Gnosis Payでカード情報と住所・ウォレットが流出――資金は無事、狙われるのは「住所と保有額」

暗号資産と連動するVisaデビットカードを提供するGnosis Pay（グノーシス・ペイ）は2026年11月6日（金）、個人向けカードの旧システムへの不正アクセスで顧客情報が流出したと公表した。流出したのはカード番号・有効期限・CVVコード、氏名・自宅住所、ウォレットアドレスなどで、Cointelegraphが入手した被害者への通知文で確認された。会社は「顧客の資金は影響を受けていない」とし、企業向けのホワイトラベル事業も無事だとしている。ただし被害者の人数は公表されておらず、流出した住所とウォレットの組み合わせは、フィッシングだけでなく物理的な脅迫にも使われうる。カードはすでに解約され、オンライン決済には3Dセキュア認証が義務化された。旧システムは12月20日に廃止される予定だ。

結論――流出したのは「お金」ではなく「住所とカード情報」

暗号資産と連動するVisaデビットカードを提供するGnosis Payは、2026年11月6日（金曜日）、個人向けカードを動かす旧システム（レガシーシステム）への不正アクセスで、顧客情報が流出したと公表した。公式ブログとXでの発表で、検知は11月3日、封じ込めは検知から2時間以内に始めたとしている。侵害された認証情報は交換し、脆弱性には対処したとされる。顧客の資金は影響を受けていない、ともしている。

まず押さえておきたいのは、今回の事案が「お金が盗まれた事件」ではないことだ。バイナンスの約64億ドルのハッキングのように、資金そのものが奪われた話ではない。流出したのは、カードの情報と個人の情報だ。カード番号、有効期限、CVVコード、氏名、自宅住所、メールアドレス、電話番号、国籍、ウォレットアドレス、一部の人にはIBANやBICといった銀行情報まで含まれる。Cointelegraphが被害者への通知文を入手して報じた内容だ。

「お金は無事なら大したことはない」と考えるのは早い。カード番号・有効期限・CVVがそろえば、オンライン決済に使われるおそれがある。被害者のカードは11月3日に解約されたと通知文にあるため、流出したカード番号そのものがそのまま使われる心配は小さい。だが住所・氏名・メールアドレス・電話番号は、解約では消えない。流出した情報は、フィッシング詐欺やなりすましの材料として何年も使われうる。さらに住所とウォレットアドレスが結びつくと、ブロックチェーン上で保有額が推測できる。会社自身、利用者に「住所や保有資産の詳細をオンラインでもオフラインでもむやみに共有しないように」と呼びかけている。

もう1つ押さえておきたいのは、今回の侵害が「廃止が決まっていた旧システム」で起きたことだ。Gnosis Payは9月21日に、個人向け事業を閉じ、ウェブアプリも含めて終了すると予告していた。利用者には提携アプリへの移行を呼びかけていた。旧システムは12月20日に廃止される予定で、廃止まであと6週間ほどしかなかった。つまり侵害を受けたのは、すでに「終わりが決まっていた」システムだ。廃止が近いシステムの管理が手薄になっていたのかどうか、公式発表は説明していない。脆弱性が何だったのか、攻撃者が誰だったのかも公表されていない。

規模の面では、Gnosis Payは大きな取引所ではない。第三者の計測（OpenRate）によれば、1日あたりのアクティブなカード利用者は約2,400人、24時間の決済額は約26万3,200ドルだ。バイナンスやコインベースと比べれば小さい。だが小さいからといって、被害が小さいわけではない。被害者1人ひとりにとっては、カード番号と自宅住所とウォレットが一度に流出した重大な事案だ。被害者の人数は公表されていないため、全体の規模は分からない。人数が分からないこと自体が、今回の公表の弱い部分だ。

何が流出したか――カード番号からIBANまで、4つのグループで整理

流出したデータの具体的な項目は、公式発表には書かれていない。Gnosis Payの公式ブログは「certain customer information（特定の顧客情報）」とだけ書き、項目の一覧は示していない。被害者全員に個別のメールを送り、そのメールに「その人の口座から何が取られたか」を正確に書いた、としている。つまり項目の一覧は、被害者への個別メールの中にだけある。

