Revolut 因伪造政府机构请求泄露比特币记录

Revolut 在根据一项看似来自政府机构的欺诈请求采取行动后，披露了客户身份和财务记录，包括比特币交易历史。

根据链上调查员 ZachXBT 在 Telegram 上分享的一份 Revolut 客户通知，该请求来自一个未经授权的电子邮件账户，该账户使用了官方政府机构的域名。该邮件通过了域名认证检查，Revolut 表示，在提供信息时，它认为该请求是真实的。

该通知没有指明该机构，也没有说明未经授权的发件人如何获得其电子邮件域名的访问权限。它也没有给出请求或披露的日期。ZachXBT 表示，多名客户在 9 月 11 日星期五收到了一封警报电子邮件，但他和他帖子中显示的通知部分均未给出受影响用户的确认数量。

虚假请求如何到达 Revolut

在其对事件的描述中，Revolut 表示，该电子邮件看起来像是合法的政府请求，因为它带有有效的域名认证凭证。该请求是直接从一个使用该机构官方电子邮件域名的未经授权账户发送的，而不是来自一个看起来相似的地址。

“由于该通信带有有效的域名认证凭证，因此在合理相信其为真实政府机构请求的情况下予以执行，”该通知称。

该措辞描述了针对欺骗性请求而进行的未经授权披露。通知并未说明入侵者进入了 Revolut 的系统、访问了客户账户或提取了资金。它没有指明发送请求的人，也没有说明该机构是否已调查其电子邮件账户的使用情况。

ZachXBT 称该事件规模可能有限，并表示它似乎针对的是高净值用户。如截图所示，Revolut 的通知既未确认受影响群体的规模，也未确认客户是如何被选中的。

Revolut 称其披露了什么

该请求还导致披露了身份证明文件副本，如护照或驾照，以及客户为身份检查提供的自拍。Revolut 区分了这些图像与生物识别面部遥测数据，并表示后者未涉及。

账户对账单构成了披露材料的另一部分。根据该通知，对账单包括 IBAN、账户状态、开户日期和比特币钱包参考编号。还提供了提款记录和完整交易历史，包括比特币交易。

该通知列出了可能已被披露的信息类别；它并未确定每个受影响客户的档案中都有每种类型的记录。它也没有说明钱包私钥、账户密码或完整支付卡详细信息是否包含在内。比特币交易历史对加密货币用户尤其相关，因为该通知将其与姓名和其他账户记录一起列在发送给未经授权请求者的信息中。

根据一份8 月公司公告，Revolut 在全球服务超过 8000 万客户。该客户数字描述的是其业务规模，而非此次披露受影响的客户数量。

这些记录对受影响客户可能意味着什么

英国信息专员办公室表示，个人数据泄露可能造成的后果包括身份盗窃、欺诈和财务损失。其泄露指南要求评估所涉信息以及对个人可能造成的伤害；该指南并未认定在 Revolut 事件中有人遭受了这些后果。

对于身份文件和交易记录均被泄露的客户而言，该通知表明，接收方可能已获得该人财务状况的详细记录。ZachXBT 关于富裕用户成为目标的说法，在所示材料中并未得到 Revolut 的证实，其中也没有记录这些记录随后被滥用的任何情况。

监管机构的指南还表示，组织在可行的情况下，必须在知悉某些个人数据泄露后的 72 小时内进行报告，并在个人的权利和自由面临高风险时，及时通知个人。该截图并未说明 Revolut 是否已通知监管机构，也未说明该公司首次得知该未经授权请求的时间。

在其美国安全指南中，Revolut 告诉客户使用应用内支持聊天来核实可疑联系是否真实。该公司表示，不会要求客户通过电话分享验证码或安全码。ZachXBT 展示的客户通知并未报告此类验证码被泄露。

Revolut 的美国业务和加密业务

该事件发生之际，Revolut 正在扩展其银行和数字资产服务。据crypto.news 此前报道，8 月 26 日，该公司开始向丹麦、波兰和葡萄牙的选定客户提供其以欧元为支撑的 EURR 稳定币，并计划进一步在欧洲推出。稳定币的推出与客户记录泄露是两回事。

Revolut 的美国计划为美国读者提供了背景信息，尽管该通知并未指明任何受影响客户位于美国。9 月 3 日，该公司获得了美国货币监理署对其美国银行的附条件批准。其拟议中的康涅狄格州斯坦福德银行将获得约 9500 万美元的初始资本，如果获得其余批准，可能在 2027 年开业。

根据早前报道，目前 Revolut 通过 Lead Bank 提供美国客户银行服务。拟议中的国民银行仍需获得联邦存款保险公司的存款保险、美联储的批准以及 OCC 的最终授权，才能开业。