Datalek bij Gnosis Pay: klantgegevens van kaarthouders gelekt, kaart stopt op 20 december

Gnosis Pay heeft op 6 november 2026 een datalek bij zijn crypto-debetkaarten bevestigd. Aanvallers kregen toegang tot het systeem achter de kaarten van het merk Gnosis Pay en hebben daarbij klantgegevens ingezien. Saldi zijn volgens het bedrijf niet getroffen. Wie de kaart gebruikt, hoeft dus niet halsoverkop geld op te nemen, maar doet er goed aan elk bericht over de kaart de komende weken met groot wantrouwen te behandelen: oplichters kunnen nu met echte gegevens aankloppen.

Het incident valt in een toch al gevoelige fase. Gnosis Pay stopt op 20 december 2026 met zijn dienstverlening aan particulieren, en de kaarten van het eigen merk werken daarna niet meer. Kaarthouders hebben daardoor twee taken tegelijk: zich wapenen tegen phishing en op tijd een nieuwe kaart vinden.

Datalek bij Gnosis Pay: toegang op 3 november, melding op 6 november

Volgens de mededeling van Gnosis Pay merkten de bewakingssystemen van het bedrijf op 3 november 2026 een onbevoegde toegang op tot het systeem dat de kaarten van het merk Gnosis Pay aanstuurt. Gnosis Pay noemt dit onderdeel zelf zijn B2C-activiteiten, dus de zaken met particuliere klanten. Bij de toegang zou ‘bepaalde klantinformatie’ zijn blootgelegd.

Het beveiligingsteam reageerde naar eigen zeggen direct, de inperking begon binnen twee uur na de ontdekking. Daarna verving Gnosis Pay volgens eigen opgave de getroffen beveiligingstoegangen en dichtte het de kwetsbaarheid. Hoe de aanvallers binnenkwamen en wie erachter zit, heeft het bedrijf nog niet bekendgemaakt.

De zaak werd pas drie dagen na de ontdekking openbaar. Op 6 november stuurde Gnosis Pay e-mails naar alle getroffen klanten, informeerde het zijn partners en volgens eigen zeggen ook de bevoegde toezichthouders voor gegevensbescherming en de kaartuitgever. Het Amerikaanse vakmedium The Block berichtte dezelfde dag over de mededeling.

De afbakening is belangrijk. Alleen het oude systeem voor de kaarten van het eigen merk is getroffen. Het enterpriseplatform, waarmee Gnosis Pay kaartprogramma’s van andere aanbieders als zogeheten white-labelkaarten beheert, was volgens het bedrijf niet getroffen. White-label betekent dat een walletaanbieder of fintechbedrijf de kaart onder eigen naam uitgeeft en Gnosis Pay op de achtergrond de techniek levert.

Gnosis Pay-kaart en self-custody: zo werkt het kaartmodel

Gnosis Pay omschrijft zichzelf in een bericht van 3 september 2026 als de eerste Visa-kaart met zelfbewaring. Self-custody betekent dat het saldo op een rekening op de blockchain staat waarover alleen de klant beschikt; een exchange of bank heeft er geen toegang toe. Bij Gnosis Pay is dat een smart-contractrekening op de Gnosis-blockchain, waarvan de kaart bij het betalen het bedrag afschrijft.

De kaart wordt uitgegeven door Monavate Limited onder een licentie van Visa Europe. Monavate heeft in het Verenigd Koninkrijk een vergunning als elektronischgeldinstelling en staat onder toezicht van de financiële toezichthouder FCA; Gnosis Pay zelf is een Britse vennootschap. Zo staat het in het colofon van de bedrijfswebsite.

Het model verklaart waarom Gnosis Pay de saldi als niet getroffen aanmerkt: wie alleen het klantsysteem van de kaartbeheerder binnendringt, heeft daarmee nog niet de sleutels tot de rekeningen op de blockchain. Het verklaart echter ook waarom het lek toch ernstig is. Bij elke kaartrekening hoort een openbaar walletadres, en juist die koppeling tussen persoon en adres is waardevol voor aanvallers.

Welke klantgegevens zijn getroffen en wat Gnosis Pay openlaat

Gnosis Pay heeft publiekelijk noch het aantal getroffenen noch de lijst van uitgelekte gegevenssoorten genoemd. De mededeling spreekt alleen van ‘bepaalde klantinformatie’. Elke getroffen persoon zou per e-mail wel precies te horen hebben gekregen welke informatie uit zijn of haar account is gehaald. Daarnaast heeft het bedrijf klanten afhankelijk van het soort gegevens verdere stappen aanbevolen.

Daaruit volgt de belangrijkste taak voor kaarthouders: lees die e-mail zorgvuldig, maar klik er nergens op. Controleer de afzender en vergelijk de inhoud met de mededeling op de officiële blog van Gnosis Pay. Wie geen e-mail heeft ontvangen, is volgens het bedrijf niet getroffen. Bij twijfel noemt Gnosis Pay het adres help@gnosispay.com als contact; typ het zelf in in plaats van te vertrouwen op een antwoordadres uit een bericht van een ander.

