CoinDesk
A Revolut revelou no sábado que um pedido feito através de um falso e-mail governamental passou pelos seus controlos internos de segurança no final de sexta-feira, levando o banco digital a entregar um vasto conjunto de documentos de identificação dos clientes, incluindo passaportes, cartas de condução, selfies de verificação, moradas e históricos completos de transações que incluíam atividade em bitcoin. O pedido incluía credenciais que passaram pelas verificações da Revolut, e o banco só descobriu a fraude depois de contactar separadamente a entidade que alegadamente o tinha enviado. Não foram perdidos fundos de clientes, mas o banco não revelou quantos utilizadores foram afetados, e o investigador onchain ZachXBT sugeriu que a violação poderá ter tido como alvo clientes de elevado património.
Porque é importante
A exposição revela precisamente os campos que os programas KYC foram concebidos para recolher, e a violação transforma esses dados de conformidade na superfície de ataque. A personificação assistida por IA está a tornar barata a produção em grande escala de e-mails governamentais, documentos e pedidos burocráticos convincentes, enquanto as empresas financeiras continuam a armazenar registos cada vez mais detalhados sobre quem são os seus clientes, onde vivem e como movimentam dinheiro. Uma vez exfiltrado, esse registo não pode ser recuperado nem substituído.
Impacto no mercado
O Bitcoin torna esta ligação especialmente perigosa. As transações na blockchain são públicas, mas a identidade permanece fora da rede até que um intermediário a associe às transações. Um ficheiro KYC divulgado associa, na prática, uma pessoa real à sua atividade onchain, dando aos atacantes uma lista de alvos pronta a usar para phishing, engenharia social ou extorsão. O incidente também dá aos sistemas de provas de conhecimento zero um caso de utilização mais concreto. As instituições poderiam verificar que um cliente cumpre um requisito sem nunca deter os dados subjacentes do passaporte, da morada ou das transações que acabaram de sair da Revolut.
Perguntas frequentes
-
Como conseguiu um e-mail governamental falso passar pelas verificações de segurança da Revolut?
O pedido fraudulento incluía credenciais que pareciam legítimas e passaram pelas verificações internas do banco, pelo que a Revolut entregou os dados dos clientes antes de contactar separadamente a entidade e descobrir que o pedido era falso.
-
Que dados dos clientes foram expostos na violação da Revolut?
Entre os campos expostos estavam passaportes ou cartas de condução, selfies de verificação, nomes, datas de nascimento, profissões, moradas de residência, e-mails, números de telefone, IBANs, extratos de conta e históricos completos de transações, incluindo atividade em bitcoin.
-
Os fundos dos clientes foram afetados pela violação da Revolut?
Não. A Revolut afirmou que os fundos dos clientes permaneceram seguros, embora o banco não tenha revelado quantos utilizadores tiveram os seus dados de identificação e de transações expostos.
-
Porque é que o histórico de transações em bitcoin é especialmente sensível nesta violação?
As transações na blockchain são públicas, mas a identidade permanece fora da rede até que um intermediário a associe às transações. Um ficheiro KYC divulgado associa, na prática, uma pessoa real à sua atividade onchain.
-
Como reduzem as provas de conhecimento zero o risco deste tipo de violação de KYC?
Os sistemas ZK permitem que uma instituição confirme que um cliente cumpre um requisito sem nunca deter os dados subjacentes do passaporte, da morada ou das transações, reduzindo a superfície de ataque criada pelos dados que acabaram de sair da Revolut.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
CryptoSlate