Cointelegraphは、その通知文を入手して報じた。確認された項目は次の通りだ。カードの情報としては、カード番号（フル）、有効期限、CVVコード、カード名義。個人の情報としては、氏名、自宅住所、メールアドレス、電話番号、国籍。暗号資産との紐付けとしては、口座に紐付いたウォレットアドレス。銀行の情報としては、一部の人にIBAN（国際銀行口座番号）とBIC（銀行識別コード）。このうちIBANとBICは、一部の通知文にだけ含まれていた項目で、全員に当てはまるわけではない。

ここで注意したいのは、被害者全員に同じ項目が流出したわけではないことだ。通知文は人ごとに「何が取られたか」が書かれている。ある人はカード情報と住所、別の人はメールアドレスとウォレットアドレスだけ、という具合に、流出した項目は人によって違う可能性がある。自分の何が流出したかを知るには、Gnosis Payからのメールを確認するしかない。メールが届いていない利用者は、[email protected] に問い合わせるよう案内されている。ただし会社は、返信が遅くなる可能性があるともしている。

秘密鍵やシードフレーズが流出したという話はない。Gnosis Payのカードは、自己管理型のウォレットから直接支払う仕組みだ。ウォレットアドレスが流出しても、秘密鍵がなければ資金は動かせない。資金が無事だとされる理由の1つはここにある。ただしウォレットアドレスと氏名・住所が結びつくことで、保有額がブロックチェーン上で推測できるようになる。保有額が分かれば、狙う側にとって「誰を狙うべきか」が分かる。秘密鍵が流出しなかったから安全、という話ではない。

被害者の1人として名乗りを上げたのは、オープンソースのポートフォリオ管理ツールRotkiの創設者、レフテリス・カラペツァス氏だ。The Defiantの報道によれば、氏の通知文には自宅住所、カード情報、ウォレットアドレスが含まれていたという。PrivacyAffairsも同じ内容を伝えている。創設者のような目立つ人物だけでなく、一般の利用者にも同じ項目が流出した可能性がある。名前の知られた人物の通知文が公開されたことで、流出の具体的な中身が世に出た形だ。

時系列――9月の廃止予告から11月6日の公表、12月20日の終了まで

今回の事案を理解するには、9月の廃止予告からたどる必要がある。2026年9月21日、Gnosis Payは個人向け事業（コンシューマー事業）の終了を予告した。「コンシューマーの章を閉じる」として、ウェブアプリも含めて終了し、利用者には提携アプリへの移行を呼びかけた。提携アプリとは、RebindやMiniPayなど、Gnosis Payの企業向けプラットフォームで動くパートナーのアプリだ。個人向けカードの旧システムは、2026年12月20日に廃止される予定で、物理カードもバーチャルカードも、12月20日23:59 UTCで決済の承認が止まる。

2026年11月3日、監視システムが旧システムへの不正アクセスを検知した。公式発表によれば、封じ込めは検知から2時間以内に始まった。侵害された認証情報は交換され、脆弱性には対処された。カード利用とウォレットの監視も強化された。被害者のカードは同日中に解約され、不正な取引や資金の移動は検出されなかったとされる。検知から公表まで3日あったことになるが、公式発表はその3日間に何をしたかを細かくは説明していない。認証情報の交換、脆弱性の対処、個別通知の準備に使われたとみられるが、公表までの判断の経緯は明らかにされていない。

2026年11月6日、Gnosis Payは公式ブログとXで侵害を公表した。Xへの投稿では「資金は影響を受けていないが、個人情報の安全も同じくらい重要で、全責任を負う」と表明した。被害者全員に「何が取られたか」を記したメールを送り、提携先、カード発行会社、データ保護当局へ報告したともしている。発行会社は、英国などの非EEA地域がMonavate Ltd、EEA地域がUAB Monavateだ。Cointelegraphは11月6日20:51 UTC（日本時間11月7日05:51）に、Decryptは21:06 UTC（日本時間11月7日06:06）に報じた。

2026年12月20日、旧システムは廃止される。3Dセキュア認証の義務化と監視の強化は、廃止まで続く。オンライン決済では3Dセキュアによる追加の認証が必須になる。提携アプリのカードは、企業向けの別プラットフォームで動いているため、今回の侵害の影響を受けないとされる。廃止が決まっていたシステムの侵害だけに、対応の軸足は「廃止までのつなぎの安全確保」に置かれている。廃止の日程自体は、侵害を受けても変わっていない。

