Filtración de datos en Gnosis Pay: datos de clientes expuestos antes del cierre de las tarjetas el 20 de diciembre

Gnosis Pay confirmó el 6 de noviembre de 2026 una filtración de datos en sus tarjetas de débito cripto. Los atacantes accedieron al sistema que gestiona las tarjetas de la marca Gnosis Pay y consultaron datos de clientes. Según la empresa, los saldos no se han visto afectados. Quien usa la tarjeta no tiene por qué retirar su dinero a toda prisa, pero durante las próximas semanas debería tratar cada mensaje sobre su tarjeta con mucha desconfianza: los estafadores pueden presentarse ahora con datos reales.

El incidente llega en una fase ya de por sí delicada. Gnosis Pay cierra su negocio con clientes particulares el 20 de diciembre de 2026, y a partir de esa fecha las tarjetas de su propia marca dejarán de funcionar. Los titulares tienen así dos tareas a la vez: protegerse frente al phishing y encontrar a tiempo una nueva tarjeta.

Filtración de datos en Gnosis Pay: acceso el 3 de noviembre, aviso el 6 de noviembre

Según el comunicado de Gnosis Pay, los sistemas de vigilancia de la empresa detectaron el 3 de noviembre de 2026 un acceso no autorizado al sistema que opera las tarjetas de la marca Gnosis Pay. La propia Gnosis Pay denomina esta área su negocio B2C, es decir, el negocio con clientes particulares. Con el acceso quedó expuesta «cierta información de clientes».

El equipo de seguridad reaccionó de inmediato y la contención comenzó en las dos horas siguientes a la detección. Después, según su versión, Gnosis Pay sustituyó las credenciales de seguridad afectadas y cerró la vulnerabilidad. La empresa aún no ha explicado públicamente cómo entraron los atacantes ni quién está detrás.

El caso no se hizo público hasta tres días después de su descubrimiento. El 6 de noviembre, Gnosis Pay envió correos electrónicos a todos los clientes afectados, informó a sus socios y, según sus propios datos, también a las autoridades de protección de datos competentes y al emisor de la tarjeta. El medio especializado estadounidense The Block informó ese mismo día sobre el comunicado.

Conviene delimitar bien el alcance: solo se ha visto afectado el sistema antiguo de las tarjetas de marca propia. La plataforma Enterprise, a través de la cual Gnosis Pay opera programas de tarjetas de otros proveedores como tarjetas de marca blanca, no se vio afectada, según la empresa. Marca blanca significa que un proveedor de wallets o una fintech emite la tarjeta con su propio nombre mientras Gnosis Pay aporta la tecnología en segundo plano.

Tarjeta Gnosis Pay y autocustodia: así funciona su modelo

En una publicación del 3 de septiembre de 2026, Gnosis Pay se presenta como la primera tarjeta Visa con autocustodia. La autocustodia implica que el saldo está en una cuenta en la blockchain de la que solo dispone el cliente; ningún exchange ni ningún banco tiene acceso a ella. En Gnosis Pay se trata de una cuenta de contrato inteligente en la blockchain de Gnosis, desde la que la tarjeta carga el importe al pagar.

La tarjeta la emite Monavate Limited con una licencia de Visa Europe. Monavate está autorizada en el Reino Unido como entidad de dinero electrónico y la supervisa el regulador financiero FCA; la propia Gnosis Pay es una sociedad británica. Así figura en el aviso legal de la web de la empresa.

El modelo explica por qué Gnosis Pay considera que los saldos no están afectados: quien entra en el sistema de clientes del operador de tarjetas no obtiene con ello las claves de las cuentas en la blockchain. Pero también explica por qué la filtración es grave de todos modos. Cada cuenta de tarjeta tiene asociada una dirección de wallet pública, y es precisamente ese vínculo entre persona y dirección lo que resulta valioso para los atacantes.

Qué datos de clientes están afectados y qué deja abierto Gnosis Pay

Gnosis Pay no ha dado a conocer públicamente ni el número de afectados ni la lista de tipos de datos sustraídos. El comunicado solo habla de «cierta información de clientes». No obstante, cada persona afectada habría recibido un correo electrónico en el que se detalla qué información se extrajo de su cuenta. Además, la empresa recomendó a los clientes otros pasos según el tipo de datos.

De ahí se desprende la tarea más importante para los titulares de la tarjeta: lee ese correo con atención, pero no hagas clic en nada de lo que contiene. Comprueba el remitente y compara el contenido con el comunicado del blog oficial de Gnosis Pay. Quien no haya recibido ningún correo no está afectado, según la versión de la empresa. En caso de duda, Gnosis Pay indica como contacto la dirección help@gnosispay.com; escríbela tú mismo en lugar de fiarte de una dirección de respuesta de un mensaje ajeno.

Tampoco se sabe si los datos ya circulan. Gnosis Pay afirma que está organizando una vigilancia especializada para detectar indicios de un uso indebido de los datos. Todavía no hay resultados de esa vigilancia.

