暗号資産カード事業のGnosis Payが､個人向けカードを動かすシステムへの不正アクセスを公表しました｡
この件を報じた英語ニュースサイトCryptopolitanの記事は､冒頭の要約で「氏名･住所･カード番号･紐づくウォレット」の流出を挙げています｡
ただ､この4項目はGnosis Payの公式告知には書かれていません｡
出どころは､ある利用者1人のX投稿です｡
本稿では公式告知と報道を並べ､見出しの手前で何が足され､何が削られたかを確かめます｡
何が報じられたか
Gnosis Payは英国登記の企業(Gnosis Pay Co Ltd)で､暗号資産のウォレットと連動するVisaデビットカードを提供しています｡
2026年11月6日に公式ブログで告知「Data breach on the legacy system powering Gnosis Pay-branded cards」を公開しました｡
Cryptopolitanは2026年11月7日(UTC)にこの件を記事にしました｡
見出しは「攻撃者がレガシーのカードシステム経由で顧客データにアクセスした」という趣旨です｡
記事の冒頭要約は､検知が11月3日､公表が11月6日だったこと､資金と法人向け基盤には影響がなかったこと､対象システムが12月20日に廃止されることを伝えています｡
そのうえで､流出した項目として氏名･住所･カード番号･紐づくウォレットを挙げ､「少なくとも1人の利用者について」と限定を付けています｡
後半では､2026年6月に起きた別件の資金流出事件､Gnosis Payのカード決済額の減少､暗号資産カード市場全体の拡大にも触れています｡
原典に当たる
公式告知に書かれていることを順に整理します｡
経緯: 2026年11月3日､監視システムが､Gnosis Payブランドのカード(個人向け事業)を動かすシステムへの不正アクセスを検知しました｡
検知から2時間以内に封じ込めを始め､影響を受けた認証情報を差し替え､脆弱性に対処したとしています｡
範囲: 流出は個人向けカードのシステムに限られ､他社向けのカードプログラム(ホワイトラベル)を動かす法人向け基盤には影響がないと説明しています｡
流出した情報は「一部の顧客情報」とだけ書かれています｡
対象人数も項目の一覧も載っていません｡
対応: カードとウォレットの監視を強めたこと､オンラインのカード決済すべてで本人認証の3Dセキュア(カード決済時の追加の本人確認)を必須にしたことが書かれています｡
この措置は個人向けシステムが廃止される12月20日まで続けるとしています｡
さらに､影響を受けた全顧客に､その人の口座から何が取られたかをメールで個別に知らせたこと､提携先への報告､データ保護当局とカード発行会社との連絡､情報の悪用を見張る専門の監視を手配中であることも書かれています｡
利用者への注意: 本物の個人情報や実際の購入履歴を含む連絡でも疑うこと､シードフレーズ･秘密鍵･PIN･カード番号の全桁を教えないこと､住所や保有資産を人に明かす際は注意すること､を挙げています｡
廃止の予定は､9月の告知に書かれています｡
Gnosis Payは2026年9月21日付の正式通知で､カードとウェブアプリ(引き出しを除く)が2026年12月20日23時59分(UTC)に停止すると通知していました｡
同じ通知によれば､カードの発行会社は英国などではMonavate Ltd(英国金融行為規制機構の認可)､EEA(欧州経済領域)ではUAB Monavate(リトアニア中央銀行の認可)で､Gnosis Payはその技術サービス提供者でありカードプログラムの管理者という位置づけです｡
報道との差分
公式告知とCryptopolitanの記事を突き合わせると､次の4点で違いがあります｡
1. 流出項目｡
公式告知は「一部の顧客情報」とだけ書き､項目の一覧を出していません｡
Cryptopolitanの冒頭要約にある氏名･住所･カード番号･ウォレットは､Rotkiの創業者Lefteris Karapetsas氏が自分の口座について述べたX投稿によるものです｡
本文ではCryptopolitan自身が､この1件はほかの利用者に何が起きたかを裏付けるものではない､と断っています｡
また､メールアドレス･電話番号･セキュリティコード･銀行情報が含まれるかどうかをGnosis Payは確認していない､とも書いています｡
つまり本文には限定が付いています｡
一方で､冒頭要約では4項目が先頭に並び､「少なくとも1人」という限定は後ろに回っています｡
2. 3Dセキュアの対象｡
公式告知は「オンラインのカード決済すべて」に必須化したと書いています｡
Cryptopolitanは「全顧客に」必須化したと書いています｡
対象が決済の種類から顧客に置き換わっているため､店頭での対面決済も含むように読めます｡
3. 発行会社の名前｡
Cryptopolitanは「公式の声明」でMonavate LtdとUAB Monavateが地域ごとの発行会社とされている､と書いています｡
しかし11月6日の告知の本文には「当社のカード発行会社」としか書かれておらず､2社の名前が並ぶのは9月21日の閉鎖通知のほうです(告知ページ下部の定型文にはMonavate Limitedの名前だけがあります)｡
4. 決済額の数字｡
Cryptopolitanは､Gnosis Payの10月のカード決済額が2025年の1205万ドルから2026年は約610万ドルに減り､およそ50%の減少だと書いています｡
