اختراق بيانات في Gnosis Pay يكشف عناوين المنازل وأرقام البطاقات والمحافظ منذ 3 نوفمبر

اقتحام نظام البطاقات القديم في 3 نوفمبر

كشف اختراق أمني ضرب مُصدر بطاقات الخصم المدعومة بالعملات الرقمية Gnosis Pay عناوين المنازل لعملائها وأرقام بطاقاتهم، فضلًا عن كل محفظة عملات رقمية مرتبطة بحساباتهم. وقالت الشركة إنها رصدت وصولًا غير مصرح به إلى نظام بطاقات المستهلكين القديم مساء الثلاثاء 3 نوفمبر، وبدأت احتواء الحادثة خلال ساعتين، إذ استبدلت بيانات الاعتماد الأمنية المتأثرة وأغلقت الثغرة التي مكّنت المتسللين من الدخول. غير أن الشركة لم تصف علنيًا كيفية حصول المخترقين على هذا الوصول. وسجل سعر HOME تراجعًا بنسبة 3.3% خلال 24 ساعة وفق المراقبة اللحظية للسوق الفوري لدى COINOTAG، ونقرأ هذه الحركة السوقية بوصفها منفصلة عن الإفصاح.

يبرز الملف المكشوف اكتمالًا غير مألوف. فقد نشر ليفتيريس كارابيتساس، مؤسس أداة تتبع المحافظ Rotki، رسالة الإخطار التي تلقاها من الشركة في منشور عبر X، وأوضح أنها ضمّت اسمه وعنوان منزله الكامل ورقم بطاقته وكل عنوان محفظة مرتبط بحسابه. وكتب في تعقيبه: "لقد خسرتموني كمستخدم من قبل، لكن كان يمكنكم على الأقل حماية بياناتي". وتكمن المشكلة الجوهرية في هذا المزيج ذاته، إذ يتيح للمهاجم ربط هوية حقيقية بالعالم المادي بحيازات على السلسلة، وهو الشرط المسبق لاختيال مستهدف بدلًا من تسريب يُعد مجرد إزعاج. وتُعد Rotki أداة محافظ ذاتية الحفظ، وتُظهر حالة مؤسسها أن التعرض شمل حتى من كان قد ابتعد عن الخدمة أصلًا. وقالت الشركة إن أموال العملاء لم تتأثر، كما أن منصتها المؤسسية المنفصلة، التي تشغّل برامج البطاقات لشركات أخرى، لم يمسّها ضرر كذلك. غير أن أرقام البطاقات وُجدت في المجموعة المكشوفة نفسها، أي أن التسريب يتجاوز العملات الرقمية إلى سجلات الدفع اليومية. أما ما لم تفصح به الشركة فهو عدد المتضررين، إذ قالت فقط إنها راسلت كل مستخدم متأثر عبر البريد الإلكتروني بتفاصيل حالته.

انطلقت Gnosis Pay في عام 2023 لتتيح للمستخدمين إنفاق العملات المستقرة عبر بطاقات خصم من Visa مرتبطة بمحافظهم الرقمية، وتضع بيانات المدفوعات العامة حجم تداولها السنوي قرب 67.6 مليون دولار. ويشكل اقتحام الثالث من نوفمبر الحادثة الأمنية الثانية للشركة في 2026. ففي يونيو، استنزفت عملية استغلال لثغرة في برنامج المحفظة نحو 1.5 مليون دولار، ثم تحمّلت الشركة تلك الخسائر، وجرّت تعويض العملاء بالكامل، ونشرت تقريرًا بعد الحادثة عزا الاستنزاف إلى تلك الثغرة. ويختلف الحدثان في طبيعتهما: يونيو ابتلع أموالًا، وهذا الشهر سرق بيانات، والبيانات المكشوفة لا يمكن استرجاعها بالطريقة التي استُردت بها الأموال المسروقة.

منذ حادثة يونيو، جعلت الشركة فحوصات 3D Secure شرطًا إلزاميًا لمدفوعات البطاقات عبر الإنترنت، ووسّعت نطاق مراقبة الاحتيال لديها. كما حذرت من أن المحتالين قد يستغلون التفاصيل الشخصية المسروقة ومعلومات المشتريات السابقة لمنح الرسائل الاحتيالية مظهرًا شرعيًا. وهذه ليست حالة FUD مجردة، فالرسالة التي تستشهد برقم بطاقة حقيقي أو بعملية شراء حديثة يصعب تجاهلها كثيرًا مقارنة بالتصيد العام، وجود عنوان منزل مسجل لدى المحتال يجعلها أكثر إقناعًا بعد. ويضيف التوقيت طبقة أخرى من التعقيد: فخطط Gnosis Pay تتضمن إيقاف بطاقات المستهلكين ذات علامتها التجارية يوم الأحد 20 ديسمبر للتركيز على برامج الشركاء، أي أن النظام الذي سرب البيانات مجدول أصلًا للتقاعد، بينما تظل المنصة المؤسسية التي تخدم برامج بطاقات الشركات الأخرى دون مساس.

خريطة الهوية تبقى رغم الإغلاق

ما خسرته Gnosis Pay هذا الشهر لم يكن أموالًا بل خريطة: أسماء وعناوين شوارع وأرقام بطاقات وعناوين محافظ مرتبطة، مجتمعة في سجل واحد. لم يُكشف أي مفتاح، لذا فإن نقل الأموال إلى محفظة باردة يحقق مكسبًا محدودًا، ولا يمكن لأي مازج عملات مشفرة فك الارتباط بين عنوان سبق ربطه باسم. أما الخيارات المادية، حتى محفظة Tangem المحمولة، فتحمي المفاتيح لا ملفات العملاء. ويبقى الخطر المتبقي من النوع الذي تحوّل بالفعل إلى واقع مادي في فرنسا، حيث ربط رجال مقنّعون زوجين في اقتحام منزلي للعملات الرقمية في منطقة لاند بعد أن أصبحت حيازاتهم معروفة. وإيقاف 20 ديسمبر يُسقط نظام البطاقات، أما السجلات التي سرّبها فلا تقاعد معه.