रिवोल्यूट ग्राहक डेटा उल्लंघन के पीछे के हैकर्स ने 6,000 मोनेरो की मांग की है, जिसकी कीमत लगभग 3 मिलियन डॉलर है, और उन्होंने चेतावनी दी है कि यदि बैंक 24 घंटे के भीतर भुगतान नहीं करता है तो वे चोरी हुए रिकॉर्ड बेच देंगे।

रिवोल्यूट हैकर्स ने 24 घंटे की समय सीमा कैसे तय की

फाइनेंशियल टाइम्स ने बताया कि "iamnotavillain" नामक एक समूह ने बुधवार को एक उलटी गिनती घड़ी के साथ फिरौती की मांग प्रकाशित की। हैकर्स ने कहा कि रिवोल्यूट के पास 6,000 XMR भेजने के लिए 24 घंटे हैं, जिसके बाद वे ग्राहक रिकॉर्ड अन्य आपराधिक समूहों को बेच देंगे।

प्रति टोकन लगभग 500 डॉलर के निहित मूल्य पर, यह मांग लगभग 3 मिलियन डॉलर बैठती है। समूह ने मोनेरो को इसलिए चुना क्योंकि यह क्रिप्टोकरेंसी प्रेषक, प्राप्तकर्ता और लेनदेन में शामिल राशि के बारे में जानकारी को छिपाने के लिए डिज़ाइन की गई है।

FT के अनुसार, इसकी रिपोर्ट प्रकाशित होने तक रिवोल्यूट और हैकर्स के बीच कोई बातचीत नहीं हुई थी। रिवोल्यूट ने यह नहीं बताया था कि क्या वह मांग का जवाब देने की योजना बना रहा है या इसकी पुष्टि की थी कि समूह चोरी की गई जानकारी को नियंत्रित करता है।

हैकर्स ने अखबार को एक 60-सेकंड की स्क्रीन रिकॉर्डिंग प्रदान की, जिसमें कथित तौर पर उनके कब्जे में मौजूद सामग्री का एक हिस्सा दिखाया गया था। रिपोर्ट के अनुसार, वीडियो में पासपोर्ट, ड्राइविंग लाइसेंस, नो-योर-कस्टमर चेक के दौरान जमा की गई तस्वीरें और ग्राहक लेनदेन इतिहास दिखाई दिए।

कम से कम 680 खाते प्रभावित हुए, हालांकि रिवोल्यूट ने सार्वजनिक रूप से इस संख्या को अपने ग्राहक आधार का "बहुत सीमित" हिस्सा बताया है। एक पिछली crypto.news रिपोर्ट में पाया गया कि ब्रिटेन के सूचना आयुक्त कार्यालय ने कंपनी द्वारा नियामकों को घटना की सूचना देने के बाद एक जांच शुरू की थी।

रिवोल्यूट ने कहा है कि उसके अपने सिस्टम और ग्राहक फंड से समझौता नहीं किया गया था। इसके बजाय, यह खुलासा तब हुआ जब कंपनी को एक वैध सरकारी एजेंसी के डोमेन का उपयोग करके एक ईमेल खाते के माध्यम से धोखाधड़ी वाले अनुरोध प्राप्त हुए।

नकली सरकारी अनुरोधों ने रिवोल्यूट ग्राहक रिकॉर्ड उजागर किए

रिवोल्यूट के बुनियादी ढांचे में सीधे सेंध लगाने के बजाय, हमलावरों ने ग्राहक जानकारी मांगने वाले सरकारी अधिकारियों के रूप में प्रस्तुत किया। अनुरोधों में वैध डोमेन-प्रमाणीकरण क्रेडेंशियल थे और उन्होंने रिवोल्यूट द्वारा उनकी वैधता का आकलन करने के लिए उपयोग किए जाने वाले चेक को पास कर लिया।

इसके बाद रिवोल्यूट ने यह पता चलने से पहले ग्राहक रिकॉर्ड प्रदान किए कि अनुरोध धोखाधड़ी वाले थे। एक बार जब योजना की पहचान हो गई, तो कंपनी ने कहा कि उसने ईमेल पते को ब्लॉक कर दिया और सरकारी एजेंसी, कानून प्रवर्तन, डेटा-संरक्षण अधिकारियों और वित्तीय नियामकों से संपर्क किया।

