Hackerii din spatele breșei de date ale clienților Revolut au cerut 6.000 Monero, în valoare de aproximativ 3 milioane de dolari, amenințând că vor vinde înregistrările furate dacă banca nu plătește în 24 de ore.

Cum au stabilit hackerii Revolut termenul limită de 24 de ore

The Financial Times a raportat că un grup care se autointitulează „iamnotavillain” a publicat cererea de răscumpărare miercuri, alături de un cronometru invers. Hackerii au spus că Revolut avea la dispoziție 24 de ore pentru a trimite 6.000 XMR înainte de a oferi înregistrările clienților altor grupuri criminale.

La o valoare implicită de aproximativ 500 de dolari per token, cererea totalizează aproximativ 3 milioane de dolari. Grupul a selectat Monero deoarece criptomoneda este concepută pentru a ascunde informații despre expeditor, destinatar și suma implicată într-o tranzacție.

Potrivit FT, nu au avut loc negocieri între Revolut și hackeri până la publicarea raportului. Revolut nu a declarat dacă intenționează să răspundă cererii sau dacă a confirmat că grupul controlează informațiile furate.

Hackerii au furnizat ziarului o înregistrare video de ecran de 60 de secunde care părea să afișeze o parte din materialul aflat în posesia lor. Pașapoarte, permise de conducere, fotografii depuse în timpul verificărilor de tip know-your-customer și istorice ale tranzacțiilor clienților au apărut în videoclip, conform raportului.

Cel puțin 680 de conturi au fost afectate, deși Revolut a descris public numărul doar ca o parte „foarte limitată” din baza sa de clienți. Un raport anterior crypto.news a constatat că Oficiul Comisarului pentru Informații din Marea Britanie a deschis o anchetă după ce compania a raportat incidentul autorităților de reglementare.

Revolut a declarat că propriile sale sisteme și fondurile clienților nu au fost compromise. În schimb, divulgarea a avut loc după ce compania a primit solicitări frauduloase printr-un cont de e-mail care utiliza domeniul unei agenții guvernamentale legitime.

Solicitările guvernamentale false au expus înregistrările clienților Revolut

În loc să pătrundă direct în infrastructura Revolut, atacatorii s-au dat drept funcționari guvernamentali care căutau informații despre clienți. Solicitările conțineau credențiale valide de autentificare a domeniului și au trecut de verificările pe care Revolut le-a folosit pentru a le evalua legitimitatea.

Revolut a furnizat apoi înregistrările clienților înainte de a descoperi că solicitările erau frauduloase. Odată ce schema a fost identificată, compania a declarat că a blocat adresa de e-mail și a contactat agenția guvernamentală, forțele de ordine, autoritățile de protecție a datelor și autoritățile de reglementare financiară.

După cum au detaliat relatările inițiale, informațiile divulgate includeau nume complete, date de naștere, ocupații, adrese de domiciliu, adrese de e-mail și numere de telefon. Copii ale pașapoartelor sau permiselor de conducere și selfie-uri furnizate pentru verificarea identității se numărau, de asemenea, printre înregistrările enumerate.

Datele contului includeau Numere de Cont Bancar Internațional, datele de deschidere a contului, statusul contului, înregistrări de retrageri și istorice complete ale tranzacțiilor. Numerele de referință ale portofelelor Bitcoin și înregistrările tranzacțiilor Bitcoin erau, de asemenea, conținute în unele extrase de cont.

Notificarea pentru clienți a Revolut a distins fotografiile de verificare a identității de datele telemetrice faciale biometrice, despre care compania a declarat că nu au făcut parte din divulgare. Notificarea nu a identificat, de asemenea, chei private, parole, coduri de securitate sau detalii complete ale cardurilor de plată printre informațiile expuse.

O declarație anterioară a companiei a descris incidentul ca fiind o „înșelătorie sofisticată de impersonare externă” și a susținut că sistemele Revolut au rămas sigure. Compania nu a identificat public agenția guvernamentală al cărei domeniu de e-mail a fost utilizat și nici nu a explicat cum au obținut atacatorii acces la un cont care funcționa prin acel domeniu.

