Revolut помилково прийняв фальшивий запит "держоргану" і розкрив клієнтські дані про Bitcoin

За даними CoinDesk, Revolut повідомив частині клієнтів, що раніше отримав лист із проханням надати інформацію, який виглядав як запит від державної установи. Оскільки повідомлення було надіслане з офіційного домену відомства та пройшло перевірку домену, компанія розцінила його як справжнє й передала дані зловмисникам. У витоку опинився великий масив інформації, зокрема записи про Bitcoin. Йдеться про персональні дані (ім'я, дата народження, професія), контактні дані (адреса, електронна пошта, номер телефону), а також документи, які деякі користувачі надавали для верифікації: копії паспорта або водійського посвідчення та селфі-фото. Для власників криптоактивів найчутливішою частиною витоку стали фінансові та ончейн-дані. Серед розкритого — виписки за рахунками з IBAN і референсними номерами гаманців, записи про виведення коштів, повні історії операцій із деталями транзакцій Bitcoin. Revolut заявив, що телеметричні дані біометрії обличчя не постраждали. Компанія також наголосила, що її системи та кошти клієнтів не були порушені. Іноземним медіа в Revolut підтвердили, що інцидент був "складною схемою зовнішнього шахрайства з видаванням себе за іншу сторону": зловмисники надсилали фальшиві запити, використовуючи легітимні поштові адреси доменів держустанов, аби отримати інформацію про клієнтів. У компанії зазначили, що кількість постраждалих користувачів була "обмеженою". Після виявлення інциденту Revolut заблокував пов'язані e-mail адреси та повідомив установи, від імені яких діяли шахраї, а також правоохоронні та наглядові органи. Точну кількість постраждалих і назву установи, домен якої було скомпрометовано, Revolut не розкрив. Можливе націлення на заможних клієнтів Ончейн-дослідник ZachXBT припустив, що інцидент більше схожий на цілеспрямовану кампанію проти людей із високим статком. Через поєднання детальних ідентифікаційних даних і повних історій транзакцій Bitcoin зросли побоювання щодо ризику так званих "wrench attacks" — загроз у реальному світі, коли власників змушують віддати активи після розкриття їхньої особи. Інцидент у Revolut стався на тлі низки проблем із безпекою даних у криптоіндустрії. Нещодавно виробник апаратних гаманців Trezor розширив повідомлення про витік клієнтських даних через інцидент у підрядника, який обслуговував службу підтримки. Соціальну платформу X також підозрювали в витоку, що спричинило масові скидання паролів. У підсумку, витік у Revolut охопив копії документів, селфі для верифікації та повні історії транзакцій Bitcoin. Компанія наполягає, що масштаб інциденту обмежений, але без конкретних цифр, і повторює: внутрішні системи та кошти клієнтів не постраждали. Додаткова інформація: цього року Revolut запустив прив'язаний до євро стейблкоїн EURR і зараз оцінює план виходу на IPO.