जैसा कि प्रारंभिक कवरेज में विस्तृत था, जारी की गई जानकारी में पूरे नाम, जन्मतिथि, व्यवसाय, घर के पते, ईमेल पते और टेलीफोन नंबर शामिल थे। पासपोर्ट या ड्राइविंग लाइसेंस की प्रतियां और पहचान सत्यापन के लिए प्रदान की गई सेल्फी भी सूचीबद्ध रिकॉर्ड में थीं।

खाता डेटा में अंतर्राष्ट्रीय बैंक खाता संख्या, खाता-खोलने की तारीखें, खाते की स्थिति, निकासी रिकॉर्ड और पूर्ण लेनदेन इतिहास शामिल थे। बिटकॉइन वॉलेट संदर्भ संख्याएँ और बिटकॉइन लेनदेन के रिकॉर्ड भी कुछ खाता विवरणों में थे।

रिवोल्यूट के ग्राहक नोटिस ने पहचान-जांच तस्वीरों को बायोमेट्रिक फेशियल टेलीमेट्री डेटा से अलग किया, जिसे कंपनी ने कहा कि यह खुलासे का हिस्सा नहीं था। नोटिस में उजागर जानकारी में निजी कुंजी, पासवर्ड, सुरक्षा कोड या पूर्ण भुगतान-कार्ड विवरण की पहचान भी नहीं की गई थी।

कंपनी के एक पूर्व बयान में इस घटना को एक "परिष्कृत बाहरी प्रतिरूपण घोटाला" बताया गया था और इसमें कहा गया था कि रिवोल्यूट के सिस्टम सुरक्षित रहे। कंपनी ने सार्वजनिक रूप से उस सरकारी एजेंसी की पहचान नहीं की है जिसके ईमेल डोमेन का उपयोग किया गया था या यह नहीं बताया है कि हमलावरों ने उस डोमेन के माध्यम से संचालित होने वाले खाते तक पहुंच कैसे प्राप्त की।

ब्लॉकचेन विश्लेषण ने कथित तौर पर क्रिप्टो-समृद्ध लक्ष्यों की पहचान की

हैकर्स ने FT को बताया कि उन्होंने उन रिवोल्यूट ग्राहकों का चयन करने के लिए ब्लॉकचेन विश्लेषण का उपयोग किया जिनके पास बड़ी मात्रा में क्रिप्टोकरेंसी थी। उनका विवरण, यदि सटीक है, तो यह इंगित करेगा कि प्रभावित समूह को आंशिक रूप से उसकी वित्तीय गतिविधि के माध्यम से चुना गया था, न कि ग्राहक प्रोफाइल के यादृच्छिक संग्रह के माध्यम से।

ऑन-चेन अन्वेषक ZachXBT ने पहले कहा था कि इस घटना में उच्च-निवल-मूल्य वाले उपयोगकर्ता शामिल थे, हालांकि रिवोल्यूट ने उस आकलन की पुष्टि नहीं की थी। हैकर्स का नवीनतम बयान उनकी लक्षित विधि का एक समान विवरण प्रदान करता है, लेकिन इसकी स्वतंत्र रूप से पुष्टि नहीं की गई है।

सार्वजनिक ब्लॉकचेन लेनदेन इतिहास, वॉलेट बैलेंस और पतों के बीच स्थानान्तरण को उजागर कर सकते हैं। विश्लेषक कभी-कभी उस गतिविधि को एक पहचाने गए व्यक्ति से जोड़ सकते हैं जब कोई एक्सचेंज, वित्तीय कंपनी या अन्य सेवा ग्राहक खाते को ब्लॉकचेन पते से जोड़ने वाले रिकॉर्ड रखती है।

खुलासे किए गए रिवोल्यूट रिकॉर्ड में उस कनेक्शन के दोनों पक्ष हो सकते हैं। पहचान दस्तावेज और संपर्क जानकारी खाताधारक की पहचान कर सकती है, जबकि बिटकॉइन लेनदेन इतिहास और वॉलेट संदर्भ संख्याएँ व्यक्ति की क्रिप्टो गतिविधि के कुछ हिस्सों को मैप कर सकती हैं।

