Revolut 誤信偽造政府機構要求，洩露比特幣紀錄

Revolut 在依據一項看似來自政府機構的詐騙請求採取行動後，披露了客戶身分與財務紀錄，包括比特幣交易歷史。

根據鏈上調查員 ZachXBT 在 Telegram 上分享的一份 Revolut 客戶通知，該請求來自一個未經授權、使用了某個官方政府機構網域的電子郵件帳戶。該郵件通過了網域驗證檢查，而 Revolut 表示，其在提供資訊時相信該請求是真實的。

該通知未指名該機構，也未說明該未經授權的寄件者是如何取得其電子郵件網域的存取權限。通知中也未提供該請求或披露的日期。ZachXBT 表示，有多名客戶在 9 月 11 日星期五收到警示電子郵件，但無論是他本人，或是其貼文中顯示的通知部分，都未提供受影響用戶的已確認數量。

這項假請求如何送達 Revolut

在其對該事件的說明中，Revolut 表示，該電子郵件看似一項合法的政府請求，因為它帶有有效的網域驗證憑證。該請求是直接從一個未經授權、使用該機構官方電子郵件網域的帳戶寄出，而非來自一個刻意模仿該網域的地址。

「由於該通訊帶有有效的網域驗證憑證，因此是在合理相信其為真實政府機構請求的情況下予以履行，」該通知寫道。

這段措辭描述的是在回應一項欺騙性請求時所作出的未經授權披露。該通知並未表示有入侵者進入 Revolut 的系統、存取客戶帳戶或提取資金。通知未指明寄出該請求的人，也未說明該機構是否已調查其電子郵件帳戶被使用一事。

ZachXBT 形容這起事件的規模可能有限，並表示它似乎針對高淨值用戶。如截圖所示，Revolut 的通知並未確認受影響群體的規模，也未確認這些客戶是如何被選中的。

Revolut 表示其披露了什麼

該請求也導致了身分證件副本的披露，例如護照或駕照，以及客戶為身分查核所提供的自拍照。Revolut 區分了這些影像與生物特徵臉部遙測資料，並表示後者並未涉及。

帳戶對帳單構成了被披露資料的另一部分。根據該通知，這些對帳單包括 IBAN、帳戶狀態、開戶日期，以及比特幣錢包參考編號。提款紀錄與完整交易歷史，包括比特幣交易，也一併被提供。

該通知列出了可能已被披露的資訊類別；它並未確認每一位受影響客戶的檔案中都有每一種類型的紀錄。通知也未說明錢包私鑰、帳戶密碼或完整支付卡資料是否包含在內。比特幣交易歷史對加密貨幣用戶尤其相關，因為該通知將其與姓名及其他帳戶紀錄並列於發送給未經授權請求者的資訊中。

根據一份八月的公司公告，Revolut 在全球服務超過 8,000 萬名客戶。該客戶數字描述的是其業務規模，而非本次披露事件受影響的人數。

這些記錄對受影響客戶可能意味著什麼

英國資訊專員辦公室表示，個人資料外洩可能造成的後果包括身分盜竊、詐欺和財務損失。其外洩指南要求評估所涉資訊以及對個人可能造成的傷害；但這並不確立任何人在 Revolut 事件中已遭受這些後果。

對於身分證件和交易記錄均被披露的客戶，該通知表明接收者可能已獲得該人財務的詳細記錄。ZachXBT 關於富裕用戶成為目標的說法，在所示材料中並未得到 Revolut 的確認，且其中也沒有記錄這些記錄後續被濫用的情況。

監管機構的指南還表示，組織必須在可行情況下，於知悉某些個人資料外洩後的 72 小時內報告，並在對個人權利和自由構成高風險時，及時通知個人。該截圖並未說明 Revolut 是否已通知監管機構，或該公司首次獲悉該未經授權請求的時間。

在其美國安全指南中，Revolut 告訴客戶使用應用程式內支援聊天來核實可疑聯繫是否真實。該公司表示，不會要求客戶透過電話分享驗證碼或安全碼。ZachXBT 展示的客戶通知並未報告此類代碼被披露。

Revolut 的美國與加密業務

該事件發生之際，Revolut 正在擴展其銀行和數位資產服務。8 月 26 日，該公司開始向丹麥、波蘭和葡萄牙的選定客戶提供其歐元支持的 EURR 穩定幣，並計劃在歐洲進一步推出，正如crypto.news 先前報導的那樣。穩定幣的推出與客戶記錄披露是分開的。

Revolut 的美國計劃為美國讀者提供了背景，儘管該通知並未指明任何受影響客戶位於美國。9 月 3 日，該公司獲得了美國貨幣監理署對美國銀行的有條件批准。其擬議位於康乃狄克州史丹佛的銀行將獲得約 9,500 萬美元的初始資本，如果獲得剩餘批准，可能在 2027 年開業。

根據先前的報導，目前 Revolut 透過 Lead Bank 提供美國客戶銀行服務。擬議的國家銀行仍需獲得聯邦存款保險公司的存款保險、聯準會的批准以及 OCC 的最終授權才能開業。