Os hackers por trás da violação de dados de clientes da Revolut exigiram 6.000 Monero, avaliados em cerca de US$ 3 milhões, e ameaçam vender os registros roubados a menos que o banco pague em 24 horas.
O Financial Times noticiou que um grupo que se autodenomina “iamnotavillain” publicou o pedido de resgate na quarta-feira, juntamente com um relógio de contagem regressiva. Os hackers disseram que a Revolut tinha 24 horas para enviar 6.000 XMR antes que eles oferecessem os registros dos clientes a outros grupos criminosos.
Com um valor implícito de cerca de US$ 500 por token, a demanda totaliza aproximadamente US$ 3 milhões. O grupo selecionou Monero porque a criptomoeda é projetada para ocultar informações sobre o remetente, o destinatário e o valor envolvido em uma transação.
De acordo com o FT, nenhuma negociação entre a Revolut e os hackers havia ocorrido até o momento da publicação de seu relatório. A Revolut não havia dito se planejava responder à demanda ou confirmado que o grupo controlava as informações roubadas.
Os hackers forneceram ao jornal uma gravação de tela de 60 segundos que parecia exibir parte do material em sua posse. Passaportes, carteiras de motorista, fotografias enviadas durante verificações de "conheça seu cliente" (KYC) e históricos de transações de clientes apareceram no vídeo, de acordo com o relatório.
Pelo menos 680 contas foram afetadas, embora a Revolut tenha descrito publicamente o número apenas como uma porção “muito limitada” de sua base de clientes. Um relatório anterior do crypto.news descobriu que o Information Commissioner’s Office da Grã-Bretanha havia aberto uma investigação depois que a empresa reportou o incidente aos reguladores.
A Revolut afirmou que seus próprios sistemas e fundos de clientes não foram comprometidos. Em vez disso, a divulgação ocorreu depois que a empresa recebeu solicitações fraudulentas por meio de uma conta de e-mail usando o domínio de uma agência governamental legítima.
Em vez de invadir diretamente a infraestrutura da Revolut, os invasores se passaram por funcionários do governo buscando informações de clientes. As solicitações continham credenciais de autenticação de domínio válidas e passaram nos controles que a Revolut usava para avaliar sua legitimidade.
A Revolut então forneceu registros de clientes antes de descobrir que as solicitações eram fraudulentas. Uma vez identificado o esquema, a empresa disse que bloqueou o endereço de e-mail e contatou a agência governamental, as autoridades policiais, as autoridades de proteção de dados e os reguladores financeiros.
Como detalhado na cobertura inicial, as informações divulgadas incluíam nomes completos, datas de nascimento, ocupações, endereços residenciais, endereços de e-mail e números de telefone. Cópias de passaportes ou carteiras de motorista e selfies fornecidas para verificação de identidade também estavam entre os registros listados.
Os dados da conta incluíam números de contas bancárias internacionais (IBANs), datas de abertura de conta, status da conta, registros de saques e históricos completos de transações. Números de referência de carteiras Bitcoin e registros de transações Bitcoin também estavam contidos em alguns extratos de conta.
O aviso ao cliente da Revolut distinguiu fotografias de verificação de identidade de dados de telemetria facial biométrica, que a empresa disse não fazer parte da divulgação. O aviso também não identificou chaves privadas, senhas, códigos de segurança ou detalhes completos de cartões de pagamento entre as informações expostas.
Uma declaração anterior da empresa descreveu o incidente como um “golpe de impersonificação externa sofisticado” e manteve que os sistemas da Revolut permaneceram seguros. A empresa não identificou publicamente a agência governamental cujo domínio de e-mail foi usado ou explicou como os invasores obtiveram acesso a uma conta que operava por meio desse domínio.
Os hackers disseram ao FT que usaram análise de blockchain para selecionar clientes da Revolut que pareciam possuir quantidades substanciais de criptomoedas. A conta deles, se precisa, indicaria que o grupo afetado foi escolhido em parte por sua atividade financeira, e não por uma coleta aleatória de perfis de clientes.
O investigador on-chain ZachXBT havia dito anteriormente que o incidente parecia envolver usuários de alto patrimônio líquido, embora a Revolut não tenha confirmado essa avaliação. A declaração mais recente dos hackers fornece um relato semelhante de seu método de segmentação, mas não foi verificada independentemente.
Blockchains públicas podem expor históricos de transações, saldos de carteiras e transferências entre endereços. Analistas às vezes podem conectar essa atividade a uma pessoa identificada quando uma exchange, empresa financeira ou outro serviço mantém registros que vinculam uma conta de cliente a um endereço de blockchain.
Os registros divulgados da Revolut podem conter ambos os lados dessa conexão. Documentos de identidade e informações de contato podem identificar o titular da conta, enquanto históricos de transações Bitcoin e números de referência de carteiras podem mapear partes da atividade cripto da pessoa.
Uma revisão de agosto sobre moedas de privacidade explicou que o Monero torna a privacidade das transações obrigatória. Suas assinaturas de anel obscurecem o verdadeiro remetente entre um grupo de participantes possíveis, endereços furtivos ocultam o endereço público do destinatário e as Transações Confidenciais de Anel ocultam o valor enviado.
O uso criminoso de XMR não estabelece que o token ou todos os seus usuários estejam envolvidos em atividades ilegais. O Monero também atende pessoas que buscam privacidade financeira, mas seu design pode tornar as trilhas de pagamento ilícitas mais difíceis para os investigadores seguirem do que a atividade conduzida em redes transparentes como Bitcoin ou Ethereum.
Um caso separado de agosto mostrou o mesmo desafio depois que investigadores disseram que ativos de um hack relatado de US$ 7,9 milhões da Coinsbuy foram convertidos em Monero. Empresas de blockchain rastrearam porções desses fundos por meio de várias exchanges antes que alguns ativos fossem supostamente trocados por XMR.
O relatório do FT não especificou se alguma das 680 contas afetadas pertencia a clientes dos EUA. Ainda assim, a combinação de registros de identidade verificados e dados de transações de criptomoedas cria um risco relevante para os americanos que recebem mensagens que afirmam vir da Revolut, de uma exchange, de uma agência governamental ou de um provedor de carteira.
Tais registros poderiam permitir que criminosos criassem mensagens contendo um nome real, transação, detalhe de conta ou documento de identidade. A presença de informações pessoais precisas não prova que um chamador ou remetente representa o banco.
As diretrizes de segurança da Revolut nos EUA afirmam que a empresa não ligará inesperadamente para clientes e pedirá que façam um pagamento ou divulguem códigos de verificação e segurança. Clientes que recebem contato suspeito podem verificá-lo por meio do canal de suporte no aplicativo da empresa.
Para americanos cujas informações pessoais ou bancárias foram expostas, a Federal Trade Commission direciona os consumidores para IdentityTheft.gov para obter etapas com base no tipo de dados envolvidos. A agência também aconselha os usuários a relatar tentativas de phishing por meio de ReportFraud.ftc.gov.
O Internet Crime Complaint Center do FBI pede às pessoas que relatam fraudes relacionadas a criptomoedas que forneçam endereços de carteira, valores de transação, tipos de ativos, hashes de transação e as datas e horas das transferências, quando disponíveis.
XMR
BTC