Gnosis Pay dice que atacantes accedieron a datos de clientes

Gnosis Pay, la compañía detrás de las tarjetas de pago que se enganchan a un monedero de autocustodia del ecosistema Gnosis, comunicó el 6 de noviembre que unos atacantes accedieron a información de sus clientes. El acceso se produjo, dice la empresa, en un sistema heredado que sostenía las tarjetas de su propia marca, y no en la plataforma con la que otras compañías emiten tarjetas con su nombre, que según la misma nota quedó intacta. Gnosis Pay sostiene además que los fondos de los usuarios no se vieron afectados: en este tipo de tarjeta el saldo vive en un monedero de contrato inteligente que controla el cliente, no en una cuenta de la empresa. Lo que salió, por tanto, no es dinero; son datos de personas que pasaron un proceso de identificación para pedir una tarjeta y que, por definición, tienen criptomonedas. La historia la publicó Decrypt ese mismo día.

Qué dice Gnosis Pay del sistema heredado

Un sistema heredado es infraestructura vieja que sigue encendida después de una migración, casi siempre porque guarda los registros de los primeros clientes. Ese es el perímetro que la empresa sitúa en el centro del incidente. La distinción que hace tiene consecuencias prácticas: por un lado están las tarjetas de consumo, las que un particular pide a su nombre; por otro, el producto con el que terceros montan tarjetas de marca propia sobre su infraestructura. Ese segundo bloque, dice, no fue tocado.

De lo publicado no se desprende qué campos quedaron expuestos, cuántas personas están afectadas ni cuánto tiempo estuvieron dentro los atacantes. El detalle pesa: un correo electrónico suelto se vende barato, y un correo con nombre, teléfono, domicilio y el documento de identidad que se sube al abrir la cuenta, no.

Una fuga de datos sin fondos robados también se cobra víctimas

En cripto, el expediente del cliente vale casi tanto como la clave privada, porque es la materia prima del ataque siguiente. Quien compra una lista así no necesita firmar transacciones: necesita que la víctima las firme. Con el nombre real y la tarjeta de la que es titular, el correo que avisa de un cargo sospechoso deja de parecer un timo genérico. Con el número de teléfono, el camino es el duplicado de SIM, que entrega los códigos de verificación. Con el domicilio, aparecen las cartas y las amenazas físicas.

Ese guion no es hipotético. En 2020, una base de datos de comercio electrónico de Ledger quedó expuesta con los datos de compradores de monederos físicos, y las campañas de suplantación que vinieron después se prolongaron durante años, incluidos correos que imitaban avisos de seguridad del fabricante y envíos postales a domicilios reales. Nadie perdió las claves por la filtración; las perdió al creerse lo que llegó después. Las señales que delatan esos mensajes están en nuestra guía de estafas con criptomonedas, y la primera regla sigue siendo la más aburrida: ningún proveedor serio pide las doce o veinticuatro palabras de recuperación, ni por correo, ni por teléfono, ni en un formulario.

La otra lectura es de arquitectura. Que el saldo de estas tarjetas esté en un monedero del propio usuario es lo que explica que el incidente no se haya convertido en un robo de fondos: la empresa comprometida no custodiaba el dinero. Esa separación entre quién guarda las claves y quién gestiona el servicio es la que conviene entender antes de elegir dónde vive el saldo, y es el eje de nuestra comparación de billeteras frías y calientes.

El RGPD, las 72 horas y la vía de la AEPD

Un cliente español de una tarjeta de este tipo no está desamparado por el hecho de que la empresa no tenga sede en España. El Reglamento General de Protección de Datos se aplica a cualquier responsable que trate datos de residentes en la Unión Europea, y su artículo 33 le obliga a notificar una brecha a la autoridad de control sin dilación indebida y, a ser posible, en el plazo de 72 horas desde que la conoce. El artículo 34 añade el aviso a los afectados cuando el riesgo para sus derechos es alto, con una descripción de lo ocurrido y de las medidas recomendadas.

La reclamación, si ese aviso no llega o llega incompleto, se presenta en España ante la Agencia Española de Protección de Datos, que traslada el expediente a la autoridad del país donde esté establecido el responsable cuando le toca instruirlo a ella. Para los mensajes que empiecen a llegar en nombre de la tarjeta, la línea gratuita 017 del Instituto Nacional de Ciberseguridad atiende consultas de particulares y recoge los intentos de fraude. Mientras, cambiar la contraseña del correo asociado y activar un segundo factor que no sea el SMS protege más que cancelar la tarjeta.

El aviso de Gnosis Pay es del 6 de noviembre. El plazo de 72 horas del artículo 33 corre desde el momento en que la empresa tuvo constancia de la brecha, no desde que lo contó públicamente.

Fuentes

• Crypto Card Provider Gnosis Pay Says Hackers Accessed Customer Data — Decrypt, 06/11/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.