この時系列から見えてくるのは、侵害の対応が「廃止の予定」と重なっていることだ。廃止まで6週間を切った段階での侵害で、会社はシステムの抜本的な改修ではなく、3Dセキュアの義務化と監視強化で廃止までしのぐ方針を取った。廃止が決まっていたからこそ、対応が「つなぎ」に見える面もある。逆に言えば、廃止が決まっていなければ、もっと大がかりな対応が必要だったかもしれない。廃止の予定が、対応の形を決めた側面がある。

報道各社の突き合わせ――「何が流出したか」の書き方にだけ食い違い

今回の発表について、Gnosis Payの公式ブログ、Cointelegraph、Decryptの3つの情報源を突き合わせた。検知の日付（11月3日）、封じ込めの開始（2時間以内）、資金への影響（なし）、旧システムの廃止（12月20日）、3Dセキュアの義務化（廃止までオンライン決済で必須）といった中核の事実は、3つとも一致している。日付や数字の矛盾は見つからなかった。

違いがあるのは、「何が流出したか」の書き方だけだ。公式ブログは「特定の顧客情報」とだけ書き、項目の一覧は示していない。Decryptも「会社は流出したデータを公表していない」と明記し、具体的な項目は報じていない。いっぽうCointelegraphは、被害者への通知文を入手し、カード番号・有効期限・CVV・氏名・住所・ウォレットアドレス・メール・電話・国籍、一部にIBAN／BICと具体的に列挙した。

これは矛盾ではなく、情報源の違いだ。Decryptは公式発表だけを土台にしたため、項目を書けなかった。Cointelegraphは通知文という一次資料を入手したため、項目を書けた。公式が公表していない項目を、通知文の側から確認した形だ。両方を組み合わせて読むことで、全体像が見える。1社だけを読んでいれば、「何が流出したか分からないまま」か「項目は分かったが公式の立場が分からないまま」のどちらかになっていた。

利用規模の数字も、Cointelegraphだけが報じている。第三者の計測（OpenRate）によれば、1日あたり約2,400人のアクティブなカード利用者、24時間で約26万3,200ドルの決済だ。公式発表とDecryptは、利用規模に触れていない。被害者の人数も、3つの情報源のいずれも公表していない。CointelegraphはGnosis Payにコメントを求めたが、記事の公開時点までに返答はなかったとしている。人数が分からないままでは、事案の全体の規模は測れない。人数の公表があるかどうかが、今後の確認ポイントになる。

なお、Decryptの記事に表示された価格などの数字は、記事の執筆時点のもので、今回の侵害とは直接関係がない。価格の水準については、当サイトのスナップショットの数字を基準にしている。報道各社の数字を比べるときは、「どの時点の数字か」を確認することが大切だ。

なぜ「住所の流出」が怖いのか――レンチアタックとフィッシングの連鎖

今回の流出で最も重いのは、住所とウォレットアドレスの組み合わせだ。カード番号は解約で無効化できる。メールアドレスや電話番号は、変更やブロックで対処できる部分もある。だが自宅住所は変えられない。ウォレットアドレスと結びつくことで、保有額がブロックチェーン上で推測できる。住所と保有額が同時に知られれば、狙う側にとって「どこに、どれだけの資産を持った人がいるか」が分かる。

Decryptは、暗号資産の保有者を狙う物理的な脅迫――「レンチアタック」と呼ばれる手口――が、記録的なペースで増えていると伝えている。チェイナリシスの集計によれば、2026年上半期だけで3,000万ドル超がこうした手口で盗まれたという。自宅への侵入や誘拐といった、身体への脅迫で秘密鍵や送金を迫る手口だ。Gnosis Pay自身も、利用者に「住所や保有資産の詳細をオンラインでもオフラインでもむやみに共有しないように」と呼びかけている。この呼びかけの背景にあるのが、まさにこの脅威だ。

