Gnosis Pay 데이터 유출: 카드 이용자가 알아야 할 핵심 사항

Gnosis Pay는 2026년 11월 3일 자사 브랜드 소비자 카드 운영 시스템에 대한 무단 접근을 모니터링 시스템이 탐지했다고 밝혔다.

회사 측은 탐지 후 2시간 이내에 사고 차단에 착수했으며, 이후 영향을 받은 보안 인증 정보를 교체하고 취약점을 해결했다고 설명했다. The Block 보도에 따르면 이번 사고는 브랜드 카드용 소비자 시스템에 국한됐으며, 화이트라벨 카드 프로그램에 사용되는 엔터프라이즈 플랫폼에는 영향을 미치지 않았다.

무단 접근으로 일부 고객 정보가 노출됐다. 다만 Decrypt 보도에 따르면 Gnosis Pay는 노출된 모든 데이터 유형이나 영향을 받은 고객 수를 공개적으로 밝히지 않았다.

Gnosis Pay는 고객 자금에는 영향이 없었다고 밝혔다. 그러나 이 입장은 확인된 고객 정보 노출과 별개로 봐야 한다. 회사는 사기 메시지에 실제 개인정보나 구매 내역이 포함될 수 있다고도 경고했다.

Gnosis Pay는 사기 또는 고객 자금 접근 시도를 탐지하기 위해 카드 활동과 지갑에 대한 모니터링을 강화했다고 밝혔다. 또한 영향을 받은 모든 고객에게 계정별 세부 내용을 이메일로 안내하고, 파트너사에 사고를 보고했으며, 카드 발급사 및 관련 데이터 보호 당국과도 소통했다고 설명했다.

The Block 보도에 따르면 Gnosis Pay는 소비자 시스템이 폐기될 때까지 모든 온라인 카드 결제에 3D Secure 인증을 의무화했다. Decrypt 보도에 따르면 해당 플랫폼은 이미 2026년 12월 20일 폐기될 예정이었다.

중앙화 거래소 수탁과 셀프 커스터디를 비교하는 트레이더라면, 이번 사고에서 고객 정보 노출과 자금 손실을 구분해 볼 필요가 있다. 고객 정보는 노출됐지만, Gnosis Pay는 고객 자금에는 영향이 없었다고 밝혔다.

여전히 남아 있는 보안 위험은 표적형 사기다. Gnosis Pay는 악성 메시지에 실제 개인정보나 구매 내역이 악용될 수 있어, 사기성 요청도 신뢰할 만한 메시지처럼 보일 수 있다고 경고했다.

• Gnosis Pay가 영향을 받은 모든 고객에게 발송했다고 밝힌 계정별 안내 이메일을 받았는지 확인한다.
• 소비자 시스템이 운영되는 동안 온라인 카드 결제 시 3D Secure 인증이 요구될 수 있다는 점에 유의한다. 이는 The Block이 보도한 내용이다.
• 정확한 개인정보나 구매 내역이 포함된 메시지도 사기일 수 있다고 의심해야 한다. Gnosis Pay는 노출된 정보가 이런 방식으로 악용될 수 있다고 밝혔다.
• 메시지나 전화로 시드 문구, 개인 키, PIN 또는 카드 번호 전체를 알려주거나 자금을 이체해서는 안 된다. Gnosis Pay는 자사가 절대 이런 요청을 하지 않는다고 밝혔다.

현재까지 공개된 내용만으로는 사고의 전체 범위를 평가하는 데 중요한 여러 의문이 해소되지 않는다. Decrypt 보도에 따르면 영향을 받은 전체 고객 수와 노출된 모든 데이터 유형은 공개되지 않았다.

공격자가 탐지 전까지 얼마나 오랫동안 접근 권한을 유지했는지, 어떤 취약점이나 초기 침투 수단이 공격에 이용됐는지, 노출된 기록이 판매·공개됐거나 피싱, 사기 또는 물리적 표적 공격에 악용됐는지도 여전히 확인되지 않았다. 카드 발급사와 관련 데이터 보호 당국의 조사 결과 또는 집행 조치 역시 아직 나오지 않았다.