる。しかし、そこから漏れた記録は、一緒に消えてはくれない。