Ook is onduidelijk of de gegevens al in omloop zijn. Gnosis Pay schrijft dat het gespecialiseerde monitoring organiseert die aanwijzingen voor misbruik van de gegevens moet opsporen. Resultaten van die monitoring zijn er nog niet.

Walletadres en woonadres: het eigenlijke risico van het lek

Bij een gewoon datalek bij een webwinkel gaat het om namen, e-mailadressen en misschien bestellingen. Bij een aanbieder van cryptokaarten komt er een extra laag bij. Een walletadres is openbaar: iedereen kan in een blockexplorer nakijken welke bedragen erop staan en welke betalingen erover lopen. Zolang niemand weet van wie het adres is, is dat onschuldig. Staat er naast het adres echter een naam, dan wordt een anonieme reeks tekens een rekeningoverzicht dat iedereen kan opzoeken.

Gnosis Pay raadt zijn klanten daarom uitdrukkelijk aan voorzichtig te zijn met wie ze hun adres of gegevens over hun cryptobezit delen, online en offline. De verwijzing naar de offline wereld is geen toeval. Wie naam, adres en saldo van iemand kent, kan gerichte oplichtingstelefoontjes voorbereiden of brieven sturen die echt lijken. Dezelfde zorg speelde al bij eerdere lekken, bijvoorbeeld bij dienstverleners van fabrikanten van hardware wallets, waar de vraag opkwam hoe je een apparaat bestelt zonder je woonadres prijs te geven.

Een walletwissel kan zinvol zijn. Wie na de e-mail van Gnosis Pay moet aannemen dat naam en walletadres samen zijn uitgelekt, kan zijn saldo verhuizen naar een nieuw adres dat niet aan de eigen persoon is gekoppeld. Het oude adres blijft openbaar zichtbaar, maar nieuwe tegoeden verschijnen daar niet meer.

Phishing na het datalek: e-mail, sms, telefoon en brief

Het grootste risico na een datalek is zelden de toegang zelf. Gevaarlijk zijn de weken erna, waarin oplichters de buitgemaakte gegevens gebruiken om geloofwaardig over te komen. Gnosis Pay waarschuwt om elke onverwachte e-mail, sms, elk telefoontje en elke brief over Gnosis Pay, een partner-app of de kaart te wantrouwen, ook als het bericht echte gegevens of een echte aankoop noemt.

Juist die toevoeging is belangrijk. Veel mensen herkennen phishing aan het feit dat de afzender iets weet wat hij niet kan weten. Na een lek klopt dat niet meer: een vals bericht kan je volledige naam, je adres en zelfs een betaling noemen die je echt hebt gedaan. Echte details bewijzen dus niets meer.

Gnosis Pay noemt duidelijke grenzen waaraan je een vervalsing herkent. Noch het bedrijf noch zijn partner-apps vragen ooit naar de seed phrase, dus de woorden om de wallet te herstellen, naar private keys, de pincode of het volledige kaartnummer. Niemand vraagt je per e-mail of sms om je identiteit opnieuw te bevestigen. En niemand eist per e-mail, sms of telefoon dat je geld verplaatst. Wijzigingen aan het account lopen volgens het bedrijf uitsluitend via de officiële web-app van Gnosis Pay of via de betreffende partner-app.

Typische trucs na zo’n voorval zijn valse beveiligingswaarschuwingen (‘Je account is geblokkeerd’), zogenaamde vergoedingen voor het incident, telefoontjes van een vermeende supportafdeling en verzoeken om het saldo naar een ‘veilig’ adres te verplaatsen. Al die berichten hebben één ding gemeen: ze willen dat je snel handelt. Tijdsdruk is het betrouwbaarste waarschuwingssignaal.

3D Secure wordt verplicht: online betalen alleen nog met bevestiging

Als technische tegenmaatregel heeft Gnosis Pay 3D Secure verplicht gemaakt voor alle online betalingen met de kaart. 3D Secure is een procedure waarbij een kaartbetaling op internet extra moet worden bevestigd, meestal in een app of met een code. Wie alleen de kaartgegevens kent, kan daarmee online niet zomaar meer betalen.

Die verplichting geldt volgens het bedrijf tot het particuliere systeem op 20 december 2026 volledig wordt uitgeschakeld. Tegelijk heeft Gnosis Pay het toezicht op kaartactiviteit en wallets verscherpt om fraude en pogingen om bij klantgeld te komen te herkennen. Voor jou betekent dat in de praktijk: bevestig alleen betalingen die je zelf net hebt gestart. Verschijnt er een bevestigingsverzoek zonder dat je iets koopt, wijs het dan af en controleer je transacties.

Phishing met echte klantgegevens: zo bescherm je jezelf

Wat er is gebeurd: op 3 november 2026 kregen onbekenden toegang tot het systeem achter de kaarten van het merk Gnosis Pay en zagen ze daarbij klantgegevens in. Gnosis Pay heeft de toegang naar eigen zeggen binnen twee uur ingedamd; saldi zijn volgens het bedrijf niet getroffen, het aantal getroffenen is niet bekend (peildatum 6 november 2026).

