Gnosis Pay تؤكد اختراق 3 نوفمبر وكشف بيانات البطاقات وعناوين المحافظ

رصد الاختراق في 3 نوفمبر

أكدت Gnosis Pay، الجهة المُصدِرة لبطاقات الخصم المرتبطة بالعملات الرقمية ضمن منظومة Gnosis، يوم الجمعة تسرب بيانات بطاقات العملاء وسجلاتهم الشخصية من نظامها القديم المخصص لبطاقات المستهلكين. وذكرت الشركة في إعلان الاختراق أنها اكتشفت وصولًا غير مصرح به داخل المنصة القديمة التي تشغّل بطاقات المستهلكين التي تحمل علامتها التجارية يوم الثلاثاء 3 نوفمبر، وأنها أحاطت بالحادث خلال ساعتين. لم تتأثر أموال العملاء، وفق الإفصاح، وبقيت منصة الشركات المنفصلة التي تخدم برامج البطاقات ذات العلامات البيضاء بعيدة عن الحادث. تعمل Gnosis Pay كخدمة تقنية مالية تقدم بطاقات دفع مربوطة بأصول العملات الرقمية، لذا يقع الحادث في بنية المدفوعات لا في البلوكتشين نفسه.

امتدت السجلات المكشوفة إلى ما هو أبعد من أرقام البطاقات. فالإشعارات المرسلة إلى المستخدمين المتأثرين تذكر أرقام البطاقات كاملة وتواريخ انتهاء الصلاحية ورموز CVV، إلى جانب أسماء العملاء وعناوين منازلهم وعناوين المحافظ المرتبطة بحساباتهم. كما شمل التسرب عناوين البريد الإلكتروني وأرقام الهواتف والجنسيات، وتضمنت بعض السجلات تفاصيل مصرفية مثل رموز IBAN وBIC. وما لم تذكره الشركة حتى الآن هو عدد العملاء المتأثرين ولا الطريقة التي تمكن بها المهاجمون؛ وكلا السؤالين يظل بلا إجابة في نص الإفصاح.

إلغاء البطاقات وإلزام التحقق ثلاثي الأبعاد

يختلف نطاق التأثر من مستخدم إلى آخر. فقد أُبلغ بعض العملاء أن ما انكشف يقتصر على أسمائهم كما هي مطبوعة على البطاقات، وعناوين الشحن، ومرجع حسابهم لدى Gnosis Pay. في المقابل، شارك مؤسس Rotki، Lefteris Karapetsas، إشعار اختراق يفيد بأن معلوماته المكشوفة شملت عنوان منزله الكامل واسمه ورقم بطاقته وكل عنوان محفظة مرتبط بحسابه. وأكد الإشعار نفسه أن بطاقته أُلغيت يوم 3 نوفمبر، دون أي نشاط مشبوه أو حركة أموال مسجلة، وهو ما يشير إلى تسرب بيانات لا سرقة مباشرة في هذه المرحلة.

تقول Gnosis Pay إنها استبدلت بيانات الاعتماد الأمنية المتضررة وأصلحت الثغرة. وفرضت الشركة كإجراء مؤقت طبقة التحقق الإضافية المعروفة بخدمة 3D Secure، المستخدمة في الدفعات الإلكترونية بالبطاقات، على جميع المشتريات عبر الإنترنت حتى تقاعد المنصة القديمة المقرر يوم الأحد 20 ديسمبر. كما حذرت العملاء من محاولات تصيد يحتمل أن يستغلها المهاجمون ببياناتهم الشخصية أو تفاصيل معاملاتهم، وأعلنت أنها ترتب خدمة رصد أي إساءة محتملة للبيانات المسروقة. ولما كانت بيانات البطاقات الكاملة ضمن الحقول المكشوفة، تتعامل الشركة مع خطر الاحتيال بوصفه قائمًا رغم عدم تسجيل أي إساءة حتى الآن.

نحو 2,400 حامل بطاقة نشطين يوميًا

تضع منصة OpenRate الخارجية، التي تتعقب نشاط بطاقات العملات الرقمية، عدد حاملي البطاقات النشطين يوميًا لدى Gnosis Pay عند نحو 2,400 حامل، مع معاملات بلغت 263,200 دولار خلال الـ24 ساعة التي سبقت نشر الإفصاح. تصف هذه الأرقام الاستخدام المعتاد حول الحادث لا تراجعًا مقاسًا في النشاط، ولم تُنشر أي بيانات استخدام بعد الاختراق. ومع ذلك، فهي تعطي فكرة عن حجم القاعدة المستخدمة التي قد يمسها التسرب، خصوصًا أن الشركة لم تؤكد بعدُ إذا كان جميع هؤلاء الحاملين متأثرين أم بعضهم أم عدد محدود منهم. تصدر Gnosis Pay أيضًا بطاقات عملات مستقرة ذات علامات بيضاء لشركاء الشركات، وتعمل هذه الشعبة على بنية تحتية منفصلة تقول الشركة إنها لم تُضم إلى الحادث. وكان النظام القديم المخصص للمستهلكين قد بُررجد لإيقافه في نهاية العام قبل وقوع الاختراق؛ ومن ثم يتقاطع موعد التقاعد في 20 ديسمبر مع نهاية اشتراط 3D Secure المؤقت. ولا يقول الإفصاح شيئًا عن رمز GNO، لذا على متابيع التحليل الفني لرمز GNO إبقاء خيط السوق منفصلًا عن خيط الأمن. ولم تستجب الشركة فورًا لطلبات التعليق، فيبقى عدد العملاء المتأثرين والسبب الجذري بلا تأكيد.

خطر التصيد لا خسارة الأموال

قراءتنا للموقف: الخط الفاصل المهم هو بين البيانات التي تحدد الهوية والبيانات التي تفتح الوصول. عناوين المحافظ تحدد الهوية ولا تنقل الأموال، بخلاف المفتاح الخاص الذي لا يظهر في قائمة الحقول المكشوفة التي نشرتها الشركة. الخطر الواقعي هو التصيد الموجّه، إذ يملك من يحوز عنوان منزل ورقم بطاقة وسياق معاملات موقعًا جيدًا لانتحال جهة الإصدار أو مصرف. وحملة البطاقات الذين يفصلون أرصدة الإنفاق عن مدخراتهم طويلة الأجل، مسكين مدخراتهم في محفظة الأجهزة لا في المحفظة الساخنة، تتأثر خطتهم بشكل أقل. ولا يشرح الإفصاح أي شيء عن كيفية حصول المهاجمين على الوصول، فالسبب لم يُحسم بعد. وفي سياق جانب البروتوكول، خفّضت Gnosis مؤخرًا زمن تأكيدات الجسر إلى نحو 12 ثانية مع FCR، وهو تغيير على مستوى السلسلة لا علاقة له باختراق نظام البطاقات هذا، وتغطي مقارنة منصات التداول والمحافظ لدينا أساسيات الحفظ التي تقف وراء هذا التمييز.