Revolut legte Kundenpässen, Verifizierungs-Selfies und Bitcoin-Transaktionshistorien einem Angreifer offen, der sich als legitime Behörde ausgab, und zwar über eine E-Mail, die jede Standardauthentifizierungsprüfung bestand. Die Offenlegung erfolgte, nachdem Revolut eine betrügerische Behördenauskunft als echt behandelt hatte und die Behörde anschließend separat kontaktierte und feststellte, dass die Anfrage nicht autorisiert war.
Warum es relevant ist
Die betrügerische Anfrage stammte aus einem nicht autorisierten Postfach innerhalb der E-Mail-Infrastruktur einer echten Behörde und nicht von einer gefälschten externen Adresse. Die E-Mail bestand die SPF-, DKIM- und DMARC-Authentifizierung, was Revolut nach eigenen Angaben dazu veranlasste, die Anfrage zu erfüllen. Diese Kombination verwandelte einen Compliance-Workflow, der Kunden schützen soll, effektiv in den Einstiegspunkt für den Datenabfluss.
Die offengelegten Datensätze verknüpfen verifizierte Identität mit Kryptoaktivität, eine Kombination, die Compliance-Rahmenwerke schützen sollen. Bitcoin-Transaktionen werden auf einer öffentlichen Blockchain aufgezeichnet. Einen Namen, eine Adresse und einen Beruf mit bestimmten BTC-Flüssen zu verknüpfen, gibt einem Angreifer einen Ausgangspunkt, um den breiteren Onchain-Fußabdruck einer Person nachzuzeichnen. Marc Zeller, Gründer der Aave Chan Initiative, wurde ebenfalls benachrichtigt und warf Revolut vor, die Arbeit der Angreifer zu erledigen, nachdem das Unternehmen separat von ihm weitere persönliche Informationen verlangt oder seinen Account geschlossen hatte.
Auswirkungen auf den Markt
Es wurden keine gestohlenen Kundengelder gemeldet. Revolut erklärte, die Offenlegung habe keine Passwörter, Karten-PINs oder Krypto-Privatschlüssel enthalten. Das unmittelbare Risiko ist das Paket aus Ausweisdokumenten, Kontaktdaten, Privatadressen und Finanzhistorien, das sich nun möglicherweise in den Händen des Angreifers befindet. Onchain-Ermittler ZachXBT sagte, der Vorfall wirke im Umfang begrenzt und habe sich möglicherweise gegen vermögende Kunden gerichtet. Revolut hat weder die beteiligte Behörde noch die Gesamtzahl der betroffenen Kunden oder eine mögliche Änderung des Verifizierungsprozesses seit dem Vorfall offengelegt.
Häufig gestellte Fragen
-
Wie haben Hacker Revolut dazu gebracht, Kundendaten freizugeben?
Die Angreifer nutzten ein nicht autorisiertes Postfach innerhalb der E-Mail-Infrastruktur einer echten Behörde. Die betrügerische E-Mail bestand die SPF-, DKIM- und DMARC-Authentifizierung, sodass Revolut sie als legitime Behördenauskunft behandelte.
-
Welche konkreten Informationen wurden beim Revolut-Vorfall offengelegt?
Zu den offengelegten Daten können Reisepass- oder Führerscheinkopien, Verifizierungs-Selfies, Namen, Geburtsdaten, Berufe, Privatadressen, Telefonnummern, IBANs, Kontoauszüge, Auszahlungsaufzeichnungen und vollständige Transaktionshistorien einschließlich Bitcoin-Aktivität gehören.
-
Wurden beim Revolut-Vorfall Kundengelder gestohlen?
Nein. Revolut erklärte, dass Passwörter, Karten-PINs und Krypto-Privatschlüssel nicht Teil der Offenlegung waren. Das Risiko ergibt sich aus der Kombination von Ausweisdokumenten und Krypto-Transaktionshistorien, die sich nun möglicherweise in den Händen des Angreifers befinden.
-
Wer war vom Revolut-Datenabfluss betroffen?
Revolut hat weder die beteiligte Behörde, die Gesamtzahl der betroffenen Kunden noch die Vorgehensweise bei der Prüfung der Anfragen offengelegt. Onchain-Ermittler ZachXBT sagte, die Offenlegung wirke im Umfang begrenzt und habe sich möglicherweise gegen vermögende Kunden gerichtet.
-
Warum ist die Offenlegung von Bitcoin-Transaktionshistorien besonders riskant?
Bitcoin-Transaktionen werden auf einer öffentlichen Blockchain aufgezeichnet. Wenn Identitätsdaten mit Kryptoaktivität verknüpft werden, können Angreifer eine bekannte Person bestimmten Adressen zuordnen und ihren breiteren Onchain-Fußabdruck nachverfolgen.
WuBlockchain
CoinDesk
WatcherGuru
CoinTelegraph
Crypto News
Lookonchain
Crypto Rank News