Brecha de datos en Gnosis Pay: qué información se filtró y qué hacer antes del cierre de sus tarjetas el 20 de diciembre

Gnosis Pay, la empresa de tarjetas Visa que se pagan con stablecoins desde una billetera autocustodiada en Gnosis Chain, confirmó el 6 de noviembre una brecha de datos en el sistema de sus tarjetas propias. Según su blog oficial, sus sistemas de monitoreo detectaron el 3 de noviembre un acceso no autorizado que expuso «cierta información de clientes». Dice que los fondos no se vieron afectados y que envió un correo a cada afectado con el detalle de sus datos. No informó cuántos clientes son.

Qué pasó, según Gnosis Pay

• 3 de noviembre: detecta el acceso no autorizado al sistema de las tarjetas con marca Gnosis Pay, su negocio de venta directa al consumidor. La contención empezó menos de dos horas después.
• Después: cambia las credenciales de seguridad afectadas y corrige la vulnerabilidad.
• 6 de noviembre: escribe a cada cliente afectado y lo anuncia en su blog y en X. Informa del caso a sus socios, a su emisor de tarjetas y a las autoridades de protección de datos.

La plataforma empresarial de Gnosis Pay, que usan otras apps para emitir sus propias tarjetas, no fue afectada, según la empresa. «Lamentamos profundamente que esto haya ocurrido. Aunque los fondos no se vieron afectados, la seguridad de la información personal es igual de importante», escribió en X (traducción de Criptoinforme).

Qué datos se filtraron

Gnosis Pay no publicó la lista completa de campos expuestos porque cambia según el cliente. Esto es lo que han contado quienes recibieron el correo:

Protos aclara que el correo que recibió su periodista no incluía número de tarjeta ni billeteras. Gnosis Pay no había respondido a sus preguntas al cierre de su nota.

Por qué importa aunque el dinero esté a salvo

Una filtración así no da acceso a tus fondos: la cuenta es un Safe autocustodiado y las transacciones se firman desde tu billetera. Pero sí sirve para engañarte y para exponerte:

• Estafas con tus datos reales. Un correo o una llamada que conoce tu nombre, tu dirección y una compra real parece mucho más creíble. Gnosis Pay pide desconfiar de cualquier mensaje inesperado sobre tu tarjeta «aunque incluya tus datos reales o una compra real».
• Billeteras ligadas a una identidad. Si se filtraron tus direcciones de billetera junto con tu nombre, cualquiera puede ver tus saldos y movimientos en la cadena. Eso te convierte en un objetivo más atractivo.
• Riesgo físico. Una dirección de domicilio asociada a cripto es información sensible. Los ataques físicos y las extorsiones contra poseedores de cripto se han vuelto más frecuentes, y un domicilio filtrado facilita encontrarte.

Qué hacer si eres cliente

• Lee el correo oficial para saber exactamente qué datos tuyos se expusieron. Entra a la web app o a tu app asociada escribiendo tú la dirección, no desde un enlace.
• Nunca compartas tu frase semilla, claves privadas, PIN ni el número completo de la tarjeta. Gnosis Pay dice que ni ella ni sus apps asociadas los pedirán, ni te pedirán «volver a verificar» tu identidad o mover fondos por correo, mensaje o llamada.
• Revisa los movimientos de la tarjeta y repórtalos de inmediato si no los reconoces. Desde ahora, todas las compras en línea piden la verificación 3D Secure.
• Si se filtraron tus billeteras, considera mover tus ahorros a una dirección nueva que no esté vinculada a tu nombre (decisión personal; tiene costos de red).
• Cuida tu domicilio en redes: no publiques que tienes cripto ni datos que confirmen dónde vives.

El sistema afectado cierra el 20 de diciembre

Gnosis Pay ya había anunciado el 3 de septiembre que dejaría de vender tarjetas directamente y que solo operaría como infraestructura para otras apps. Las medidas extra se mantendrán hasta ese cierre. Si tienes una tarjeta Gnosis Pay, estas fechas te importan:

Fuente de las fechas: aviso formal del 21 de septiembre, según DeFiprime; el cierre del 20 de diciembre también figura en el comunicado sobre la brecha.

Tu Safe sigue siendo una cuenta autocustodiada en Gnosis Chain y podrás retirar después del cierre, según DeFiprime. El IBAN en euros lo provee Monerium, no Gnosis Pay, y sigue funcionando. Pasarte a una app asociada es opcional y exige un contrato nuevo y un Safe nuevo. Gnosis Pay menciona Rebind, MiniPay y PicNic entre esas apps. Antes del cierre conviene:

• Cambiar la tarjeta en cada servicio con cobro recurrente.
• Exportar el historial de transacciones.
• Guardar los últimos cuatro dígitos y la fecha de vencimiento de la tarjeta, por si necesitas un reembolso o una disputa.
• Confirmar que puedes acceder a tu Safe y mover los fondos por tu cuenta.

Quién emite las tarjetas

Las tarjetas las emite Monavate: Monavate Ltd para titulares del Reino Unido y otros países fuera del Espacio Económico Europeo, y UAB Monavate para los del EEE, incluida España, según DeFiprime. Gnosis Pay actúa como proveedor técnico y gestor del programa. Para reclamos sobre el servicio de pago, Monavate debe responder en un máximo de 35 días hábiles. Ese plazo no se aplica a la investigación de la brecha.

Lo que no se sabe

• Cuántos clientes fueron afectados.
• Quién está detrás y cómo entró.
• Qué vulnerabilidad se explotó y cuándo termina la investigación.
• Si hubo uso indebido de los datos: Gnosis Pay dice que contrató un monitoreo especializado para detectarlo.

La brecha se suma a una racha de incidentes de seguridad en el sector. Los repasamos en nuestra cronología de ocho incidentes en nueve días.

Fuentes: Gnosis Pay, «Data breach on the legacy system powering Gnosis Pay-branded cards», blog oficial, 6 nov 2026 (https://gnosispay.com/blog/data-breach-legacy-system-gnosis-pay-branded-cards); Gnosis Pay en X, 6 nov 2026; Gnosis Pay, «Gnosis Pay: The Next Era», 3 sep 2026; Protos, «Gnosis Pay breach exposes customer addresses», 6 nov 2026; DeFiprime, «Gnosis Pay discloses data breach on legacy card system», 6 nov 2026; The Defiant, 6 nov 2026; ChainCatcher, 6 nov 2026.