Revolut 因虚假政府请求交出客户护照与 Bitcoin 记录，你是否受影响？

有人冒充政府机构，在没有破解任何一行代码的情况下，欺骗 Revolut 交出了客户护照、Bitcoin 记录和完整的账户历史。如果您在 Revolut 持有加密货币，以下是攻击者现在掌握的信息……

总部位于伦敦的数字银行 Revolut 在全球拥有超过 6000 万客户，其向一名冒充政府机构的人员提供了一批客户文件。该请求来自一个看起来很官方的电子邮件域名，Revolut 的合规团队将其视为真实请求并发布了记录。链上调查员 ZachXBT 披露了这一事件，Revolut 已向数据泄露的客户发送了安全通知。

银行系统并未遭到破坏，因此没有客户资金被洗白。失败之处在于对请求真实性的核查，这与入侵是不同的问题，而且在某些方面更难解决。泄露的数据集包括 Bitcoin (CRYPTO:BTC) 交易历史，以及政府身份证件和完整的账户记录，这正是专业网络钓鱼者梦寐以求的素材。那么，谁在名单上，你又该如何知道呢？

Revolut 遵从了伪造的政府请求

Revolut 收到了一份自称为合法政府调取客户记录的要求，Revolut 团队将其视为真实并予以回应。伪造域名是指旨在模仿真实机构地址以通过人工检查的域名，发送者正是使用了这种域名。发送请求的人知道执法部门要求提供账户数据时银行所期望的格式，并且知道具体要询问哪些客户。

寄出的文件几乎涵盖了银行持有的关于客户的所有信息。护照和驾照、KYC 自拍、账户对账单、IBAN、取款记录以及 Bitcoin 交易历史都在回应中被发出了。KYC（即“了解您的客户”）是受监管银行在注册时运行并存储在账户生命周期内的身份核查，这就是为什么文件中的自拍与同名护照的照片页相匹配的原因。

失败的原因是对发送者的身份验证。Revolut 的系统并未被攻破。一个人工流程（或部分自动化流程）判定该请求是真实的并发布了记录。这比修复软件漏洞更难，因为它取决于员工在法律请求压力下如何核实交易对方，而处理政府要求的每家大银行都以某种形式面临同样的问题。

Revolut 被诱骗泄露客户数据

Revolut 提交的是一套文件集，是银行为回应看似正常的法律请求而发送的。攻击者从未动过余额，也从未持有登录凭据。Revolut 提交的是一套文件集，是银行本身为回应看似正常的法律请求而发送的。

包含客户姓名、家庭住址、证件照片、银行流水和 Bitcoin 历史记录的文件是极具说服力的网络钓鱼攻击的原始素材。网络钓鱼是指经过设计的、看起来像是来自你信任的人的消息，以便攻击者获取密码、双因素代码或签名的加密货币交易。

Bitcoin 交易历史比银行对账单更危险，因为链上的代币仍然在那里，而且仍然属于你。一条引用了你最后一次链上提现、到账地址和确切金额的消息，读起来就像来自你的交易所，那些永远不会点击普通诈骗链接的读者可能会点击这个。当攻击者同时知道家庭住址和大致的钱包规模时，人身风险也会增加。