Kaj se je natančno zgodilo?
Revolut, evropsko fintech podjetje, je potrdil uhajanje občutljivih podatkov pri delu svojih strank. Po navedbah podjetja so napadalci izkoristili legitimno e-poštno domeno državnega urada za pošiljanje lažne zahteve po informacijah. Revolut je zahtevo ocenil kot pristno in podatke razkril.
Na incident je prvi opozoril on-chain preiskovalec, ki nastopa pod imenom ZachXBT. Revolut je njegove ugotovitve nato potrdil. Toliko o dejstvih, ki se enotno pojavljajo v vseh virih (Incrypted, The Block, Decrypt, CryptoSlate).
Kateri podatki so lahko uhajali?
Glede na informacije, ki so jih prejele prizadete stranke (in ki jih navajata CryptoSlate in Decrypt), je nabor razkritih podatkov lahko vključeval:
| Kategorija | Konkretni podatki |
|---|---|
| Osebni dokumenti | kopija potnega lista ali vozniškega dovoljenja, verifikacijski selfi |
| Osebni podatki | ime, datum rojstva, poklic, naslov prebivališča, telefon |
| Bančni podatki | IBAN, izpiski računa |
| Zgodovina transakcij | evidence o dvigih in celotna zgodovina transakcij, vključno z bitcoin aktivnostjo |
Verifikacijski selfi je fotografija obraza, posneta ob preverjanju istovetnosti (KYC, torej "poznaj svojo stranko"), ki jo banke uporabljajo za potrditev, da se registrira dejanski lastnik dokumenta.
Revolut po navedbah virov obseg opisuje kot "omejeno število" strank. Natančna številka javno ni znana.
Kako je napad deloval?
Bistvo ni bil klasičen vdor v sisteme Revoluta. Po navedbah CryptoSlate je zahteva prišla iz neavtoriziranega poštnega predala, ki pa je deloval znotraj domenske infrastrukture državnega urada. Z drugimi besedami, naslov pošiljatelja je izgledal pristen, ker je dejansko pripadal domeni urada.
Zaradi tega je incident bolj odpoved procesa preverjanja legitimnih zahtev organov javne oblasti kot vdor v podatkovno bazo. Gre za tip napada, ki mu v angleščini pravijo "fraudulent data request", torej lažna zahteva po podatkih, ki zlorablja zaupanje med institucijami.
Kdo je bil tarča?
ZachXBT je po navedbah The Block ugibal, da bi napad lahko meril na premožne uporabnike (high-net-worth). CryptoSlate v naslovu govori o "wealthy customers". To pa je zaenkrat hipoteza preiskovalca, ne pa potrjeno dejstvo s strani Revoluta. Zato to označujemo kot nepotrjeno.
Zakaj je to pomembno pri kriptovalutah?
Do uhajanja samega denarja ni prišlo. Težava je kombinacija podatkov. Ko nekdo hkrati razpolaga z osebnim dokumentom, naslovom prebivališča, telefonom in celotno zgodovino bitcoin transakcij, pridobi gradivo za ciljni phishing, izsiljevanje ali tako imenovane napade "na ključ" (fizično ogrožanje oseb, za katere je znano, da razpolagajo s kriptovalutami).
Zgodovina transakcij poleg tega omogoča povezovanje resnične identitete s konkretnimi on-chain naslovi. To je natanko tista vrsta deanonimizacije, pred katero strokovnjaki pri uhajanju KYC podatkov že dolgo opozarjajo.
Kaj ostaja neznano?
Javno zaenkrat ne poznamo natančnega števila prizadetih strank, za kateri konkreten državni urad in jurisdikcijo je šlo, niti ali in kako so bili uhajali podatki naprej zlorabljeni. Prav tako ne poznamo, kakšne ukrepe za sanacijo je Revolut uvedel. Te točke v razpoložljivih virih niso dokumentirane.
Na kaj biti pozoren pri tem tipu incidenta
Ne gre za nasvet, kaj storiti z denarjem, temveč za splošne vzorce, ki jih velja spremljati pri uhajanju KYC podatkov: povečano tveganje ciljnega phishinga na prizadete uporabnike, možne poskuse prevzema računov in uradna komunikacija podjetja o obsegu in sanaciji. Spremljati je mogoče tudi, ali bo regulator v dani jurisdikciji začel incident preiskovati.