Što se točno dogodilo?
Revolut, europska fintech kompanija, potvrdio je curenje osjetljivih podataka dijela svojih klijenata. Prema tvrtki, napadači su iskoristili legitimnu e-mail domenu državnog tijela za slanje lažnog zahtjeva za informacijama. Revolut je zahtjev ocijenio kao autentičan i izdao podatke.
Na incident je prvi upozorio on-chain istražitelj koji nastupa pod imenom ZachXBT. Revolut je zatim potvrdio njegove nalaze. Toliko o činjenicama koje se podudarno pojavljuju u raznim izvorima (Incrypted, The Block, Decrypt, CryptoSlate).
Koji podaci su mogli procuriti?
Prema informacijama koje su primili pogođeni klijenti (a koje citiraju CryptoSlate i Decrypt), popis izdanih podataka mogao je uključivati:
| Kategorija | Konkretni podaci |
|---|---|
| Identifikacijski dokumenti | kopija putovnice ili vozačke dozvole, verifikacijski selfie |
| Osobni podaci | ime, datum rođenja, zanimanje, adresa prebivališta, telefon |
| Bankovni podaci | IBAN, izvodi računa |
| Povijest transakcija | zapisi o isplatama i kompletna povijest transakcija uključujući bitcoin aktivnost |
Verifikacijski selfie je fotografija lica snimljena tijekom provjere identiteta (KYC, dakle "upoznaj svog klijenta"), koju banke koriste za potvrdu da se registrira stvarni vlasnik dokumenta.
Revolut prema izvorima opisuje opseg kao "ograničen broj" klijenata. Točan broj nije javno poznat.
Kako je napad funkcionirao?
Bit nije bio klasičan hack Revolutovih sustava. Prema CryptoSlateu, zahtjev je došao s neautoriziranog sandučića koji je, međutim, radio unutar domenske infrastrukture državnog tijela. Drugim riječima, adresa pošiljatelja izgledala je autentično jer je stvarno pripadala domeni tijela.
To incident čini prije neuspjehom procesa provjere legitimnih zahtjeva tijela javne vlasti nego provalom u bazu podataka. Radi se o tipu napada koji se na engleskom naziva "fraudulent data request", dakle lažni zahtjev za podacima koji zloupotrebljava povjerenje između institucija.
Tko je bio meta?
ZachXBT je prema The Blocku spekulirao da je napad mogao biti usmjeren na imućne korisnike (high-net-worth). CryptoSlate u naslovu govori o "wealthy customers". No ovo je zasad hipoteza istražitelja, a ne potvrđena činjenica sa strane Revoluta. Zato to označavamo kao nepotvrđeno.
Zašto je to važno kod kriptovaluta?
Curenja samog novca nije bilo. Problem je kombinacija podataka. Kada netko istovremeno drži identifikacijski dokument, adresu prebivališta, telefon i kompletnu povijest bitcoin transakcija, dobiva materijal za ciljani phishing, ucjenu ili takozvane napade "na ključ" (fizička ugroza osoba za koje je poznato da drže kripto).
Povijest transakcija dodatno omogućuje povezivanje stvarnog identiteta s konkretnim on-chain adresama. To je upravo onaj tip deanonimizacije pred kojim stručnjaci kod curenja KYC podataka dugoročno upozoravaju.
Što ostaje nepoznato?
Javno zasad ne znamo točan broj pogođenih klijenata, o kojem konkretnom državnom tijelu i jurisdikciji se radilo, niti jesu li i kako procureli podaci dalje zloupotrijebljeni. Ne znamo ni koje je korektivne mjere Revolut uveo. Ove točke nisu potvrđene u dostupnim izvorima.
Na što obratiti pozornost kod ovog tipa incidenta
Ne radi se o savjetu što učiniti s novcem, nego o općim obrascima koje vrijedi pratiti kod curenja KYC podataka: povećan rizik ciljanog phishinga na pogođene korisnike, mogući pokušaji preuzimanja računa te službena komunikacija tvrtke o opsegu i sanaciji. Može se pratiti i hoće li regulator u danoj jurisdikciji pokrenuti istragu incidenta.