Hakerzy stojący za wyciekiem danych klientów Revolut zażądali 6000 Monero, o wartości około 3 milionów dolarów, grożąc sprzedażą skradzionych danych, jeśli bank nie zapłaci w ciągu 24 godzin.
Podsumowanie
- Hakerzy zażądali od Revolut 6000 XMR, o wartości około 3 milionów dolarów.
- Co najmniej 680 kont klientów zostało dotkniętych po tym, jak fałszywe wnioski rządowe przeszły kontrole firmy.
- Skradzione dane podobno obejmują dokumenty tożsamości, zdjęcia weryfikacyjne i pełną historię transakcji.
- Napastnicy twierdzą, że analiza blockchain pomogła im zidentyfikować klientów posiadających duże zasoby kryptowalut.
Jak hakerzy Revolut ustalili 24-godzinny termin
Financial Times poinformował, że grupa nazywająca się „iamnotavillain” opublikowała żądanie okupu w środę wraz z zegarem odliczającym czas. Hakerzy stwierdzili, że Revolut ma 24 godziny na przesłanie 6000 XMR, zanim zaoferują dane klientów innym grupom przestępczym.
Przy domniemanej wartości około 500 dolarów za token, żądanie opiewa na około 3 miliony dolarów. Grupa wybrała Monero, ponieważ ta kryptowaluta jest zaprojektowana do ukrywania informacji o nadawcy, odbiorcy i kwocie transakcji.
Według FT, do czasu publikacji raportu nie doszło do żadnych negocjacji między Revolut a hakerami. Revolut nie powiedział, czy planuje odpowiedzieć na żądanie, ani nie potwierdził, że grupa kontroluje skradzione informacje.
Hakerzy dostarczyli gazecie 60-sekundowe nagranie ekranu, które wydawało się pokazywać część materiałów będących w ich posiadaniu. Według raportu w nagraniu pojawiły się paszporty, prawa jazdy, zdjęcia przesłane podczas weryfikacji klienta oraz historie transakcji klientów.
Co najmniej 680 kont zostało dotkniętych, chociaż Revolut publicznie opisał tę liczbę jedynie jako „bardzo ograniczoną” część swojej bazy klientów. Wcześniejszy raport crypto.news wykazał, że brytyjski Information Commissioner’s Office wszczął dochodzenie po tym, jak firma zgłosiła incydent regulatorom.
Revolut oświadczył, że jego własne systemy i środki klientów nie zostały naruszone. Zamiast tego ujawnienie nastąpiło po tym, jak firma otrzymała fałszywe wnioski za pośrednictwem konta e-mail wykorzystującego domenę legalnej agencji rządowej.
Fałszywe wnioski rządowe ujawniły dane klientów Revolut
Zamiast bezpośrednio włamać się do infrastruktury Revolut, napastnicy podszyli się pod urzędników rządowych poszukujących informacji o klientach. Wnioski zawierały ważne poświadczenia uwierzytelniania domeny i przeszły kontrole stosowane przez Revolut do oceny ich legalności.
Jak szczegółowo opisano w początkowym artykule, ujawnione informacje obejmowały pełne imiona i nazwiska, daty urodzenia, zawody, adresy domowe, adresy e-mail i numery telefonów. Kopie paszportów lub praw jazdy oraz selfie dostarczone do weryfikacji tożsamości również znalazły się na liście ujawnionych danych.
Dane konta obejmowały międzynarodowe numery rachunków bankowych, daty otwarcia konta, status konta, historię wypłat i pełne historie transakcji. Niektóre wyciągi kont zawierały również numery referencyjne portfeli Bitcoin i zapisy transakcji Bitcoin.
Powiadomienie dla klientów Revolut odróżniło zdjęcia weryfikacyjne tożsamości od biometrycznych danych telemetrycznych twarzy, które według firmy nie były częścią ujawnienia. W powiadomieniu nie wymieniono również kluczy prywatnych, haseł, kodów bezpieczeństwa ani pełnych danych kart płatniczych wśród ujawnionych informacji.