もちろん、住所が流出したからといって、すぐに誰かが家に来るわけではない。流出した住所が悪用されるかどうかは、流出したデータが誰の手に渡り、どう使われるかによる。だが住所とウォレットの組み合わせは、フィッシング詐欺の精度を上げる材料にもなる。「あなたの住所と保有額を知っている」という前提で送られてくるメッセージは、一般的なフィッシングよりも信じやすい。会社は、カードや取引の詳細を含む予期せぬメッセージに注意し、シードフレーズやPIN、カード番号の全体を尋ねられても絶対に教えないよう、また資金の移動を求められても応じないよう呼びかけている。会社がシードフレーズやPIN、カード番号の全体を尋ねることはない、ともしている。

最近の事案の並びを見ると、攻撃の対象が「お金」から「データ」へ広がっていることが分かる。バイナンスでは約64億ドルが盗まれた。レジャーでは、東南アジアの販売代理店から買った端末に絡み、約8,700万ドルの流出が疑われている。コインベースでは、先週、分析ベンダーのAmplitudeの侵害で顧客の連絡先データが流出した。チェイナリシスでは、全ユーザーのパスワードハッシュと有効なログイントークンが流出し、主要サービスが停止した（当サイトのチェイナリシスの侵害拡大の記事）。グノーシス・ペイでは、カード番号と住所とウォレットが流出した。金額の大きさで比べれば、グノーシス・ペイは小さい。だが被害の種類は違う。お金の盗難は「取り戻せるかどうか」の話で、データの流出は「何年も悪用され続けるかどうか」の話だ。

利用者がいま確認すべきなのは、まずGnosis Payからのメールだ。メールには「その人の口座から何が取られたか」が書かれている。カードの解約状況、オンライン決済の3Dセキュア認証の有無も確認する。身に覚えのない取引がないか、カード利用の明細を見る。不審なメッセージが届いたら、記載されたリンクや連絡先を使わず、公式の連絡先（[email protected]）に問い合わせる。住所が流出した可能性がある以上、SNSなどで住所や保有資産の詳細を公開しないことも大切だ。カードを解約したから終わり、ではない。情報の流出への対処は、カードの解約よりも長く続く。

当サイトの観測値――スナップショットは公表の前に取得された

当サイトが2026年11月7日01:07 JSTに取得したスナップショットでは、ビットコインはHyperliquidで7万5,758ドルだった。前日のスナップショット（11月6日）の前日終値は7万6,364ドルで、1日で約606ドル、約0.8％の下落になる。イーサは2,228ドル（前日比約1.4％安）、ソラナは90.405ドル（約0.3％安）、ドージコインは0.072908ドル（約0.8％高）、HYPEは77.956ドル（約2.7％安）だった。価格の詳細は記事一覧と記事一覧でも確認できる。

このスナップショットが取得されたのは、グノーシス・ペイの公表より約5時間前だ。Cointelegraphの記事は11月6日20:51 UTC、日本時間では11月7日05:51に公開された。当サイトのスナップショットは01:07 JSTに取得されたため、公表への市場の反応は反映されていない。11月7日の小幅な下落をグノーシス・ペイの公表と結びつけるのは、時間の順序から見ても早い。公表への反応は、次回のスナップショットで確認する必要がある。

恐怖・貪欲指数は28で「恐怖」だった。前日の50（中立）からは22ポイントの悪化になる。価格が約0.8％しか下がっていないのに指数が大きく悪化したのは、指数が価格以外の要素も含む複合指標で、1日の価格変動と連動しないためだ。指数の水準だけで「市場が悪化した」と判断するのは早いが、センチメントが弱っていることは押さえておくべきだ。前日の11月6日には、米中間選挙後の反発を1日で吐き出す大幅下落があり、ビットコインは7万5,463ドルまで下げていた（当サイトの選挙ラリーを吐き出した下落の記事）。11月7日の小幅な下落は、その余波の範囲内とみるのが妥当だ。

デリバティブの観測値も確認しておく。Hyperliquidのビットコインの建玉は約32.4億ドル、24時間の取引高は約37.8億ドル、資金調達率は0.0000125とわずかにプラスだった。資金調達率が小幅なプラスにとどまっていることは、ロングへの偏りが強くないことを示している。HYPEの建玉は約17.4億ドルで、24時間の取引高は約6.1億ドルだった。なお、グノーシス・ペイ自体は当サイトのスナップショットの対象外だ。当サイトが追っているのはHyperliquid、dYdX、Paradex、Aster、Aevo、GMX、Lighterの7つのデリバティブ取引所で、グノーシス・ペイのようなカード事業者は対象に入っていない。カード事業者のトラブルが市場全体に波及するかどうかは、価格とセンチメントの動きで見るしかない。同じ日に米財務省がMEXCへの遮断命令を出したことについては、当サイトのMEXC遮断の記事も参照してほしい。