गोपनीयता सिक्कों की एक अगस्त की समीक्षा में बताया गया कि मोनेरो लेनदेन की गोपनीयता को अनिवार्य बनाता है। इसके रिंग सिग्नेचर संभावित प्रतिभागियों के समूह के बीच वास्तविक प्रेषक को अस्पष्ट करते हैं, स्टील्थ एड्रेस प्राप्तकर्ता के सार्वजनिक पते को छिपाते हैं, और रिंग कॉन्फिडेंशियल ट्रांजैक्शन भेजी गई राशि को छिपाते हैं।

XMR का आपराधिक उपयोग यह स्थापित नहीं करता है कि टोकन या उसके सभी उपयोगकर्ता अवैध गतिविधि में संलग्न हैं। मोनेरो वित्तीय गोपनीयता चाहने वाले लोगों की भी सेवा करता है, लेकिन इसका डिज़ाइन अवैध भुगतान ट्रेल्स को जांचकर्ताओं के लिए बिटकॉइन या एथेरियम जैसे पारदर्शी नेटवर्क पर की गई गतिविधि की तुलना में ट्रैक करना अधिक कठिन बना सकता है।

एक अलग अगस्त के मामले में यही चुनौती दिखाई गई थी जब जांचकर्ताओं ने कहा था कि कथित $7.9 मिलियन कॉइन्सबाय हैक से संपत्तियों को मोनेरो में परिवर्तित कर दिया गया था। ब्लॉकचेन फर्मों ने उन निधियों के कुछ हिस्सों को कई एक्सचेंजों के माध्यम से ट्रैक किया, इससे पहले कि कुछ संपत्तियों को कथित तौर पर XMR के लिए बदला गया था।

अमेरिकी क्रिप्टो ग्राहकों के लिए उल्लंघन का क्या मतलब है

FT रिपोर्ट में यह निर्दिष्ट नहीं किया गया था कि 680 प्रभावित खातों में से कोई भी अमेरिकी ग्राहकों का था या नहीं। फिर भी, सत्यापित पहचान रिकॉर्ड और क्रिप्टो लेनदेन डेटा का संयोजन अमेरिकियों के लिए एक प्रासंगिक जोखिम पैदा करता है, जिन्हें रिवोल्यूट, एक एक्सचेंज, एक सरकारी एजेंसी या एक वॉलेट प्रदाता से आने का दावा करने वाले संदेश प्राप्त होते हैं।

ऐसे रिकॉर्ड अपराधियों को वास्तविक नाम, लेनदेन, खाते के विवरण या पहचान दस्तावेज वाले संदेश बनाने की अनुमति दे सकते हैं। सटीक व्यक्तिगत जानकारी की उपस्थिति यह साबित नहीं करती कि कोई कॉलर या प्रेषक बैंक का प्रतिनिधित्व करता है।

रिवोल्यूट का अमेरिकी सुरक्षा मार्गदर्शन कहता है कि कंपनी अप्रत्याशित रूप से ग्राहकों को कॉल नहीं करेगी और उनसे भुगतान करने या सत्यापन और सुरक्षा कोड का खुलासा करने के लिए नहीं कहेगी। संदिग्ध संपर्क प्राप्त करने वाले ग्राहक कंपनी के इन-ऐप सहायता चैनल के माध्यम से इसकी पुष्टि कर सकते हैं।

जिन अमेरिकियों की व्यक्तिगत या बैंकिंग जानकारी उजागर हुई है, उनके लिए संघीय व्यापार आयोग उपभोक्ताओं को शामिल डेटा के प्रकार के आधार पर चरणों के लिए IdentityTheft.gov पर निर्देशित करता है। एजेंसी उपयोगकर्ताओं को ReportFraud.ftc.gov के माध्यम से फ़िशिंग प्रयासों की रिपोर्ट करने की भी सलाह देती है।

FBI का इंटरनेट क्राइम शिकायत केंद्र क्रिप्टोकरेंसी-संबंधित धोखाधड़ी की रिपोर्ट करने वाले लोगों से वॉलेट पते, लेनदेन राशि, संपत्ति के प्रकार, लेनदेन हैश और उपलब्ध होने पर स्थानान्तरण की तारीख और समय प्रदान करने के लिए कहता है।