Dirección de wallet y domicilio: el verdadero riesgo de la filtración

En una filtración de datos habitual en una tienda online se trata de nombres, direcciones de correo electrónico y quizá pedidos. En un proveedor de tarjetas cripto se añade un nivel más. Una dirección de wallet es pública: cualquiera puede consultar en un explorador de bloques qué importes contiene y qué pagos pasan por ella. Mientras nadie sepa a quién pertenece la dirección, no supone ningún problema. Pero si junto a la dirección figura un nombre, una cadena anónima de caracteres se convierte en un extracto bancario al alcance de cualquiera.

Por eso Gnosis Pay aconseja expresamente a sus clientes que tengan cuidado con quién comparten su dirección o datos sobre sus criptoactivos, tanto en internet como fuera de él. La alusión al mundo offline no es casual. Quien conoce el nombre, el domicilio y el saldo de una persona puede preparar llamadas fraudulentas dirigidas o enviar cartas que parecen auténticas. La misma preocupación surgió ya en filtraciones anteriores, por ejemplo en proveedores de servicios de fabricantes de carteras hardware. Cómo pedir un dispositivo sin revelar tu domicilio lo explica nuestro artículo sobre carteras hardware tras la filtración de datos.

Cambiar de wallet puede tener sentido. Si tras el correo de Gnosis Pay debes suponer que tu nombre y tu dirección de wallet se filtraron juntos, puedes trasladar tu saldo a una dirección nueva que no esté vinculada a tu persona. La dirección antigua sigue siendo visible públicamente, pero los nuevos fondos ya no aparecen en ella.

Phishing tras la filtración de datos: correo, SMS, llamada y carta

El mayor riesgo tras una filtración de datos rara vez es el acceso en sí. Lo peligroso son las semanas posteriores, en las que los estafadores usan los datos robados para resultar creíbles. Gnosis Pay advierte de que hay que desconfiar de cualquier correo electrónico, SMS, llamada o carta inesperados sobre Gnosis Pay, una app asociada o la tarjeta, aunque el mensaje mencione datos reales o una compra auténtica.

Precisamente este matiz es importante. Mucha gente reconoce el phishing porque el remitente sabe algo que no puede saber. Tras una filtración, eso ya no vale: un mensaje falso puede mencionar tu nombre completo, tu dirección e incluso un pago que realmente hiciste. Por tanto, los detalles auténticos ya no demuestran nada.

Gnosis Pay fija límites claros que permiten reconocer una falsificación. Ni la empresa ni sus apps asociadas piden nunca la seed phrase, es decir, las palabras para recuperar la wallet, ni las claves privadas, el PIN o el número completo de la tarjeta. Nadie te pedirá por correo electrónico o SMS que vuelvas a confirmar tu identidad. Y nadie te exigirá por correo, SMS o teléfono que muevas dinero. Según la empresa, los cambios en la cuenta se hacen exclusivamente en la app web oficial de Gnosis Pay o en la app asociada correspondiente.

Las estafas típicas tras un caso así son falsas alertas de seguridad («Tu cuenta ha sido bloqueada»), supuestos reembolsos por el incidente, llamadas de un presunto servicio de soporte y peticiones de trasladar el saldo a una dirección «segura». Todos estos mensajes tienen algo en común: quieren que actúes deprisa. La presión del tiempo es la señal de alarma más fiable.

3D Secure pasa a ser obligatorio: pagos online solo con confirmación

Como contramedida técnica, Gnosis Pay ha hecho obligatorio 3D Secure para todos los pagos online con la tarjeta. 3D Secure es un procedimiento por el que un pago con tarjeta en internet debe confirmarse adicionalmente, por lo general en una app o con un código. Quien solo conoce los datos de la tarjeta ya no puede pagar online con ellos tan fácilmente.

Según la empresa, esta obligación se mantiene hasta que el sistema para particulares se apague por completo el 20 de diciembre de 2026. Al mismo tiempo, Gnosis Pay ha reforzado la vigilancia de la actividad de las tarjetas y de las wallets para detectar fraudes e intentos de hacerse con fondos de clientes. En la práctica significa lo siguiente: confirma solo los pagos que acabas de iniciar tú mismo. Si aparece una solicitud de confirmación sin que estés comprando nada, recházala y revisa tus movimientos.

Phishing con datos reales de clientes: cómo protegerte

Qué ha pasado: el 3 de noviembre de 2026, desconocidos accedieron al sistema de las tarjetas de la marca Gnosis Pay y consultaron datos de clientes. Gnosis Pay afirma haber contenido el acceso en dos horas; según la empresa, los saldos no se han visto afectados, y no se conoce el número de afectados (6 de noviembre de 2026).