今後の確認ポイント

このうち日付が決まっているのは、12月20日の旧システム廃止だけだ。被害者の人数、脆弱性の特定、データの悪用の有無には公表された期限がない。ニュースを追うときは「日付のある出来事」と「期限のない手続き」を分けて、進展があった項目だけを更新していくのが確実だ。

用語解説――Gnosis Pay、3Dセキュア、CVV、IBAN／BIC、レンチアタック、ホワイトラベル

Gnosis Pay（グノーシス・ペイ）：暗号資産と連動するVisaデビットカードを提供する事業者。自己管理型のウォレットから直接支払う仕組みで、カード決済時にウォレット内の暗号資産が使われる。個人向けのカード事業（B2C）と、提携先にカード機能を提供する企業向け事業（ホワイトラベル）がある。今回の侵害は個人向けの旧システムだけで起きた。

レガシーシステム（旧システム）：古い世代のシステムのこと。Gnosis Payの個人向けカードを動かしていたシステムで、2026年12月20日に廃止される予定だった。新しいシステムに置き換えられる前の、旧来の仕組みを指す。

3Dセキュア：オンライン決済の追加認証の仕組み。カード番号だけでなく、パスワードやワンタイムパスワードなど、もう1段階の認証を求めることで、カード情報だけでは決済できないようにする。Gnosis Payは、旧システムの廃止までオンライン決済での3Dセキュアを義務化した。

CVV（セキュリティコード）：カードの裏面などに記載された3〜4桁の数字。オンライン決済で、カード番号と有効期限に加えて求められる。カード番号・有効期限・CVVがそろうと、オンライン決済に使われるおそれがある。

IBAN／BIC：国際送金で使う銀行口座の識別情報。IBANは国際銀行口座番号、BICは銀行を識別するコード。今回の流出では、一部の人の通知文にだけ含まれていた。

レンチアタック：暗号資産の保有者を物理的に脅迫して、秘密鍵や送金を迫る手口。「レンチ（スパナ）で脅す」という比喩から来た呼び名で、自宅への侵入や誘拐といった身体への脅迫を含む。チェイナリシスの集計では、2026年上半期だけで3,000万ドル超がこうした手口で盗まれ、記録的なペースで増えているとされる。

ホワイトラベル：ある事業者の仕組みを、提携先が自社のブランドで提供する形態。Gnosis Payの企業向けプラットフォームは、RebindやMiniPayなどの提携アプリにカード機能を提供している。今回の侵害は個人向けの旧システムだけで、企業向けプラットフォームは影響を受けていないとされる。

シードフレーズ：ウォレットの復元に使う単語の並び。シードフレーズがあれば、ウォレットの資金を別の場所で復元できる。Gnosis Payは、シードフレーズやPIN、カード番号の全体を尋ねることはないとしており、そうした情報を求める連絡は詐欺の可能性がある。

よくある質問

出典

• Gnosis Pay公式ブログ「Data breach on the legacy system powering Gnosis Pay-branded cards」
• Cointelegraph「Gnosis Pay Data Breach Exposes Card, Wallet Details」
• Decrypt「Crypto Card Provider Gnosis Pay Says Hackers Accessed Customer Data」
• PrivacyAffairs「Gnosis Pay Data Breach: What Was Taken and What to Do」
• CoinLaw「Gnosis Pay Confirms Consumer Card Breach Weeks Before Shutdown」

本記事は、旧サイト「パープス・デスク」に2026-11-07に掲載したニュース記事を、取引所ヘルプ索引の形式に合わせて移行したものです。内容は掲載当時の公開報道をもとに当サイトが要約・整理したもので、価格の予測は行いません。ページ内の備え枠では、Bitunixを当サイトの第一推奨として案内します。状況はその後変わっていることがあるため、最新の情報は出典と公式情報で確認してください。

関連：記事一覧／取引所一覧／よくある質問