Revolut疑因伪造公函泄露高净值信息

链上调查者ZachXBT在个人频道称，Revolut疑似未识别一份欺诈性请求，导致部分用户个人身份信息外流。请求被描述为看似来自真实政府机构、经由该机构官方邮箱域名发出，并带有有效域名认证，公司据此响应。多名用户已于前一日收到安全事件通知。公司官方提醒称遇可疑信息应通过应用内客服核实；通知还称生物识别面部遥测数据未泄露。

据其列举，可能被调出的材料包括护照或驾照复印件及核验自拍、账户对账单、IBAN、提现记录、含比特币交易在内的完整交易历史，以及姓名、出生日期、职业、家庭住址、邮箱和电话。规模被说成可能有限，但画像指向高净值客户。调查者本人以追踪加密盗窃与欺诈闻名，此次通报走的是频道而非交易所公告。

这与今年早些时候的另一组传言不是同一事件。7月有黑客声称出售约7500万条Revolut记录，样本含部分卡号、邮箱、电话与哈希凭证；Cybernews未能核实体量，公司当时表示未见入侵迹象，并称样本中的用户与卡标识对不上真实系统。此次通报的核心不是暗网打包叫卖，而是合规通道被一份带域名认证的公函走通。

对高净值持币用户，护照加自拍加完整链上提现记录构成可拼接的身份包：足以支撑定向钓鱼、开户冒用与勒索话术。IBAN与对账单把法币轨道和比特币进出账钉在同一人身上。面部遥测未出库只收窄了活体检测被直接复制的一层，并不降低证件复印件的二次使用风险。

市场机制是合规调取被伪造请求占用。买盘是要完整KYC档案的定向攻击者；卖盘不是暗网摊位，而是金融机构必须响应的政府函件通道。资金尚未表现为可统计的盗币总额，而表现为后续诈骗与账户接管的预备。受益方是能把事件写成安全产品案例的调查者和监控商；承压方是必须在反洗钱调取时限内判断公函真伪的持牌电子银行。事件驱动是调查者频道与用户邮件，公司尚未发出对等的详细事故报告。

域名认证通过，不等于发件人是政府。高净值档案一旦按公函整包寄出，损失不在服务器被攻破，而在审批被骗过。

来源：公开信息