Die Hacker hinter dem kürzlichen Datendiebstahl bei der globalen Fintech-Plattform Revolut haben gedroht, die gestohlenen Informationen an andere kriminelle Gruppen zu verkaufen, wenn sie die geforderten 200 Bitcoin nicht innerhalb von 24 Stunden erhalten. Das Unternehmen erklärte, der Vorfall gehe auf ein betrügerisches Ausweitungsschema zurück und stelle keinen direkten Angriff auf seine Systeme dar; ein Lösegeld werde nicht gezahlt.

Hacker fordern 6.000 XMR

Die Gruppe hinter dem Angriff, die sich „iamnotavillain“ nennt, veröffentlichte ihre Forderung online zusammen mit einem Countdown, wie die Financial Times berichtet. Gefordert wurden 6.000 XMR, ein Betrag, der zum Zeitpunkt des Berichts rund 3 Millionen US-Dollar wert war. Fristen mit Countdown sind ein übliches Druckmittel bei Erpressungsversuchen, um den Entscheidungszeitraum des Ziels zu verkürzen.

Die Wahl von Monero ist in einem Erpressungsfall im Kryptobereich bemerkenswert. Anders als beim Bitcoin-Netzwerk, dessen Transaktionen offen auf der Blockchain einsehbar sind, ist Monero darauf ausgelegt, bei Transaktionen mehr Privatsphäre zu bieten, was Zahlungen deutlich schwerer nachverfolgbar macht. Dieser Fokus auf Privatsäre ist der Grund, warum Privacy-Coins bei Erpressungszahlungen immer wieder gewählt werden.

Laut Financial Times erklärten die Hacker, bis zur Veröffentlichung der Forderung habe keine Kommunikation mit Revolut stattgefunden. Die Gruppe veröffentlichte zudem einen kurzen Videoclip, der laut Darstellung ein Screenshot der Kundendaten sein soll, die angeblich während des Vorfalls gesammelt wurden.

Etwa 680 Kundenkonten betroffen

Daten zu etwa 680 Kundenkonten sollen dem Bericht zufolge gestohlen worden sein. Revolut erklärte, der Vorfall habe keinen direkten Angriff auf seine Kernsysteme, Datenbanken oder Kundenkonten umfasst. Stattdessen sollen die Angreifer gefälschte Anfragen über eine E-Mail-Anwendung gestellt haben, die mit einer echten Regierungsstelle verbunden war. Die Anfragen wurden als offizielle Anliegen getarnt, und Revolut übergab die Unterlagen, bevor sie als betrügerisch erkannt wurden. Das Vortäuschen eines offiziellen Kanals, um eine Organisation zur Herausgabe von Daten zu bewegen, ist ein bekannter Social-Engineering-Vektor, der keinen Eingriff in die Infrastruktur eines Unternehmens erfordert.

Zu den offengelegten Materialien gehörten laut Bericht Reisepässe, Führerscheine, Bilder zur Identitätsverifizierung und Transaktionsverläufe. Zusätzliche Informationen in einigen Unterlagen waren mit den Krypto-Transaktionen der Kunden verknüpft. Anders als ein kompromittiertes Passwort können Ausweisdokumente nicht zurückgesetzt werden – weshalb geleakte Verifizierungsunterlagen für Kriminelle auch lange nach dem eigentlichen Vorfall von Wert bleiben können.

Revolut erklärte, die betreffende Adresse sei blockiert und die zuständige Regierungsstelle, die Strafverfolgungsbehörden und die Aufsichtsinstanz informiert worden.

Krypto-Bestände halfen den Angreifern bei der Zielauswahl

Die angebliche Nutzung von Blockchain-Analysen führt ein besonders kryptospezifisches Element in den Vorfall ein. Den Berichten zufolge haben die Hacker Blockchain-Transaktionen untersucht, um herauszufinden, welche Revolut-Nutzer mutmaßlich über große Krypto-Bestände verfügten.

Zwar kann eine öffentliche Blockchain Wallet-Aktivitäten und Transaktionsflüsse zeigen, doch um eine Blockchain-Adresse einer bestimmten Person zuzuordnen, sind in der Regel erheb mehr Informationen von einer Börse oder einem Finanzdienstleister erforderlich. In diesem Fall könnte die Kombination aus Blockchain-Transaktionsdaten und gestohlenen Kundendaten einem Angreifer ein klares Bild der Identität und der Krypto-Assets eines Nutzers liefern. Die Angaben zur Zielauswahl wurden von unabhängiger Seite nicht verifiziert. Der Vorfall veranschaulicht, warum Börsen und Fintech-Plattformen die Verknüpfung von Identitätsunterlagen mit On-Chain-Aktivitäten zu den sensibelsten Daten zählen, die sie besitzen.

Revolut weist direkten Lösegeldkontakt zurück

Zwischen den Ankündigungen der Angreifer und den Angaben von Revolut besteht eine Diskrepanz. Das Unternehmen erklärte, es habe keinen direkten Kontakt von der Gruppe erhalten, die sich zu der Tat bekennt, und beabsichtige nicht, Lösegeld zu zahlen. Revolut fügte hinzu, die betroffenen Kunden würden unterstützt, und beschrieb den Vorfall als Ergebnis eines externen Identitätsmissbrauchsschemas.

Nun stellt sich die Frage, ob die Gruppe ihre angedrohte Tatkraft nach Ablauf der Frist umsetzt und was aus den Meldungen an Strafverfolgungsbehörden und Aufsichtsinstanzen hervorgeht, die Revolut zufolge erfolgt sind.

Das Datenleck verdeutlicht eine besondere Sorge für Nutzer im Krypto-Bereich: Persönliche Identitätsdaten können, wenn sie mit blockchainbezogenen Finanzinformationen kombiniert werden, für Kriminelle besonders wertvoll sein. Diese Informationen können für gezieltes Phishing, Identitätsmissbrauch oder weitere Versuche genutzt werden, an digitale Assets zu gelangen.