Gnosis Pay piraté : fuite de données sur les cartes, ce qu'il faut faire

On a reçu deux mails de Gnosis Pay cette semaine. Le premier, le 3 novembre, annonçait l'annulation de nos cartes « par précaution ». Le second, le 6 novembre, confirme ce qu'on craignait : des données personnelles de clients ont été consultées par un pirate, numéros de carte complets compris.

On vous résume ce qui s'est passé, ce qui a fuité et surtout ce qu'il faut faire si vous avez une carte Gnosis Pay.

Ce qui s'est passé

Le 3 novembre 2026, les systèmes de surveillance de Gnosis Pay ont détecté un accès non autorisé au système qui fait tourner les cartes Gnosis Pay grand public. Selon Gnosis Pay, l'attaque a été contenue en moins de deux heures, les identifiants compromis ont été remplacés et une faille dans le code de l'application a été corrigée.

L'incident touche uniquement l'ancien système des cartes Gnosis Pay grand public, celui qui doit de toute façon fermer le 20 décembre 2026. Toujours selon Gnosis Pay, la plateforme utilisée par les applications partenaires (les cartes « en marque blanche ») n'a pas été touchée.

Les données qui ont fuité

D'après le mail que nous avons reçu, voici ce que le pirate a pu consulter :

• Identité et contact : nom, adresse mail, numéro de téléphone, adresse postale et nationalité.
• Compte : les adresses des wallets liés au compte, le statut de vérification d'identité et le statut du compte. Pour ceux qui avaient un IBAN via Monerium, l'IBAN et le BIC ont aussi été vus.
• Cartes : le numéro complet, la date d'expiration et le code de sécurité (CVV) des cartes concernées.

Les copies des pièces d'identité et la date de naissance ne font pas partie de la fuite. Gnosis Pay indique aussi qu'aucun fonds n'a été déplacé et qu'aucune transaction suspecte n'a été repérée sur les cartes annulées.

Le vrai danger : votre nom relié à votre wallet

Les cartes sont annulées, donc le numéro volé ne sert plus à rien. Le problème est ailleurs : la fuite relie votre identité, votre adresse postale et votre téléphone à vos adresses de wallet. Comme tout est public sur la blockchain, quelqu'un peut voir le solde et l'historique de votre wallet et savoir que c'est le vôtre.

Ça ouvre la porte à deux choses :

• Des arnaques très crédibles : un mail ou un SMS qui connaît votre vrai nom, votre vraie adresse, voire un vrai achat, et qui vous demande de « revérifier » votre compte ou de déplacer vos fonds.
• Un ciblage physique : savoir qui détient des cryptos et où il habite, c'est une information qui vaut cher pour des personnes mal intentionnées.

Ce que Gnosis Pay a fait

• Annulation de toutes les cartes dont les données complètes ont fuité.
• Arrêt de l'accès non autorisé et remplacement des identifiants compromis.
• Correction de la faille dans le code de l'application.
• Surveillance renforcée des cartes et des wallets.
• Validation 3D Secure obligatoire pour tous les paiements en ligne.

Ce qu'il faut faire maintenant

1. Commandez une nouvelle carte dans l'application officielle Gnosis Pay ou dans votre application partenaire, avec un nouveau code PIN. Mettez à jour vos abonnements et Apple Pay ou Google Pay.
2. Vérifiez vos relevés. Un paiement inconnu sur une carte annulée se signale à help@gnosispay.com. Si vous aviez un IBAN Monerium, regardez aussi les virements et prélèvements.
3. Méfiez vous de tout message « Gnosis Pay », même s'il contient vos vraies informations. Ne cliquez sur aucun lien : passez toujours par l'application officielle.
4. Ne donnez jamais votre phrase de récupération, vos clés privées, votre PIN ou votre numéro de carte. Gnosis Pay rappelle qu'il ne vous demandera jamais de revérifier votre identité par mail ou SMS, ni de déplacer des fonds par mail, SMS ou téléphone.
5. Soyez discret sur vos avoirs en crypto et sur votre adresse, en ligne comme dans la vraie vie.
6. Si vous voulez couper le lien entre votre identité et un wallet exposé, vous pouvez envisager d'utiliser une nouvelle adresse pour vos prochains fonds. C'est un choix personnel, à faire calmement et jamais sur demande d'un message reçu.

Deuxième incident en cinq mois

Ce n'est pas le premier coup dur pour Gnosis Pay cette année. Le 1er juin 2026, une faille dans un module de délai utilisé par les comptes Safe de Gnosis Pay (le module Delay de Zodiac) a permis à un attaquant de vider des portefeuilles. Selon le compte rendu publié par Gnosis Pay début juillet, environ 1,5 million de dollars ont été volés sur 5 281 portefeuilles, et Gnosis a pris en charge la totalité des pertes. La plupart des utilisateurs avaient retrouvé l'accès à leurs fonds en moins d'une semaine.

Cette fois, aucun fonds n'est touché, mais ce sont les données personnelles qui sortent. Deux incidents différents, une même leçon : une carte crypto relie toujours votre identité bancaire à la blockchain, et c'est ce lien qu'il faut protéger.

Rappel : les cartes Gnosis Pay grand public ferment le 20 décembre

Gnosis Pay a annoncé en septembre l'arrêt de sa carte et de son application web grand public au 20 décembre 2026, pour se concentrer sur les cartes qu'il fournit à d'autres applications. Après cette date, l'application web servira uniquement à retirer vos fonds, et il n'y a pas de date limite pour le faire. Gnosis Pay invite ses clients à passer par une de ses applications partenaires.

Notre avis

Gnosis Pay a réagi vite et a communiqué clairement, ce qui n'est pas toujours le cas. Mais une fuite qui associe nom, adresse et wallets est sérieuse, et ses effets peuvent durer longtemps après l'annulation des cartes : les arnaques ciblées arrivent souvent des semaines plus tard. Restez vigilants.

Pour suivre les signaux d'alerte sur les plateformes d'investissement, retrouvez la veille UPMP des plateformes, mise à jour chaque jour. Vous pouvez aussi vérifier une plateforme avant d'y mettre de l'argent avec notre extension Chrome.

Contenu pédagogique, ce n'est pas un conseil en investissement.

Sources

• Mails de Gnosis Pay reçus par l'équipe UPMP les 3 et 6 novembre 2026.
• Gnosis Pay : What is happening to Gnosis Pay
• The Block : Gnosis will cover all user losses (1er juin 2026)
• CoinGape : Gnosis Pay rembourse 100 % des fonds