出典は比較サイトCryptoCards.soの統計ページです｡
そのページを見ると､1205万ドルは2025年10月の数字で､Gnosis Payの決済額のピーク月でもあります｡
元データは調査サービスPaymentscanで､ブロックチェーン上の決済記録を読み取っています｡
集計するのは決済額だけで､入金･送金･引き出しは除外しており､数字は2026年11月5日時点のものです｡
過去の月の数字は後から修正されることがある､とも書かれています｡
比較の起点がピーク月なので､減少率は大きく出ます｡
なお､市場全体の4億6400万ドルから13億7000万ドルへの拡大(2025年10月→2026年10月)には､一部の事業者が自己申告したブロックチェーン外の決済額が含まれます｡
Gnosis Payの数字とは集計の範囲が違います｡
このほかCryptopolitanは､暗号資産の保有者を狙う暴力的な強盗で2026年に3000万ドル超が奪われたとするChainalysisの推計にも触れています｡
原典は2026年8月6日公開で､集計期間は年央までです｡
Cryptopolitanも今回の流出との関係を示す証拠はないと書いています｡
なぜそうなったか
差分の多くは､一次資料に空白があることで説明できます｡
公式告知は対象人数も項目も書いていません｡
項目は利用者ごとのメールで個別に伝える方式で､公開された文書には総数が残りません｡
報道がこの空白を具体的に埋めようとすると､公開された当事者の証言､つまりX投稿が最も具体的な材料になります｡
冒頭要約は具体的な項目を先頭に置く作りになりやすく､1人分の証言が全体の流出範囲のように読める並びになりました｡
3Dセキュアと発行会社の差は､要約の段階で言葉が置き換わったか､9月の通知と11月の告知という2つの資料が1つの「公式声明」にまとめられたことで説明がつきます｡
資料からは､それがどの工程で起きたかは確認できません｡
決済額の数字は､比較サイトの表をそのまま使ったものです｡
数字そのものは原典と一致しています｡
ただし､起点がピーク月であること､集計がブロックチェーン上の決済に限られることは記事に書かれていません｡
そのうえでCryptopolitanは､減少は流出の前から始まっており､数字から事件の影響は判断できないと明記しています｡
因果を言い切らないという点で､資料の範囲を守った書き方です｡
分からなかったこと
影響を受けた人数と､流出した項目の全体像は､公式告知にも報道にも載っておらず確認できませんでした｡
Karapetsas氏のX投稿は､取得できたのが冒頭の一文だけで､挙げられた項目の全文は確かめていません｡
封じ込めに入るまでの侵入期間､脆弱性の種類､データ保護当局への届出先がどこかも､公式告知には書かれていません｡
比較サイトの決済額は第三者による推計で､Gnosis Pay自身の発表ではありません｡
出典
- Gnosis Pay「Data breach on the legacy system powering Gnosis Pay-branded cards」2026年11月6日 https://gnosispay.com/blog/data-breach-legacy-system-gnosis-pay-branded-cards
- Gnosis Pay「Formal notice — closure of the Gnosis Pay web app and card」2026年9月21日 https://help.gnosispay.com/articles/1452055581-formal-notice-closure-of-the-gnosis-pay-web-app-and-card-21-september-2026
- Gnosis「Post-mortem: Gnosis Pay vulnerability exploit」2026年7月3日 https://www.gnosis.io/blog/post-mortem-gnosis-pay-vulnerability-exploit
- CryptoCards.so「Crypto Card Statistics 2026」2026年11月6日更新(Paymentscanのデータ､11月5日時点) https://www.cryptocards.so/en/blog/crypto-card-statistics
- Chainalysis「Estimated $30 Million Stolen in Violent Crypto Attacks in 2026」2026年8月6日 https://www.chainalysis.com/blog/violent-crypto-wrench-attacks-2026
- Lefteris Karapetsas氏のX投稿 https://x.com/LefterisJP/status/2118711419658977773
- Cryptopolitan「Gnosis Pay says attackers accessed customer data through legacy card system」2026年11月7日 https://www.cryptopolitan.com/gnosis-pay-attackers-data-legacy-card/
※本記事は報道・公開情報をもとに作成した速報であり､内容が後に更新・訂正される場合があります｡
最新かつ正確な情報は､一次情報や公式発表をご確認ください｡
コメント