Revolut在虚假机构请求后暴露了比特币记录

区块链文库报道：

Revolut 因伪造政府机构请求泄露客户身份及财务记录

数字银行 Revolut 披露了部分客户的身份信息及财务记录，其中包括比特币交易历史。此次数据泄露源于该公司处理了一封看似来自政府机构的欺诈性请求。

事件概要

Revolut 表示，一名未经授权的发件人使用了官方政府机构的电子邮件域名发送请求。被披露的记录包括身份证明文件、用于验证的自拍照以及完整的交易历史记录。在发给客户的通知中，账户对账单上列出了比特币钱包参考编号。

链上调查员 ZachXBT 指出，该事件的影响范围似乎有限，且可能主要针对高净值用户。

攻击手法与核实过程

根据由 ZachXBT 在 Telegram 上分享的 Revolut 客户通知，该请求源自一个使用官方政府机构域名的非授权邮箱账号。该消息通过了域名认证检查，Revolut 称其在提供信息时认为该请求是真实的。

通知中并未指明涉及的具体机构，也未说明未经授权的发件人是如何获取其邮箱域名的访问权限的。此外，通知未提及请求或披露的具体日期。ZachXBT 表示，多名客户于 9 月 11 日（星期五）收到了警报邮件，但他及其帖子中显示的通知部分均未给出受影响用户的确认数量。

在 Revolut 对事件的描述中，由于该邮件携带有效的域名认证凭证，看起来像是合法的政府请求。该请求直接从使用该机构官方电子邮件域名的非授权账号发出，而非伪装成类似地址的虚假邮箱。

“鉴于通信携带有效的域名认证凭证，公司在合理相信其为真实政府机构请求的情况下履行了该要求。”通知中写道。

这种措辞描述的是对欺骗性请求做出的未经授权的数据披露。通知明确指出，入侵者并未进入 Revolut 的系统，未访问客户账户，也未提取资金。通知未识别发件人身份，也未说明相关机构是否已对其邮箱账户被滥用的情况进行调查。

被披露的信息详情

Revolut 列出，提供的身份信息包括客户的全名、出生日期和职业。联系信息涵盖邮政地址、电子邮件地址和电话号码。

该请求还导致复制的身份证明文件（如护照或驾照）以及客户为身份验证提供的自拍照被泄露。Revolut 将这些图像与其所称未涉及的生物特征面部遥测数据进行了区分。

账户对账单构成了另一部分被披露的材料。根据通知，对账单包含 IBAN（国际银行账户号码）、账户状态、开户日期以及比特币钱包参考编号。提现记录和完整的交易历史记录（包括比特币交易）也被提供。

通知列出了可能被披露的信息类别，但并未确立每位受影响客户都拥有所有类型的记录。同时，通知也未说明钱包私钥、账户密码或完整的银行卡详情是否包含在内。比特币交易历史对加密用户尤为关键，因为通知表明，这些记录与姓名及其他账户记录一同被发送给了未经授权的接收方。

据 Revolut 8 月份的公告，其在全球拥有超过 8000 万客户。这一数字反映的是其业务规模，而非本次泄露事件中受影响的用户数量。

对受影响客户的潜在影响

英国信息专员办公室（ICO）表示，个人数据泄露的可能后果包括身份盗窃、欺诈和经济损失。其泄露指南要求进行涉及信息的评估以及对个人可能遭受的伤害分析；但该指南并未确立任何人在此次 Revolut 事件中已遭受此类后果。

对于身份文件和交易记录均被泄露的客户而言，通知表明接收方可能获得了该人士财务状况的详细概况。ZachXBT 关于富裕用户成为目标的说法未在 Revolut 展示的材料中得到证实，其中也未记录后续对该数据的滥用情况。

监管机构的指南还规定，组织在可行情况下必须在知悉某些个人数据泄露后的 72 小时内报告，并在对个人权利和自由构成高风险时无需不当延迟地通知个人。截图并未说明 Revolut 是否已通知监管机构，也未说明公司何时首次得知该未经授权的请求。

在其美国安全指南中，Revolut 告知客户使用应用内支持聊天功能来核实可疑联系人是否真实。公司表示，不会通过电话要求客户共享验证或安全代码。ZachXBT 展示的客户通知中未报告此类代码被泄露的情况。

Revolut 的美国业务与加密货币运营

此次事件发生在 Revolut 扩展其银行和数字资产服务期间。据报道，8 月 26 日，该公司开始向丹麦、波兰和葡萄牙的部分客户提供其锚定欧元的稳定币 EURR，并计划进一步在欧洲范围内推广。稳定币的推出与客户记录泄露事件无关。

虽然通知中未将任何受影响客户标识为位于美国，但 Revolut 的美国计划为美国读者提供了背景信息。9 月 3 日，该公司获得了美国货币监理署（OCC）对其美国银行的有条件批准。其提议的康涅狄格州斯坦福银行将获得约 9500 万美元的初始资本，若获得剩余批准，预计将于 2027 年开业。

目前，据早期报道，Revolut 通过 Lead Bank 为客户提供美国银行业务服务。这家拟议中的全国性银行在正式开业前，仍需获得联邦存款保险公司（FDIC）的存款保险、美联储的批准以及 OCC 的最终授权。