¿Estás afectado? Pueden estar afectados los clientes con una tarjeta de la marca Gnosis Pay. Quien usa una tarjeta a través de una app asociada que funciona en la plataforma Enterprise no está afectado, según la empresa. Gnosis Pay informó a todos los afectados por correo electrónico el 6 de noviembre, con el detalle de qué datos se extrajeron.

1. Solo a través de la app oficial: abre siempre la app web de Gnosis Pay o tu app asociada desde un marcador propio, nunca a través de enlaces de correos, SMS o chats.
2. La seed phrase es secreta: no introduzcas nunca las palabras para recuperar tu wallet cuando un mensaje te lo pida, ni siquiera en una página que se parezca a Gnosis Pay.
3. Revisa los movimientos: comprueba cada semana hasta el 20 de diciembre los movimientos de tu tarjeta y rechaza cualquier solicitud de 3D Secure que no hayas iniciado tú.
4. Cambia de dirección: traslada los importes grandes a una nueva dirección de wallet no vinculada a tu nombre y usa una cartera hardware para los fondos a largo plazo.
5. Cuelga las llamadas: cuelga cuando llame un supuesto servicio de soporte y responde a cartas sobre tu cuenta de tarjeta solo después de consultarlo en la app oficial.

Nuestra guía cómo guardar criptomonedas de forma segura explica los fundamentos de la custodia segura, y la comparativa de carteras hardware compara los dispositivos adecuados.

Derechos RGPD tras la filtración de Gnosis Pay: acceso, reclamación, indemnización

Una filtración de datos no es solo un problema de seguridad, sino que también afecta a tus derechos como cliente. Gnosis Pay tiene su sede en el Reino Unido, donde rige el UK GDPR, que en su contenido equivale en gran medida al Reglamento General de Protección de Datos europeo. Ahora hay tres derechos especialmente relevantes.

El derecho de acceso del artículo 15 del RGPD te permite exigir a la empresa una relación de todos los datos que guarda sobre ti. Resulta útil si quieres valorar qué podría estar circulando sobre ti más allá de lo indicado en la notificación. Con el artículo 77 puedes presentar una reclamación ante una autoridad de protección de datos; en Alemania es la autoridad de tu estado federado, que comprueba si es competente o traslada el caso.

El artículo 82 regula la indemnización por daños materiales e inmateriales. Los tribunales alemanes han decidido en varias ocasiones en los últimos años cuándo existe un derecho tras una filtración y a cuánto puede ascender. Nuestro artículo sobre la indemnización tras una filtración de datos en servicios cripto resume la situación jurídica. En cualquier caso, guarda el correo de Gnosis Pay: demuestra que tus datos se han visto afectados y cuáles.

Cierre el 20 de diciembre: Gnosis Pay abandona el negocio con particulares

Con independencia de la filtración, ya estaba decidido que las tarjetas de la marca Gnosis Pay tenían los días contados. En septiembre, la empresa anunció que se centraría en su papel de plataforma para otros proveedores de tarjetas y pondría fin a su negocio directo con clientes, incluida la app web. Las decisiones futuras sobre la oferta de tarjetas las tomarán entonces los socios, es decir, las apps de wallet a través de las que los usuarios obtienen su tarjeta. Ya entonces, Gnosis Pay aconsejó a los usuarios de la app web que se pasaran cuanto antes a una app asociada.

Según el comunicado actual, el sistema ahora afectado iba a apagarse de todos modos el 20 de diciembre de 2026, y así seguirá siendo. Para los titulares significa que hasta entonces la tarjeta seguirá funcionando con controles más estrictos y que después necesitarán una alternativa. Quien tenga la tarjeta vinculada a suscripciones, servicios de streaming o pagos periódicos deberá cambiar cada uno de esos comercios por separado.

Al elegir una nueva tarjeta merece la pena fijarse bien en tres puntos: ¿quién emite la tarjeta y está el proveedor autorizado en la UE? ¿Los criptoactivos los guardas tú o el proveedor? ¿Y qué comisiones se aplican al cambiar cripto por euros? Nuestra comparativa de tarjetas cripto ofrece una visión general de las ofertas y pone en paralelo comisiones, cashback y modelo de custodia.

Tarjeta Gnosis Pay: hay tiempo hasta el 20 de diciembre para el cambio

La filtración agrava un cambio que los titulares de la tarjeta tenían por delante de todos modos. Con estos tres pasos estarás bien preparado antes de la fecha límite:

1. Elige una nueva tarjeta: busca una alternativa antes de principios de diciembre y cambia suscripciones y pagos periódicos. La comparativa de tarjetas cripto muestra los costes y el modelo de custodia de cada proveedor.
2. Crea una nueva wallet para el día a día: abre una wallet nueva para importes pequeños y pagos cuya dirección no esté vinculada a los datos de tu tarjeta. Las apps adecuadas aparecen en la comparativa de wallets de software.
3. Guarda las reservas offline: los fondos grandes deben estar en un dispositivo cuyas claves nunca hayan estado en línea. La comparativa de carteras hardware recoge modelos y precios.

(6 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)