Ang mga hacker na nasa likod ng paglabag sa data ng customer ng Revolut ay humingi ng 6,000 Monero, na nagkakahalaga ng humigit-kumulang $3 milyon, habang nagbabanta na ibenta ang mga nakaw na rekord maliban kung magbayad ang bangko sa loob ng 24 na oras.

Paano itinakda ng mga hacker ng Revolut ang 24-oras na deadline

Iniulat ng Financial Times na isang grupo na tinatawag ang sarili nitong "iamnotavillain" ang nag-publish ng kahilingan ng ransom noong Miyerkules kasama ang isang countdown clock. Sinabi ng mga hacker na may 24 na oras ang Revolut upang magpadala ng 6,000 XMR bago nila ialok ang mga rekord ng customer sa ibang mga grupo ng kriminal.

Sa ipinahiwatig na halaga na humigit-kumulang $500 bawat token, ang kabuuang hinihingi ay humigit-kumulang $3 milyon. Pinili ng grupo ang Monero dahil ang cryptocurrency ay idinisenyo upang itago ang impormasyon tungkol sa nagpadala, tatanggap at halaga na kasama sa isang transaksyon.

Ayon sa FT, walang negosasyon sa pagitan ng Revolut at ng mga hacker ang naganap sa oras na nailathala ang kanilang ulat. Hindi sinabi ng Revolut kung plano nitong tumugon sa kahilingan o kinumpirma na kontrolado ng grupo ang nakaw na impormasyon.

Binigyan ng mga hacker ang pahayagan ng isang 60-segundong screen recording na tila nagpapakita ng bahagi ng materyal na hawak nila. Lumabas sa video ang mga pasaporte, lisensya sa pagmamaneho, mga larawang isinumite sa mga pag-check ng know-your-customer at kasaysayan ng transaksyon ng customer, ayon sa ulat.

Hindi bababa sa 680 account ang naapektuhan, bagaman inilarawan lamang ng Revolut ang bilang bilang isang "napakalimitado" na bahagi ng base ng kanilang customer. Nalaman ng naunang ulat ng crypto.news na binuksan ng Information Commissioner’s Office ng Britain ang isang imbestigasyon matapos iulat ng kumpanya ang insidente sa mga regulator.

Sinabi ng Revolut na ang sarili nitong mga sistema at pondo ng customer ay hindi nakompromiso. Sa halip, nangyari ang pagbubunyag matapos makatanggap ang kumpanya ng mga mapanlinlang na kahilingan sa pamamagitan ng isang email account na gumagamit ng domain ng isang lehitimong ahensya ng gobyerno.

Naibulgar ang mga rekord ng customer ng Revolut dahil sa mga pekeng kahilingan ng gobyerno

Sa halip na direktang pasukin ang imprastraktura ng Revolut, nagpanggap ang mga umaatake bilang mga opisyal ng gobyerno na humihingi ng impormasyon ng customer. Ang mga kahilingan ay naglalaman ng valid na kredensyal ng domain-authentication at nakapasa sa mga pag-check na ginamit ng Revolut upang masuri ang kanilang legalidad.

Pagkatapos ay nagbigay ng mga rekord ng customer ang Revolut bago matuklasan na ang mga kahilingan ay mapanlinlang. Nang matukoy ang scheme, sinabi ng kumpanya na hinarangan nito ang email address at nakipag-ugnayan sa ahensya ng gobyerno, tagapagpatupad ng batas, mga awtoridad sa proteksyon ng data at mga regulator sa pananalapi.

Tulad ng detalyado sa paunang coverage, kasama sa inilabas na impormasyon ang buong pangalan, petsa ng kapanganakan, trabaho, tirahan, email address at numero ng telepono. Kabilang din sa mga nakalistang rekord ang mga kopya ng pasaporte o lisensya sa pagmamaneho at mga selfie na ibinigay para sa pag-verify ng pagkakakilanlan.

Kasama sa data ng account ang International Bank Account Numbers, petsa ng pagbubukas ng account, katayuan ng account, mga talaan ng withdrawal at kumpletong kasaysayan ng transaksyon. Ang mga reference number ng Bitcoin wallet at mga talaan ng transaksyon sa Bitcoin ay nakapaloob din sa ilang account statement.

Iniba ng abiso ng customer ng Revolut ang mga larawan para sa pag-check ng pagkakakilanlan mula sa data ng biometric facial telemetry, na sinabi ng kumpanya na hindi bahagi ng pagbubunyag. Hindi rin tinukoy ng abiso ang mga pribadong key, password, security code o kumpletong detalye ng payment card sa mga nakalantad na impormasyon.

Inilarawan ng isang naunang pahayag ng kumpanya ang insidente bilang isang "sopistikadong panlabas na impersonation scam" at iginiit na nananatiling ligtas ang mga sistema ng Revolut. Hindi pa pampublikong tinukoy ng kumpanya ang ahensya ng gobyerno na ginamit ang email domain o ipinaliwanag kung paano nakakuha ng access ang mga umaatake sa isang account na gumagana sa pamamagitan ng domain na iyon.