Wcześniejsze oświadczenie firmy określiło incydent jako „wyrafinowane oszustwo polegające na podszywaniu się pod podmiot zewnętrzny” i utrzymywało, że systemy Revolut pozostały bezpieczne. Firma nie ujawniła publicznie, która agencja rządowa miała wykorzystaną domenę e-mail, ani nie wyjaśniła, w jaki sposób napastnicy uzyskali dostęp do konta działającego za pośrednictwem tej domeny.
Analiza blockchain podobno zidentyfikowała cele bogate w kryptowaluty
Hakerzy powiedzieli FT, że użyli analizy blockchain do wybrania klientów Revolut, którzy wydawali się posiadać znaczne ilości kryptowalut. Ich relacja, jeśli jest dokładna, wskazywałaby, że dotknięta grupa została wybrana częściowo na podstawie jej aktywności finansowej, a nie losowego zbioru profili klientów.
Analityk on-chain ZachXBT powiedział wcześniej, że incydent wydawał się dotyczyć użytkowników o wysokiej wartości netto, choć Revolut nie potwierdził tej oceny. Najnowsze oświadczenie hakerów przedstawia podobny opis ich metody typowania celów, ale nie zostało ono niezależnie zweryfikowane.
Publiczne łańcuchy bloków mogą ujawniać historię transakcji, salda portfeli i przelewy między adresami. Analitycy mogą czasami powiązać tę aktywność ze zidentyfikowaną osobą, gdy giełda, firma finansowa lub inna usługa posiada zapisy łączące konto klienta z adresem w łańcuchu bloków.
Sierpniowy przegląd prywatnych kryptowalut wyjaśnił, że Monero czyni prywatność transakcji obowiązkową. Jego sygnatury pierścieniowe ukrywają prawdziwego nadawcę wśród grupy możliwych uczestników, adresy ukryte ukrywają publiczny adres odbiorcy, a Poufne Transakcje Pierścieniowe ukrywają wysyłaną kwotę.
Przestępcze wykorzystanie XMR nie dowodzi, że token lub wszyscy jego użytkownicy są zaangażowani w nielegalną działalność. Monero służy również osobom poszukującym prywatności finansowej, ale jego konstrukcja może sprawić, że nielegalne ścieżki płatności będą trudniejsze do prześledzenia dla śledczych niż aktywność prowadzona w przejrzystych sieciach, takich jak Bitcoin czy Ethereum.
Odrębny sierpniowy przypadek pokazał to samo wyzwanie, gdy śledczy stwierdzili, że aktywa z zgłoszonego ataku hakerskiego na Coinsbuy o wartości 7,9 miliona dolarów zostały zamienione na Monero. Firmy zajmujące się łańcuchami bloków śledziły części tych środków przez kilka giełd, zanim niektóre aktywa zostały podobno wymienione na XMR.
Co naruszenie oznacza dla amerykańskich klientów kryptowalut
Raport FT nie określił, czy którekolwiek z 680 dotkniętych kont należało do amerykańskich klientów. Niemniej jednak połączenie zweryfikowanych danych tożsamości i danych transakcji kryptowalutowych stwarza istotne ryzyko dla Amerykanów, którzy otrzymują wiadomości rzekomo pochodzące od Revolut, giełdy, agencji rządowej lub dostawcy portfela.
Takie zapisy mogą pozwolić przestępcom na tworzenie wiadomości zawierających prawdziwe imię i nazwisko, transakcję, szczegóły konta lub dokument tożsamości. Obecność dokładnych danych osobowych nie dowodzi, że dzwoniący lub nadawca reprezentuje bank.
Dla Amerykanów, których dane osobowe lub bankowe zostały ujawnione, Federalna Komisja Handlu kieruje konsumentów do IdentityTheft.gov po kroki oparte na rodzaju danych, których to dotyczy. Agencja zaleca również użytkownikom zgłaszanie prób phishingu za pośrednictwem ReportFraud.ftc.gov.
Centrum Skarg na Przestępstwa Internetowe FBI prosi osoby zgłaszające oszustwa związane z kryptowalutami o podanie adresów portfeli, kwot transakcji, rodzajów aktywów, hashy transakcji oraz dat i godzin przelewów, jeśli są dostępne.