Analiza Blockchain ar fi identificat ținte bogate în criptomonede

Hackerii au declarat pentru FT că au folosit analiza blockchain pentru a selecta clienții Revolut care păreau să dețină cantități substanțiale de criptomonede. Relatarea lor, dacă este exactă, ar indica faptul că grupul afectat a fost ales parțial prin activitatea sa financiară, mai degrabă decât printr-o colecție aleatorie de profiluri de clienți.

Investigatorul on-chain ZachXBT a declarat anterior că incidentul părea să implice utilizatori cu un patrimoniu net ridicat, deși Revolut nu a confirmat această evaluare. Ultima declarație a hackerilor oferă o relatare similară a metodei lor de țintire, dar nu a fost verificată independent.

Blockchain-urile publice pot expune istoricele tranzacțiilor, soldurile portofelelor și transferurile între adrese. Analiștii pot conecta uneori acea activitate cu o persoană identificată atunci când un schimb, o companie financiară sau alt serviciu deține înregistrări care leagă un cont de client de o adresă blockchain.

Înregistrările Revolut divulgate pot conține ambele părți ale acestei conexiuni. Documentele de identitate și informațiile de contact pot identifica titularul contului, în timp ce istoricele tranzacțiilor Bitcoin și numerele de referință ale portofelelor pot cartografia părți din activitatea cripto a persoanei.

O recenzie din august a monedelor de confidențialitate a explicat că Monero face confidențialitatea tranzacțiilor obligatorie. Semnăturile sale circulare (ring signatures) ascund adevăratul expeditor dintr-un grup de posibili participanți, adresele stealth ascund adresa publică a destinatarului, iar Tranzacțiile Confidențiale Circulare (Ring Confidential Transactions) ascund suma trimisă.

Utilizarea criminală a XMR nu stabilește că tokenul sau toți utilizatorii săi sunt implicați în activități ilegale. Monero servește, de asemenea, persoanelor care caută confidențialitate financiară, dar designul său poate face ca urmele de plată ilicite să fie mai dificil de urmărit pentru investigatori decât activitatea desfășurată pe rețele transparente precum Bitcoin sau Ethereum.

Un caz separat din august a arătat aceeași provocare după ce investigatorii au declarat că activele dintr-un hack Coinsbuy raportat de 7,9 milioane de dolari au fost convertite în Monero. Firmele blockchain au urmărit porțiuni din aceste fonduri prin mai multe schimburi înainte ca unele active să fie, se pare, schimbate pentru XMR.

Ce înseamnă breșa pentru clienții cripto din SUA

Raportul FT nu a specificat dacă vreunul dintre cele 680 de conturi afectate aparținea clienților din SUA. Cu toate acestea, combinația de înregistrări de identitate verificate și date de tranzacții cripto creează un risc relevant pentru americanii care primesc mesaje pretinzând că provin de la Revolut, un schimb, o agenție guvernamentală sau un furnizor de portofele.

Astfel de înregistrări ar putea permite infractorilor să creeze mesaje care conțin un nume real, o tranzacție, un detaliu de cont sau un document de identitate. Prezența informațiilor personale exacte nu dovedește că un apelant sau expeditor reprezintă banca.

Ghidul de securitate al Revolut pentru SUA spune că compania nu va apela clienții în mod neașteptat și nu le va cere să efectueze o plată sau să divulge coduri de verificare și de securitate. Clienții care primesc contacte suspecte le pot verifica prin canalul de suport din aplicație al companiei.

Pentru americanii ale căror informații personale sau bancare au fost expuse, Comisia Federală pentru Comerț (Federal Trade Commission) direcționează consumatorii către IdentityTheft.gov pentru pași bazați pe tipul de date implicate. Agenția sfătuiește, de asemenea, utilizatorii să raporteze tentativele de phishing prin ReportFraud.ftc.gov.

Centrul de Reclamații pentru Crime pe Internet al FBI solicită persoanelor care raportează fraude legate de criptomonede să furnizeze adrese de portofel, sume tranzacționate, tipuri de active, hash-uri de tranzacții și datele și orele transferurilor, atunci când sunt disponibile.