Co-founder Gnosis mengonfirmasi bahwa Gnosis Pay mengalami sebuah exploit, dan secara terbuka berjanji akan menanggung seluruh kerugian pengguna (100%). Menurut laporan CriptoNoticias, hingga berita ini diterbitkan, pihak Gnosis belum mengungkapkan jumlah dana yang dicuri, maupun menjelaskan mekanisme dan jadwal ganti ruginya. Gnosis Pay adalah kartu debit Visa self-custody yang berbasis Gnosis Chain, dengan desain unggulan “saldo kartu dipegang pengguna di wallet on-chain miliknya sendiri” — dan desain inilah yang justru menjadi inti masalah dalam insiden kali ini.
Interpretasi Editor: Risiko “Lapisan Smart Contract” pada Kartu On-Chain Terungkap
Langsung ke kesimpulan: yang mengalami kerugian kali ini bukan kartu kustodian tersentralisasi, melainkan produk yang membangun “nilai jual keamanannya” di atas smart contract dan akun on-chain. Peringatan dari kejadian ini bagi pengguna kartu USDT jauh lebih penting daripada sekadar “satu kartu lagi kena hack”.
Narasi inti Gnosis Pay adalah “dana Anda ada di Safe wallet Anda sendiri, penerbit kartu tidak bisa menyentuhnya”. Secara teori ini lebih aman dibanding skema kustodian; tapi konsekuensinya — permukaan serangan berpindah dari “server penerbit kartu” ke “smart contract + izin (authorization) wallet Anda”. Begitu ada exploit pada logika kontrak atau otorisasi, keunggulan self-custody bisa langsung berbalik menjadi kelemahan.
Pengguna mana yang harus segera memperhatikan?
- Pengguna kartu self-custody / jenis penandatanganan on-chain apa pun: termasuk produk seperti OneKey Card, Ledger Crypto Life yang menjadikan hardware wallet atau akun on-chain sebagai sumber dananya. Insiden ini tidak berdampak langsung pada mereka, tapi risiko arsitektur sejenis ini layak membuat Anda memeriksa ulang catatan izin kontrak (approval) Anda.
- Pengguna kartu USDT berbasis kustodian: seperti Bybit Card, MPCard, skema di mana dana dikelola oleh penerbit kartu/exchange, insiden ini tidak memberikan dampak teknis langsung — Anda tidak memegang izin apa pun yang terkait Gnosis.
Ekspektasi 7 / 30 / 90 hari: dalam 7 hari, perhatikan apakah Gnosis mengumumkan jumlah dana yang dicuri dan detail ganti rugi; dalam 30 hari adalah jendela krusial realisasi ganti rugi (“janji ganti rugi” dan “sudah diganti rugi” secara historis sering diremehkan jaraknya); dalam 90 hari, amati apakah Gnosis Pay menerbitkan laporan audit pasca-insiden.
Perbandingan Historis: Janji Ganti Rugi ≠ Sudah Diganti Rugi
Membandingkan insiden ini dengan dua kasus lama akan membuatnya lebih jelas.
Maret 2023, USDC sempat depeg ke sekitar 0,87 akibat risiko Silicon Valley Bank, saat itu Circle segera berjanji “penukaran penuh”, dan menepatinya setelah gejolak perbankan reda — itu adalah janji dengan transparansi cadangan dan mekanisme yang jelas. Sementara janji Gnosis kali ini tidak disertai pengungkapan jumlah dan mekanisme, dan inilah perbedaan paling krusial: ketika sebuah perusahaan mengatakan “kami akan menanggung seluruh kerugian” tanpa menyebutkan berapa banyak, menggunakan dana apa, dan kapan akan cair, kredibilitas janji tersebut hanya bisa diverifikasi lewat eksekusinya.
