Revolutは、政府機関からの正当な連絡としてフィッシング依頼を扱った後、顧客の機密情報を開示したと、CryptoNinjasが報じました。

流出した情報には、パスポートや運転免許証のコピー、本人確認用の自撮り写真、ビットコインの全取引履歴、居住地の住所などが含まれていたとされています。ブロックチェーン調査員のZachXBTは、今回の事案は規模としては限定的に見えるものの、富裕層の暗号資産ユーザーが標的になった可能性があると述べました。

この事案のユーザースコアは8.7でした。公式の政府メールアドレスから送られたように見える依頼に対し、信頼を前提としたセキュリティチェックに依存することのリスクを浮き彫りにしています。

Revolut、不正な依頼を公式なものとして扱う

顧客向け通知によると、Revolutは顧客情報を含むとされる、正当な政府機関からの依頼を受け取りました。この依頼は同機関の公式ドメイン上にある未承認のメールアドレスから送られていましたが、有効なドメイン認証情報を備えていました。そのためRevolutはこの連絡を正当な政府からの依頼として扱い、不正であることを発見する前に顧客情報を開示しました。

開示されたデータは、個人情報、連絡先情報、本人確認情報、金融情報など複数のカテゴリーにわたりました。通知によると、顧客の氏名、郵送先住所、メールアドレス、生年月日、職業、電話番号などが含まれていました。

流出情報にビットコイン取引履歴も含まれる

金融情報は、暗号資産ユーザーにとって特に重要です。Revolutによると、開示された文書には、口座明細、IBAN、口座ステータス情報、ウォレット参照番号、出金履歴、ビットコイン取引を含む全取引記録が含まれていました。

データには本人確認書類や、写真、パスポートまたは運転免許証のコピーに付随する情報も含まれていました。Revolutは、生体顔認証テレメトリーデータは含まれていなかったと明確に説明しています。

今回の開示により、現実世界の本人情報と暗号資産の活動が結び付けられる可能性があります。本人確認書類、住所、電話番号は通常オフチェーンで保管される一方、ビットコイン取引はオンチェーンで公開記録されます。この違いから、今回の事案はビットコインの取引記録やネットワークの安全性が変更されたものではなく、金融プラットフォームが保有する情報に関するものだといえます。

ZachXBT、富裕層ユーザーが標的になった可能性を指摘

ZachXBTは、Telegram上のコミュニティ向け警告を通じて、この事案に広く注目を集めました。同氏は、影響を受けたユーザー数は限定的だった可能性が高いとしつつ、今回の事案は富裕層を標的にしたように見えると指摘しました。

Revolutの口座で多額のビットコイン取引を行っているユーザーにとって、取引データと本人確認情報、位置情報を組み合わせることで、攻撃者が金融活動やオンチェーン履歴を詳細に把握できるプロファイルが作成される可能性があります。

Revolutは不正を発見した後、影響を受けた個人に通知しました。同社はまた、この事案は顧客資金の盗難とは関係がないと説明しています。報告された対応は口座情報と本人確認情報の露出に焦点を当てたものであり、入手可能な通知では顧客資産の損失は説明されていません。

今回の事例は、攻撃者がブロックチェーンを侵害したり、秘密鍵を入手したりする必要のない暗号資産セキュリティリスクの一形態を示しています。ビットコインユーザーとその活動を結び付けるオフチェーン情報へのアクセスも、ビットコイン保有者に重大なリスクをもたらす可能性があります。