Was ist genau passiert?
Revolut, ein europäisches Fintech-Unternehmen, hat einen Abfluss sensibler Daten bei einem Teil seiner Kunden bestätigt. Laut dem Unternehmen nutzten die Angreifer eine legitime E-Mail-Domain einer staatlichen Behörde, um eine gefälschte Informationsanfrage zu versenden. Revolut stufte die Anfrage als echt ein und gab die Daten heraus.
Auf den Vorfall machte zuerst der On-Chain-Ermittler, der unter dem Namen ZachXBT auftritt, aufmerksam. Revolut bestätigte seine Erkenntnisse anschließend. So viel zu den Fakten, die übereinstimmend über die Quellen hinweg auftauchen (Incrypted, The Block, Decrypt, CryptoSlate).
Welche Daten könnten durchgesickert sein?
Laut den Informationen, die die betroffenen Kunden erhalten haben (und die CryptoSlate und Decrypt zitieren), könnte die Auflistung der herausgegebenen Angaben Folgendes umfassen:
| Kategorie | Konkrete Angaben |
|---|---|
| Ausweisdokumente | Kopie des Reisepasses oder Führerscheins, Verifizierungs-Selfie |
| Persönliche Daten | Name, Geburtsdatum, Beruf, Wohnadresse, Telefon |
| Bankdaten | IBAN, Kontoauszüge |
| Transaktionshistorie | Aufzeichnungen über Abhebungen und komplette Transaktionshistorie einschließlich Bitcoin-Aktivität |
Ein Verifizierungs-Selfie ist ein Foto des Gesichts, das bei der Identitätsprüfung (KYC, also "kenne deinen Kunden") aufgenommen wird und das Banken verwenden, um zu bestätigen, dass sich der tatsächliche Inhaber des Dokuments registriert.
Revolut beschreibt den Umfang laut den Quellen als "begrenzte Anzahl" von Kunden. Die genaue Zahl ist nicht öffentlich bekannt.
Wie funktionierte der Angriff?
Der Kern war kein klassischer Hack der Systeme von Revolut. Laut CryptoSlate kam die Anfrage von einem nicht autorisierten Postfach, das jedoch innerhalb der Domain-Infrastruktur der staatlichen Behörde lief. Mit anderen Worten, die Absenderadresse sah echt aus, weil sie tatsächlich zur Domain der Behörde gehörte.
Das macht aus dem Vorfall eher ein Versagen des Prozesses zur Überprüfung legitimer Anfragen von Behörden als einen Einbruch in die Datenbank. Es handelt sich um einen Angriffstyp, der auf Englisch "fraudulent data request" genannt wird, also eine betrügerische Datenanfrage, die das Vertrauen zwischen Institutionen ausnutzt.
Wer war das Ziel?
ZachXBT spekulierte laut The Block, dass der Angriff auf vermögende Nutzer (high-net-worth) gezielt haben könnte. CryptoSlate spricht in der Überschrift von "wealthy customers". Das ist bislang jedoch eine Hypothese des Ermittlers und keine von Revolut bestätigte Tatsache. Wir bezeichnen es daher als unbestätigt.
Warum ist das bei Kryptowährungen von Bedeutung?
Ein Abfluss des Geldes selbst fand nicht statt. Das Problem ist die Kombination der Daten. Wenn jemand gleichzeitig ein Ausweisdokument, die Wohnadresse, das Telefon und die komplette Historie der Bitcoin-Transaktionen besitzt, erhält er Material für gezieltes Phishing, Erpressung oder sogenannte "schlüsselfertige" Angriffe (physische Bedrohung von Personen, von denen bekannt ist, dass sie Krypto halten).
Die Transaktionshistorie ermöglicht es zudem, die reale Identität mit konkreten On-Chain-Adressen zu verknüpfen. Das ist genau die Art von Deanonymisierung, vor der Experten bei Abflüssen von KYC-Daten seit Langem warnen.
Was bleibt unbekannt?
Öffentlich wissen wir bislang nicht die genaue Anzahl der betroffenen Kunden, um welche konkrete staatliche Behörde und Jurisdiktion es ging, noch ob und wie die durchgesickerten Angaben weiter missbraucht wurden. Wir kennen auch nicht die Abhilfemaßnahmen, die Revolut eingeführt hat. Diese Punkte sind in den verfügbaren Quellen nicht belegt.
Worauf man bei diesem Vorfalltyp achten sollte
Dies ist kein Rat, was man mit dem Geld tun soll, sondern allgemeine Muster, die bei Abflüssen von KYC-Daten beachtenswert sind: erhöhtes Risiko von gezieltem Phishing auf betroffene Nutzer, mögliche Versuche zur Übernahme von Konten sowie die offizielle Kommunikation des Unternehmens über Umfang und Abhilfe. Beobachten lässt sich auch, ob der Regulator in der betreffenden Jurisdiktion den Vorfall zu untersuchen beginnt.