Perbandingan lain adalah kasus-kasus “ganti rugi dari treasury governance” pada sejumlah protokol DeFi yang diretas pada 2024 — sebagian besar di antaranya akhirnya hanya menyelesaikan ganti rugi sebagian, atau membayar dengan token alih-alih aset asli. Persamaannya: sama-sama produk on-chain, sama-sama ada janji ganti rugi terbuka. Perbedaannya: Gnosis Pay terikat langsung dengan sistem pembayaran dunia nyata (jaringan Visa), basis penggunanya banyak yang menjadikannya kartu belanja sehari-hari dan bukan pengguna DeFi native, sehingga toleransi mereka terhadap “risiko on-chain” jauh lebih rendah dibanding para pemain DeFi.
Perspektif Regulasi dan Kepatuhan: Batas Regulasi Uni Eropa Semakin Ketat
Gnosis Pay terutama menyasar pasar Eropa, beroperasi di bawah kerangka regulasi MiCAR dan EMI (Electronic Money Institution). Insiden semacam ini justru menyentuh titik paling sensitif dari regulasi: hibrida antara dana self-custody dan jaringan pembayaran yang diregulasi, saat ini masih berada di area abu-abu di mana aturannya belum sepenuhnya jelas di Uni Eropa. Kartu itu sendiri (Visa) terikat oleh lisensi EMI, tapi tanggung jawab keamanan atas akun on-chain yang mendasarinya, dalam kerangka yang berlaku saat ini, belum jelas.
Pembaca yang ingin memahami batas kepatuhan di sisi Uni Eropa dapat merujuk pada Panduan Kepatuhan Uni Eropa kami. Singkatnya: di bawah MiCAR, penerbit kartu memiliki kewajiban yang jelas pada tahap pembayaran, tetapi untuk skenario “dana on-chain self-custody milik pengguna yang diserang”, tanggung jawab ganti rugi saat ini lebih banyak bergantung pada komitmen sukarela penerbit kartu, bukan kewajiban hukum yang mengikat — inilah alasan mengapa “janji” Gnosis begitu penting, sekaligus begitu perlu diawasi.
Titik-Titik Kunci yang Layak Diamati Selanjutnya
- Pengungkapan jumlah dana yang dicuri: apakah Gnosis akan memberikan angka pasti dalam seminggu. Semakin lama angka ini tidak diumumkan, semakin patut diwaspadai.
- Mekanisme ganti rugi: menggunakan aset asli atau token GNO? Bertahap atau sekaligus? Ini menentukan berapa banyak yang benar-benar akan diterima kembali oleh pengguna.
- Audit pasca-insiden: apakah akan menyewa perusahaan keamanan pihak ketiga untuk menerbitkan laporan, dan mengungkapkan root cause secara terbuka.
- Reaksi regulator Uni Eropa: apakah ada regulator EMI yang mengirim surat atau permintaan klarifikasi terkait insiden ini — ini akan menjadi indikator arah untuk produk sejenis.
Saran Editor
- Pengguna Gnosis Pay saat ini: sebelum detail ganti rugi diumumkan, sebaiknya pindahkan saldo di wallet on-chain yang melebihi kebutuhan belanja jangka pendek, dan periksa serta cabut izin kontrak (approval) yang tidak diperlukan. Jangan mempertahankan saldo tinggi hanya karena ada “janji ganti rugi penuh”.
- Pengguna kartu berbasis on-chain seperti OneKey Card, Ledger Crypto Life: insiden ini tidak berdampak pada Anda, tapi ini momen yang tepat untuk memeriksa ulang izin kontrak Anda.
- Pengguna kartu USDT berbasis kustodian: tidak perlu tindakan apa pun. Jika Anda sedang mempertimbangkan jalur self-custody vs kustodian dari sisi keamanan, Anda bisa membandingkan trade-off berbagai arsitektur di 5 Kartu Pilihan Utama 2026.
- Pengguna yang berencana mendaftar Gnosis Pay baru: sebaiknya tunda dulu selama 30 hari, tunggu realisasi ganti rugi dan laporan audit sebelum memutuskan untuk bergabung.
Satu kalimat penutup: kartu on-chain menjadikan “keamanan” sebagai nilai jual, tapi keamanan adalah proses yang harus terus-menerus dibuktikan, bukan sekadar slogan. Janji ganti rugi adalah hal baik, tapi realisasi ganti rugi adalah jawaban sebenarnya.