Naiulat na nakilala ng pagsusuri ng blockchain ang mga target na mayaman sa crypto

Sinabi ng mga hacker sa FT na ginamit nila ang pagsusuri ng blockchain upang piliin ang mga customer ng Revolut na lumilitaw na may hawak na malalaking halaga ng cryptocurrency. Ang kanilang account, kung tumpak, ay magpapahiwatig na ang apektadong grupo ay pinili, sa bahagi, sa pamamagitan ng kanilang aktibidad sa pananalapi sa halip na sa pamamagitan ng isang random na koleksyon ng mga profile ng customer.

Naunang sinabi ng on-chain investigator na si ZachXBT na ang insidente ay tila kinasasangkutan ng mga gumagamit na may mataas na net worth, bagaman hindi kinumpirma ng Revolut ang pagtatasa na iyon. Nagbibigay ang pinakabagong pahayag ng mga hacker ng katulad na account ng kanilang paraan ng pagta-target, ngunit hindi pa ito independiyenteng napatunayan.

Ang mga pampublikong blockchain ay maaaring magbunyag ng mga kasaysayan ng transaksyon, balanse ng wallet at mga paglilipat sa pagitan ng mga address. Minsan ay maaaring iugnay ng mga analyst ang aktibidad na iyon sa isang natukoy na tao kapag ang isang exchange, kumpanya sa pananalapi o iba pang serbisyo ay may hawak na mga rekord na nag-uugnay sa isang account ng customer sa isang blockchain address.

Ang ibinunyag na mga rekord ng Revolut ay maaaring maglaman ng magkabilang panig ng koneksyon na iyon. Ang mga dokumento ng pagkakakilanlan at impormasyon sa pakikipag-ugnayan ay maaaring makilala ang may hawak ng account, habang ang kasaysayan ng transaksyon sa Bitcoin at mga reference number ng wallet ay maaaring mag-mapa ng mga bahagi ng aktibidad ng crypto ng tao.

Ipinaliwanag ng isang review noong Agosto ng mga privacy coin na ginagawang sapilitan ng Monero ang privacy ng transaksyon. Ang mga ring signature nito ay nagtatago sa totoong nagpadala sa isang grupo ng mga posibleng kalahok, ang mga stealth address ay nagtatago sa pampublikong address ng tatanggap, at ang Ring Confidential Transactions ay nagtatago sa halagang ipinadala.

Ang kriminal na paggamit ng XMR ay hindi nagpapatunay na ang token o lahat ng gumagamit nito ay nakikibahagi sa ilegal na aktibidad. Naglilingkod din ang Monero sa mga taong naghahanap ng financial privacy, ngunit ang disenyo nito ay maaaring magpahirap sa mga investigator na sundan ang mga illicit payment trail kaysa sa aktibidad na isinasagawa sa mga transparent na network tulad ng Bitcoin o Ethereum.

Isang hiwalay na kaso noong Agosto ang nagpakita ng parehong hamon matapos sabihin ng mga imbestigador na ang mga asset mula sa naiulat na $7.9 milyong Coinsbuy hack ay na-convert sa Monero. Sinubaybayan ng mga blockchain firm ang mga bahagi ng mga pondong iyon sa maraming exchange bago naiulat na ipinagpalit ang ilang asset para sa XMR.

Ano ang ibig sabihin ng paglabag para sa mga customer ng crypto sa U.S.

Hindi tinukoy ng ulat ng FT kung alinman sa 680 apektadong account ay pag-aari ng mga customer sa U.S. Gayunpaman, ang kumbinasyon ng mga napatunayang rekord ng pagkakakilanlan at data ng transaksyon sa crypto ay lumilikha ng isang relevant na panganib para sa mga Amerikano na nakakatanggap ng mga mensahe na nagsasabing nagmula sa Revolut, isang exchange, isang ahensya ng gobyerno, o isang wallet provider.

Ang ganitong mga rekord ay maaaring magpahintulot sa mga kriminal na bumuo ng mga mensahe na naglalaman ng tunay na pangalan, transaksyon, detalye ng account, o dokumento ng pagkakakilanlan. Ang pagkakaroon ng tumpak na personal na impormasyon ay hindi nagpapatunay na ang isang tumatawag o nagpadala ay kumakatawan sa bangko.

Sinasabi ng patnubay sa seguridad ng Revolut sa U.S. na hindi tatawag ang kumpanya sa mga customer nang hindi inaasahan at hihilingin sa kanila na magbayad o ibulgar ang mga verification at security code. Ang mga customer na nakakatanggap ng kahina-hinalang contact ay maaaring i-verify ito sa pamamagitan ng in-app support channel ng kumpanya.

Para sa mga Amerikano na ang personal o impormasyon sa pagbabangko ay nalantad, idinidirekta ng Federal Trade Commission ang mga consumer sa IdentityTheft.gov para sa mga hakbang batay sa uri ng data na sangkot. Pinapayuhan din ng ahensya ang mga user na iulat ang mga pagtatangka ng phishing sa pamamagitan ng ReportFraud.ftc.gov.

Hinihiling ng Internet Crime Complaint Center ng FBI sa mga taong nag-uulat ng panloloko na may kaugnayan sa cryptocurrency na magbigay ng mga address ng wallet, halaga ng transaksyon, uri ng asset, hash ng transaksyon, at mga petsa at oras ng paglilipat kung available.