Gnosis Pay Lekt Klantgegevens: Wallet-Adressen Nu Gekoppeld Aan Naam En Adres

Op 3 november merkte Gnosis Pay voor het eerst iets vreemds op in het systeem achter zijn crypto-betaalkaarten. Drie dagen later, op 6 november, moest het bedrijf naar buiten komen met het nieuws: onbevoegden hadden toegang gehad tot klantgegevens — en bij sommige gebruikers stond daarbij niet alleen hun naam en adres, maar ook elk wallet-adres dat aan hun account gekoppeld is. Precies het soort koppeling die je als crypto-gebruiker normaal gesproken juist wilt vermijden.

Samenvatting: Gnosis Pay, de uitgever van crypto-gekoppelde Visa-debitkaarten rond Gnosis Safe-wallets, meldde op 6 november 2026 een datalek. Onbevoegde toegang tot het “legacy”-systeem achter de Gnosis Pay-kaarten werd op 3 november gedetecteerd en binnen twee uur ingedamd. Welke gegevens precies zijn gelekt, verschilt per klant: bij sommigen ging het om naam, verzendadres en een accountreferentie, bij anderen — bevestigd door minstens één getroffen gebruiker — om het volledige thuisadres, kaartnummer én alle wallet-adressen die aan het account gekoppeld zijn. Klanttegoeden zijn volgens Gnosis Pay niet geraakt en het zakelijke white-label platform bleef buiten schot. Als tijdelijke maatregel is 3D Secure nu verplicht voor online kaartbetalingen, tot het getroffen systeem op 20 december 2026 helemaal wordt uitgefaseerd.

Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.

Wat is er precies gebeurd?

Gnosis Pay geeft crypto-gebruikers al jaren een Visa-debitkaart die direct is gekoppeld aan hun Gnosis Safe — een self-custody smart contract wallet. Je betaalt dus met je eigen crypto, zonder dat je eerst alles handmatig naar een exchange moet overboeken. Precies die koppeling tussen een fysieke betaalkaart en een on-chain wallet maakt dit lek extra gevoelig.

Volgens het bedrijf zelf werd de ongeautoriseerde toegang op 3 november gedetecteerd in het “legacy”-systeem dat de Gnosis Pay-kaarten aanstuurt. Het team zegt het incident binnen twee uur te hebben ingedamd, gecompromitteerde inlogmiddelen te hebben vervangen en de onderliggende kwetsbaarheid te hebben verholpen.

“We detected unauthorised access to the system powering Gnosis Pay-branded cards.”

Gnosis Pay, via The Block, 6 november 2026

Belangrijk: het zakelijke platform waarmee andere bedrijven white-label kaartprogramma’s draaien, bleef volgens Gnosis Pay volledig buiten schot. Dit ging specifiek om de consumentenkant van het bedrijf.

Wat is er gelekt — en voor wie?

Hier wordt het interessant, en een beetje verwarrend: niet elke getroffen klant kreeg dezelfde e-mail. Onderzoeksjournalisten van Protos ontvingen zelf ook een melding en zagen daarin alleen hun naam zoals die op de kaart staat, hun verzendadres en een interne accountreferentie. Maar Lefteris Karapetsas, bekend als oprichter van het DeFi-trackingproject Rotki, kreeg een heel andere e-mail.

Karapetsas meldde dat zijn e-mail zijn volledige thuisadres, naam, kaartnummer én alle wallet-adressen die aan zijn account gekoppeld zijn vermeldde.

Gerapporteerd door Protos, 6 november 2026

Met andere woorden: de omvang van het lek varieert per klant, en Gnosis Pay heeft tot nu toe geen totaalaantal getroffen gebruikers naar buiten gebracht. Wat we wél weten: voor een deel van de klanten liggen kaartnummer, volledig woonadres én wallet-adressen samen op straat — drie gegevens die, los van elkaar onschuldig, samen ineens een directe link leggen tussen je identiteit en je on-chain activiteit.

