Revolut疑因僞造公函泄露高淨值信息

鏈上調查者ZachXBT在個人頻道稱，Revolut疑似未識別一份欺詐性請求，導致部分用戶個人身份信息外流。請求被描述爲看似來自真實政府機構、經由該機構官方郵箱域名發出，並帶有有效域名認證，公司據此響應。多名用戶已於前一日收到安全事件通知。公司官方提醒稱遇可疑信息應通過應用內客服覈實；通知還稱生物識別面部遙測數據未泄露。

據其列舉，可能被調出的材料包括護照或駕照複印件及覈驗自拍、賬戶對賬單、IBAN、提現記錄、含比特幣交易在內的完整交易歷史，以及姓名、出生日期、職業、家庭住址、郵箱和電話。規模被說成可能有限，但畫像指向高淨值客戶。調查者本人以追蹤加密盜竊與欺詐聞名，此次通報走的是頻道而非交易所公告。

這與今年早些時候的另一組傳言不是同一事件。7月有黑客聲稱出售約7500萬條Revolut記錄，樣本含部分卡號、郵箱、電話與哈希憑證；Cybernews未能覈實體量，公司當時表示未見入侵跡象，並稱樣本中的用戶與卡標識對不上真實系統。此次通報的核心不是暗網打包叫賣，而是合規通道被一份帶域名認證的公函走通。

對高淨值持幣用戶，護照加自拍加完整鏈上提現記錄構成可拼接的身份包：足以支撐定向釣魚、開戶冒用與勒索話術。IBAN與對賬單把法幣軌道和比特幣進出賬釘在同一人身上。面部遙測未出庫只收窄了活體檢測被直接複製的一層，並不降低證件複印件的二次使用風險。

市場機制是合規調取被僞造請求佔用。買盤是要完整KYC檔案的定向攻擊者；賣盤不是暗網攤位，而是金融機構必須響應的政府函件通道。資金尚未表現爲可統計的盜幣總額，而表現爲後續詐騙與賬戶接管的預備。受益方是能把事件寫成安全產品案例的調查者和監控商；承壓方是必須在反洗錢調取時限內判斷公函真僞的持牌電子銀行。事件驅動是調查者頻道與用戶郵件，公司尚未發出對等的詳細事故報告。

域名認證通過，不等於發件人是政府。高淨值檔案一旦按公函整包寄出，損失不在服務器被攻破，而在審批被騙過。

來源：公開信息