Ben jij getroffen? Getroffen kunnen klanten zijn met een kaart van het merk Gnosis Pay. Wie een kaart gebruikt via een partner-app die op het enterpriseplatform draait, is volgens het bedrijf niet getroffen. Gnosis Pay heeft alle getroffenen op 6 november per e-mail geïnformeerd, met vermelding van welke gegevens zijn buitgemaakt.

1. Alleen via de officiële app: open de web-app van Gnosis Pay of je partner-app altijd via een eigen bladwijzer, nooit via links uit e-mails, sms’jes of chats.
2. Seed phrase blijft geheim: voer de woorden om je wallet te herstellen nooit in als een bericht daarom vraagt, ook niet op een pagina die op Gnosis Pay lijkt.
3. Transacties controleren: controleer tot 20 december wekelijks je kaarttransacties en wijs elk 3D Secure-verzoek af dat je niet zelf hebt gestart.
4. Adres wisselen: verhuis grotere bedragen naar een nieuw walletadres dat niet aan je naam is gekoppeld, en gebruik voor blijvend bezit een hardware wallet.
5. Gesprekken beëindigen: hang op bij telefoontjes van een zogenaamde supportafdeling en reageer op brieven over je kaartaccount pas na navraag via de officiële app.

De basis van veilige bewaring legt onze gids crypto veilig bewaren uit, geschikte apparaten vergelijkt de hardware wallet-vergelijking.

AVG-rechten na het Gnosis Pay-lek: inzage, klacht, schadevergoeding

Een datalek is niet alleen een beveiligingsprobleem, maar raakt ook je rechten als klant. Gnosis Pay is gevestigd in het Verenigd Koninkrijk, waar de UK GDPR geldt, die inhoudelijk grotendeels overeenkomt met de Europese Algemene verordening gegevensbescherming (AVG). Drie rechten zijn nu bijzonder relevant.

Het inzagerecht op grond van artikel 15 AVG geeft je het recht om van het bedrijf een overzicht te vragen van alle gegevens die over jou zijn opgeslagen. Dat helpt als je wilt inschatten wat er over jou in omloop kan zijn, verder dan de informatie in de melding. Met artikel 77 kun je een klacht indienen bij een toezichthouder voor gegevensbescherming, die nagaat of hij bevoegd is of de zaak doorstuurt.

Artikel 82 regelt de vergoeding van materiële en immateriële schade. Wanneer na een lek een aanspraak bestaat en hoe hoog die kan uitvallen, hebben rechters de afgelopen jaren meermaals beslist. Bewaar de e-mail van Gnosis Pay in elk geval: die bewijst dat en welke gegevens van jou getroffen zijn.

Uitschakeling op 20 december: Gnosis Pay trekt zich terug uit de particuliere markt

Los van het lek stond al vast dat de kaarten van het merk Gnosis Pay een aflopende zaak zijn. In september kondigde het bedrijf aan zich te richten op zijn rol als platform voor andere kaartaanbieders en de directe dienstverlening aan klanten, inclusief de web-app, te beëindigen. Toekomstige beslissingen over het kaartaanbod nemen dan de partners, dus de wallet-apps waarlangs gebruikers hun kaart krijgen. Gnosis Pay raadde gebruikers van de web-app toen al aan zo vroeg mogelijk over te stappen naar een partner-app.

Het nu getroffen systeem zou volgens de huidige mededeling sowieso op 20 december 2026 worden uitgeschakeld, en daarbij blijft het. Voor kaarthouders betekent dat: tot die datum werkt de kaart met strengere controle door, daarna hebben ze een alternatief nodig. Wie de kaart heeft gekoppeld aan abonnementen, streamingdiensten of terugkerende betalingen, moet die winkels een voor een omzetten.

Bij de keuze van een nieuwe kaart loont het om naar drie punten te kijken: wie geeft de kaart uit en heeft de aanbieder een vergunning in de EU? Staan de coins bij jou of bij de aanbieder? En welke kosten gelden bij het omwisselen van crypto naar euro? Een vergelijking van cryptocreditcards zet kosten, cashback en bewaarmodel naast elkaar.

Gnosis Pay-kaart: tot 20 december is er tijd om over te stappen

Het lek maakt een overstap urgenter die kaarthouders toch al voor de boeg hadden. Met deze drie stappen sta je vóór de deadline er goed voor:

1. Nieuwe kaart kiezen: zoek uiterlijk begin december een alternatief en zet abonnementen en periodieke betalingen om. Vergelijk daarbij kosten en bewaarmodel van de aanbieders.
2. Dagelijkse wallet opnieuw inrichten: maak voor kleine bedragen en betalingen een nieuwe wallet aan waarvan het adres niet aan je kaartgegevens is gekoppeld. Kies daarvoor een geschikte softwarewallet-app.
3. Reserves offline bewaren: grotere tegoeden horen op een apparaat waarvan de sleutels nooit online zijn geweest. De hardware wallet-vergelijking noemt modellen en prijzen.

(Per 6 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)