Als je nog niet precies weet waarom dat zo gevoelig is: een wallet-adres op zichzelf is pseudoniem — iedereen kan de transacties ervan bekijken op de blockchain, maar in principe weet niemand wie erachter zit. Zodra dat adres aan je echte naam én je huisadres hangt, valt die bescherming weg, en dat is precies waarom zelfbeheer en voorzichtig omgaan met je gegevens zo’n kernonderdeel zijn van hoe je veilig met crypto omgaat. Twijfel je over de basisbegrippen rond wallets en zelfbeheer, dan is onze beginnersgids een goed startpunt voordat je een kaart als deze aan je wallet koppelt.

Tegoeden zijn niet geraakt — maar dit is niet het eerste Gnosis Pay-incident

Gnosis Pay benadrukt dat klanttegoeden niet zijn aangetast door dit datalek: er is alleen data gestolen, geen crypto. Toch is dit niet het eerste veiligheidsincident rond het platform dit jaar. Op 1 juni 2026 werden de Delay- en Roles-modules van de Safe-infrastructuur achter Gnosis Pay-kaarten misbruikt bij een apart exploit, waarbij ongeveer $1,5 miljoen werd onttrokken en nog eens $300.000 tijdelijk onbereikbaar was. Gnosis Pay nam destijds de verliezen op zich en herstelde de getroffen klanten volledig — maar het laat zien dat de combinatie van een fysieke betaalkaart en een smart contract wallet meerdere aanvalsvlakken met zich meebrengt.

Gnosis Pay staat daarin niet alleen. Alleen al dit jaar meldde het Visa-kaartprogramma van Based in oktober dat een aanvaller toegang kreeg tot een intern dashboard waardoor klantgegevens uitlekten (geen tegoeden geraakt), kregen gebruikers van Tria en Avici in augustus te maken met ongeautoriseerde opnames door een kwetsbaarheid in de Solana-kaartinfrastructuur van Rain, en meldde Revolut in september dat een frauduleus verzoek vanaf een overheids-e-maildomein KYC-gegevens blootlegde. Crypto-gekoppelde betaalkaarten zijn duidelijk een geliefd doelwit geworden.

Wat moet je doen als je Gnosis Pay-klant bent?

1. Controleer of 3D Secure automatisch is ingeschakeld voor je online kaartbetalingen — Gnosis Pay heeft dit nu verplicht gesteld totdat het getroffen systeem op 20 december wordt uitgefaseerd.
2. Wees extra alert op phishing-mails en -sms’jes die zich voordoen als Gnosis Pay: aanvallers kennen nu mogelijk je naam, adres en accountgegevens, wat phishingpogingen overtuigender maakt.
3. Ga na of je eigen melding van Gnosis Pay vermeldt dat ook je wallet-adressen zijn gelekt, en behandel die adressen vanaf nu als niet meer volledig pseudoniem.
4. Volg de communicatie van Gnosis Pay rond de deadline van 20 december, wanneer het huidige (lekke) kaartsysteem wordt vervangen.

Dit soort incidenten is precies waarom veel doorgewinterde crypto-beleggers hun langetermijn-bezit liever los houden van elk account dat aan een centrale database hangt. Een hardware wallet zoals de Ledger Nano S Plus bewaart je private keys offline, volledig los van kaartsystemen of klantendatabases die gehackt kunnen worden. Wie liever software-based self-custody gebruikt zonder een seed phrase te hoeven beheren, kan ook kijken naar Zengo, dat met MPC-technologie werkt. Beide houden je crypto los van het soort klantensysteem dat Gnosis Pay nu moest herstellen.

Conclusie

Het Gnosis Pay-lek is geen hack waarbij crypto is gestolen, maar daarmee is het risico niet verdwenen. Juist de combinatie van een fysieke betaalkaart, je echte identiteit en je wallet-adressen is wat dit incident onderscheidt van een gewoon datalek: voor een deel van de klanten valt de pseudonimiteit van hun on-chain activiteit nu weg. Gnosis Pay reageerde snel — binnen twee uur ingedamd, 3D Secure verplicht, het lekke systeem wordt op 20 december toch al vervangen — maar het aantal getroffen klanten is nog niet bekendgemaakt, en dat maakt het moeilijk de impact precies in te schatten. Gebruik je zelf een crypto-betaalkaart, dan is dit een goed moment om na te denken over wat je daadwerkelijk aan een kaartsysteem koppelt, en wat je liever in eigen beheer houdt.