Відповідно до повідомлення, опублікованого на веб-сайті Fractal 17 липня, 14 липня на платформі ідентифікації блокчейнів Fractal ID стався витік даних. Партнери платформи включають платіжну систему Gnosis Pay, децентралізований фінансовий додаток Acala, проект підтвердження особистості Polygon ID, платформа соціальних медіа Lukso та інші програми Web3.
У своїй заяві Fractal не вказав, хто з партнерів постраждав від порушення, якщо такі були. Деякі користувачі на X повідомили, що отримували електронні листи від команди Gnosis Pay, які сповіщали про порушення та попереджали їх «бути обережними щодо небажаних повідомлень».
Fractal заявив, що злом торкнувся лише «приблизно 0,5% бази користувачів Fractal ID».
Згідно з повідомленням, «третя сторона, яка не відноситься до Fractal ID, отримала неавторизований доступ до облікового запису оператора та запустила сценарій API, який почався о 05:14 ранку UTC, щоб отримати доступ до особистих даних користувачів». Коли команда помітила злом, вони «вжили заходів, щоб вийти з системи зловмисника до 07:29 ранку UTC». Таким чином, напад імовірно відбувався протягом двох годин 14 хвилин.
У повідомленні зазначено, що лише обмежена кількість облікових записів мала дані, що зберігаються в обліковому записі цього конкретного оператора, що становить лише 0,5% від загальної бази користувачів Fractal. Для цих конкретних користувачів потенційно витік даних «може включати імена, адреси електронної пошти, адреси гаманців, номери телефонів, фізичні адреси, зображення та фотографії завантажених документів».
Fractal стверджував, що злом не вплинув на системи або продукти клієнтів, оскільки він «містився в середовищі [Fractal]». Незважаючи на це, постраждалі користувачі повинні бути «обережними щодо небажаних повідомлень із запитом додаткової особистої інформації», зазначено в повідомленні.
Розробник Web3 Пауло Фонсека опублікував зображення електронного листа, який, як повідомляється, був надісланий деяким користувачам GnosisPay. «О 19:30 за центральноєвропейським часом у понеділок, 15 липня 2024 року, наш постачальник послуг «Знай свого клієнта» (KYC) Fractal ID повідомив команду Gnosis Pay, що в неділю, 14 липня 2024 року, стався витік даних», — йдеться в електронному листі.
Інформація про одержувача електронного листа «не була частиною даних, до яких було отримано доступ», зазначено в ньому. Незважаючи на це, він попередив користувача «бути обережним щодо небажаних повідомлень із запитом додаткової особистої інформації».
Cointelegraph зв’язався з Gnosis за коментарем, але не отримав відповіді на момент публікації.
За темою: протокол CCIP і автоматизація Chainlink тепер працюють на Gnosis
Більшість юрисдикцій вимагають від бірж криптовалют або постачальників платіжних послуг записувати та зберігати інформацію про кожного клієнта, якого вони обслуговують. Ця інформація може містити зображення документів, що посвідчують особу, імена, фізичні адреси, електронні адреси та інші конфіденційні дані. Прихильники вимог KYC стверджують, що ця практика необхідна для запобігання відмиванню грошей, а критики стверджують, що це створює ризик витоку персональних даних.
27 червня постачальник криптографічних ідентифікаторів Autix10 оголосив, що його облікові дані адміністратора злили в Інтернет. Але в цьому випадку зловмисник, схоже, не отримав жодних фактичних даних про клієнтів. 3 липня програма двофакторної аутентифікації Authy також зазнала витоку даних, що призвело до витоку телефонних номерів користувачів.
Журнал: Crypto-Sec: Evolve Bank постраждав від витоку даних, ентузіаст Turbo Toad втратив 3,6 тисячі доларів