Gnosis Pay、11月3日の不正アクセスでカード番号とウォレットデータが漏洩

11月3日に不正アクセスを検知

Gnosisエコシステム内でブロックチェーン資産の決済に対応するVisaデビットカードを発行するGnosis Payが、顧客のカード情報と個人情報が旧型の消費者向けカードシステムから漏洩したことを金曜日に確認した。会社の発表によると、Gnosis Payブランドの消費者向けカードを支える旧プラットフォームへの不正アクセスを11月3日に検知し、2時間以内に封じ込めを進めたという。顧客の資金は影響を受けておらず、ホワイトラベルカードプログラムにサービスを提供する法人向けプラットフォームも別基盤として無事だったと開示されている。Gnosis Payは仮想通貨資産に紐づく決済カードを提供するフィンテックサービスであり、今回の事案はブロックチェーンそのものではなく決済インフラの問題として位置づけられる。

漏洩した記録はカード番号にとどまらない。影響を受けた利用者宛ての通知によれば、カード番号の全文、有効期限、CVVコードに加え、顧客名、住所、そしてアカウントに紐づく暗号資産ウォレットのアドレスが含まれていた。メールアドレス、電話番号、国籍も併せて流出し、一部の記録にはIBANやBICコードといった銀行口座情報まで含まれていた。一方、被害を受けた顧客の人数や不正アクセスの侵入経路については会社が言及しておらず、この2点は開示内容の上でも依然として未解明のままだ。

カードは無効化、3Dセキュアを義務化

影響の範囲は利用者ごとに異なる。氏名がカード面の表記のみ、配送先住所とGnosis Payのアカウント参照番号だけが漏れたと通知された顧客もいれば、より広い範囲が流出したケースもある。Rotkiの創設者であるLefteris Karapetsas氏は漏洩通知を公開し、自宅の完全な住所、氏名、カード番号、アカウントに紐づくすべてのウォレットアドレスが流出対象に含まれていたと明かした。同じ通知は、カードが11月3日付で無効化されたこと、不審な取引や資金移動は記録されていないことも確認しており、この段階では直接の盗難ではなく情報漏洩として扱われていることを示す。

Gnosis Payは侵害された認証情報を交換し、脆弱性の修正を完了したと説明する。暫定的な対策として、ネット上のカード決済に用いられる追加認証層である3Dセキュアによる本人確認が、旧プラットフォームの予定された終了日である12月20日まで、すべてのオンライン購入で義務化された。同社はまた、流出した個人情報や取引情報を悪用するフィッシングへの注意を顧客に呼びかけており、盗まれたデータの悪用に備えた監視体制も整備中としている。カード情報の全文が漏洩対象に含まれる以上、現時点で悪用は確認されていないものの、会社自身が不正利用のリスクを継続的なものとみなしている。

日次アクティブカード保有者は2,400人

仮想通貨カードの利用状況を追跡するサードパーティ基盤OpenRateの集計では、Gnosis Payの日次アクティブカード保有者は約2,400人、開示が公になる直前24時間の処理取引額は26万3,200ドルに達する。この数字は利用減少を測定したものではなく、インシデント前後の基礎的な利用水準を示すものであり、漏洩後の利用データは公表されていない。とはいえ、漏洩が及びうる利用者層の規模はおおよそ掴める。ただし影響を受けたのが全保有者なのか、一部なのか、ごく一部なのかは会社が確認していない。

Gnosis Payは法人パートナー向けにホワイトラベルのステーブルコインカードも発行しており、この事業は別のインフラ上で動いており関与していないと会社は説明する。旧消費者向けシステムは年末に停止する予定で、この決定自体は漏洩より前のものだ。12月20日の終了日は、暫定的な3Dセキュア義務化の期限としての役割も重なって担うことになった。開示自体はGNOトークンに触れておらず、GNOのテクニカル分析を追う読者は市場の話題とセキュリティの話題を切り分けて見る必要がある。コメント要請に対して会社は直ちに応答しておらず、被害顧客数も根本原因も確認されていない。

資金流出ではなくフィッシングのリスク

COINOTAGの見方では、重要なのは「本人を特定できる情報」と「資金を動かせる情報」の境界線だ。ウォレットアドレスは特定には使えるが資金は動かせない。会社が公表した漏洩項目の一覧には、資金を動かせる秘密鍵は含まれていない。現実的な危険は標的型のフィッシングだ。自宅住所、カード番号、取引の文脈を握れば、発行元や銀行になりすます材料は十分に揃う。

日常の支払い用残高と長期の備えを分け、貯蓄をホットウォレットではなくコールドウォレットに置いている保有者は、露出が小さい。開示内容はアクセスをどう得たかについても何も説明しておらず、原因はまだ確定していない。プロトコル側の文脈として、Gnosisは最近FCRによりブリッジの承認時間を約12秒まで短縮したが、これはチェーンレベルの変更であり、今回のカードシステムの漏洩とは無関係だ。カストディの基本を整理するには、取引所とウォレットを比べたガイドも参照できる。