Revolut legte vertrauliche Kundeninformationen offen, nachdem das Unternehmen eine Phishing-Anfrage als legitime Kommunikation einer Regierungsbehörde behandelt hatte, berichtet CryptoNinjas.

Zu den offengelegten Informationen gehörten Berichten zufolge Kopien von Reisepässen und Führerscheinen, Verifizierungs-Selfies, vollständige Bitcoin-Transaktionshistorien und Privatadressen. Der Blockchain-Ermittler ZachXBT erklärte, der Vorfall scheine in seinem Umfang begrenzt gewesen zu sein, könnte sich aber gegen vermögende Kryptowährungsnutzer gerichtet haben.

Der Vorfall erhielt eine Nutzerbewertung von 8,7. Er verdeutlicht die Risiken, die entstehen, wenn sich Sicherheitsprüfungen auf Vertrauen stützen und eine Anfrage den Anschein erweckt, von einer offiziellen Regierungs-E-Mail-Adresse zu stammen.

Revolut behandelte betrügerische Anfrage als offiziell

Eine Kundenmitteilung zufolge erhielt Revolut eine Anfrage von einer legitimen Regierungsbehörde, die angeblich Kundeninformationen enthielt. Die Anfrage wurde von einer nicht autorisierten E-Mail-Adresse der offiziellen Domain der Behörde versendet, verfügte jedoch über gültige Domain-Authentifizierungsdaten. Revolut behandelte die Kommunikation daher als authentische Regierungsanfrage und legte Kundeninformationen offen, bevor das Unternehmen feststellte, dass es sich um einen Betrug handelte.

Die offengelegten Daten fielen in mehrere Kategorien, darunter personenbezogene, Kontakt-, Identitäts- und Finanzinformationen. Laut der Mitteilung umfassten sie die vollständigen Namen, Postanschriften, E-Mail-Adressen, Geburtsdaten, Berufe und Telefonnummern der Kunden.

Bitcoin-Transaktionshistorien unter den offengelegten Daten

Die Finanzinformationen sind für Kryptowährungsnutzer besonders bedeutsam. Revolut erklärte, dass die offengelegten Dokumente Kontoauszüge, IBANs, Informationen zum Kontostatus, Wallet-Referenznummern, Auszahlungshistorien und vollständige Transaktionsaufzeichnungen einschließlich Bitcoin-Transaktionen enthielten.

Die Daten umfassten außerdem Identitätsdokumente sowie Informationen, die Fotos und Kopien von Reisepässen oder Führerscheinen ergänzen sollten. Revolut stellte ausdrücklich fest, dass keine biometrischen Gesichtstelematikdaten enthalten waren.

Die Offenlegung könnte eine Verbindung zwischen realen Identitäten und Kryptowährungsaktivitäten herstellen. Identitätsdokumente, Adressen und Telefonnummern werden üblicherweise off-chain gespeichert, während Bitcoin-Transaktionen öffentlich on-chain erfasst werden. Dieser Unterschied bedeutet, dass der Vorfall Informationen betraf, die von einer Finanzplattform verwaltet wurden, und keine Veränderung der Bitcoin-Transaktionsaufzeichnungen oder der Netzwerksicherheit darstellte.

ZachXBT weist auf mögliche gezielte Auswahl hin

ZachXBT lenkte mit einer Community-Warnung auf Telegram größere Aufmerksamkeit auf den Vorfall. Er erklärte, die Zahl der betroffenen Nutzer sei wahrscheinlich begrenzt gewesen, deutete jedoch an, dass sich der Vorfall offenbar gegen vermögende Personen gerichtet habe.

Für Nutzer mit umfangreichen Bitcoin-Aktivitäten in ihren Revolut-Konten könnte die Kombination von Transaktionsdaten mit Identitäts- und Standortinformationen Angreifern ein detailliertes Profil ihrer finanziellen und on-chain bezogenen Historie liefern.

Nach der Entdeckung des Betrugs informierte Revolut die betroffenen Personen. Das Unternehmen erklärte außerdem, dass der Vorfall nicht mit dem Diebstahl von Kundengeldern in Verbindung gestanden habe. Die gemeldete Reaktion konzentrierte sich daher auf die Offenlegung von Konto- und Identitätsinformationen, während die verfügbare Mitteilung keinen Verlust von Kundenvermögen beschrieb.

Der Fall veranschaulicht eine Form des Kryptowährungs-Sicherheitsrisikos, bei der ein Angreifer weder eine Blockchain kompromittieren noch einen privaten Schlüssel erlangen muss. Der Zugriff auf off-chain gespeicherte Informationen, die einen Bitcoin-Nutzer mit seinen Aktivitäten verbinden, kann ebenfalls erhebliche Risiken für Bitcoin-Inhaber schaffen.