O vazamento da Gnosis Pay tem nome, endereço e carteira, mas não tem número

Na conta de Lefteris Karapetsas, o vazamento da Gnosis Pay alcançou o endereço onde ele mora, o número do cartão e cada uma das carteiras vinculadas ao cadastro. O fundador da rotki relatou o caso no X nesta sexta-feira, com a imagem do aviso que a empresa enviou. "Você já tinha me perdido como usuário, mas poderia ao menos ter protegido os meus dados", escreveu ele na mesma publicação.

O aviso lista nome, e-mail, telefone, endereço residencial, nacionalidade, os endereços de carteira vinculados ao cadastro e a situação da verificação de identidade. Para o cartão, aparecem o número completo, a data de validade e o código de segurança. Ficaram de fora as cópias de documentos de identidade e as datas de nascimento, conforme o mesmo texto.

Quem tinha conta em euro recebeu uma lista maior. O aviso inclui IBAN e BIC, os dois dados usados para receber transferências bancárias na conta ligada à carteira.

A empresa confirmou o acesso indevido em comunicado publicado nesta sexta-feira. O sistema atingido é o que sustenta os cartões vendidos sob a marca Gnosis Pay, a operação de varejo, e a plataforma que atende programas de cartão de outras empresas ficou fora. Entre a detecção, em 3 de novembro, e o início do bloqueio passaram menos de duas horas, diz o comunicado. As credenciais afetadas foram substituídas e a falha que abriu o caminho para a invasão foi corrigida.

Entre as medidas anunciadas estão a verificação 3D Secure obrigatória para toda compra online, o reforço no monitoramento de cartões e carteiras e o envio de um e-mail a cada cliente afetado com a lista do que saiu da conta dele. A empresa também informou o caso às autoridades de proteção de dados e à emissora do cartão. O plástico é emitido pela Monavate, companhia autorizada e supervisionada pelo regulador financeiro britânico e licenciada pela Visa Europe.

O que o comunicado não traz

A contagem de clientes atingidos não foi divulgada, e essa é a diferença mais visível em relação ao incidente anterior da mesma empresa.

Em 1 de junho, uma falha nos módulos Delay e Roles, do conjunto Zodiac, permitiu que um invasor enfileirasse saques de carteiras que não eram dele. O relatório divulgado em julho trouxe o valor extraído, cerca de US$ 1,5 milhão, os quase US$ 300 mil que ficaram inacessíveis e a lista de ativos levados. Trouxe também o tamanho do universo exposto, 5.281 carteiras com saldo igual ou superior a US$ 1. Naquele episódio a empresa absorveu o prejuízo, devolveu o dinheiro aos usuários e trocou os módulos das carteiras de todos os clientes.

O comunicado desta sexta-feira segue o caminho oposto. Diz que cada cliente recebeu por e-mail a informação específica da própria conta. Não há total de clientes, categoria agregada de dados nem prazo para concluir a revisão que a empresa promete fazer.

O cartão para em dezembro e o IBAN segue

O cartão Gnosis Pay e o aplicativo web param em 20 de dezembro, data definida antes do vazamento. Até lá, o cliente consegue baixar o histórico de transações pelo próprio app, botão que deixa de existir depois. Quem precisar do registro mais tarde entra com um pedido formal de acesso aos dados, que leva mais tempo.

A conta em euro escapa desse corte. O IBAN é fornecido pela Monerium, instituição de moeda eletrônica com licença própria, e segue a carteira, sem depender do plástico. Transferências continuam chegando mesmo com o plástico cancelado, o que mantém em uso um dado que apareceu na lista de expostos.

O aviso diz que o cartão de Karapetsas foi cancelado em 3 de novembro, no mesmo dia da detecção, e que a revisão não encontrou movimentação suspeita nem saída de fundos da conta dele.

Cinco anos de registro depois do fechamento

Encerrar a conta não apaga o cadastro. A política publicada pela empresa mantém registros de verificação de identidade e de transações por cinco anos contados do fechamento, e conversas com o suporte por seis. O prazo vale inclusive quando o cliente pede a exclusão de tudo, porque a retenção atende exigência legal.

Na prática, dados de cadastro e de cartão de quem fechar a conta em dezembro seguem com a empresa até 2031. A orientação sobre retenção não mudou depois do vazamento.

O endereço que aponta para o histórico

Juntar nome, endereço residencial e endereços de carteira produz um tipo de exposição que o cartão cancelado não resolve. As transações feitas na Gnosis Chain ficam visíveis para sempre por quem consultar o endereço da carteira em um explorador de blocos. Nomes de comerciantes e detalhes do cartão ficam de fora dessa consulta. O vazamento entrega justamente o elo entre a pessoa e o movimento de dinheiro.

A empresa de segurança CertiK, ao analisar um vazamento anterior de clientes da Ledger, descreveu dois usos possíveis para esse conjunto de dados. Um é o phishing dirigido, que ganha credibilidade quando a mensagem traz dados reais. O outro é a coerção física, feita por quem sabe onde mora alguém que guarda criptoativos e tenta obter à força a frase de recuperação. A análise descreve riscos. Nenhum ataque desse tipo contra clientes da Gnosis Pay foi registrado neste episódio.

A reportagem da casa sobre o rastro de US$ 86 milhões ligado a usuários da Ledger descreveu cadeia parecida. Naquele caso, 98 endereços apareceram sob um único marcador e uma base de 1,8 milhão de cadastros de clientes era oferecida em um fórum de vazamentos, lista usada depois em campanhas de phishing contra quem guarda ativos digitais.

Para continuar gastando depois de dezembro, o cliente precisa migrar para um aplicativo parceiro. O guia da Gnosis Pay indica o Rebind para cartões em euro e o Picnic ou o MiniPay para cartões em dólar, cada um com cadastro, termos e cartão próprios. Nada disso apaga o cadastro antigo.