Хакери, які стоять за витоком даних клієнтів Revolut, вимагають 6 000 Monero, що становить близько $3 мільйонів, погрожуючи продати викрадені записи, якщо банк не заплатить протягом 24 годин.

Як хакери Revolut встановили 24-годинний термін

The Financial Times повідомила, що група, яка називає себе «iamnotavillain», опублікувала вимогу про викуп у середу разом із годинником зворотного відліку. Хакери заявили, що Revolut має 24 години, щоб відправити 6 000 XMR, перш ніж вони запропонують записи клієнтів іншим злочинним угрупованням.

За умовної вартості близько $500 за токен, загальна сума вимоги становить приблизно $3 мільйони. Група обрала Monero, оскільки ця криптовалюта розроблена для приховування інформації про відправника, одержувача та суму транзакції.

За даними FT, на момент публікації її звіту жодних переговорів між Revolut і хакерами не відбулося. Revolut не повідомив, чи планує він відповідати на вимоги, а також не підтвердив, що група контролює викрадену інформацію.

Хакери надали газеті 60-секундний запис екрану, який, як видається, демонстрував частину матеріалів, що знаходяться в їхньому розпорядженні. Згідно зі звітом, у відео були показані паспорти, водійські посвідчення, фотографії, подані під час перевірок «знай свого клієнта» (KYC), та історії транзакцій клієнтів.

Постраждали щонайменше 680 облікових записів, хоча Revolut публічно описав цю кількість лише як «дуже обмежену» частину своєї клієнтської бази. Попередній звіт crypto.news виявив, що Управління Комісара з питань інформації Великої Британії розпочало розслідування після того, як компанія повідомила про інцидент регуляторам.

Revolut заявив, що його власні системи та кошти клієнтів не були скомпрометовані. Натомість, витік стався після того, як компанія отримала шахрайські запити через електронну пошту, використовуючи домен легітимної урядової установи.

Фальшиві урядові запити викрили записи клієнтів Revolut

Замість того, щоб безпосередньо зламати інфраструктуру Revolut, нападники видали себе за державних службовців, які шукають інформацію про клієнтів. Запити містили дійсні облікові дані для аутентифікації домену та пройшли перевірки, які Revolut використовував для оцінки їхньої легітимності.

Потім Revolut надав записи клієнтів, перш ніж виявив, що запити були шахрайськими. Після виявлення схеми компанія заявила, що заблокувала електронну адресу та зв'язалася з урядовою установою, правоохоронними органами, органами захисту даних та фінансовими регуляторами.

Як деталізувалося в початковому висвітленні, оприлюднена інформація включала повні імена, дати народження, професії, домашні адреси, електронні адреси та номери телефонів. Копії паспортів або водійських посвідчень та селфі, надані для верифікації особи, також були серед перелічених записів.

Дані облікового запису включали міжнародні банківські рахунки (IBAN), дати відкриття рахунків, статус рахунків, записи про зняття коштів та повні історії транзакцій. Номери посилань біткойн-гаманців та записи біткойн-транзакцій також містилися в деяких виписках з рахунків.

Повідомлення Revolut для клієнтів розрізняло фотографії для перевірки особи від біометричних даних телеметрії обличчя, які, за словами компанії, не були частиною витоку. У повідомленні також не вказувалися приватні ключі, паролі, коди безпеки або повні дані платіжних карток серед викритої інформації.

У ранішій заяві компанії інцидент було описано як «складну зовнішню шахрайську схему видачі себе за іншу особу», і стверджувалося, що системи Revolut залишаються безпечними. Компанія не оприлюднила назву урядової установи, домен електронної пошти якої було використано, або не пояснила, як нападники отримали доступ до облікового запису, що працює через цей домен.

Аналіз блокчейну, як повідомляється, виявив цілі з великими криптоактивами

Хакери повідомили FT, що вони використовували аналіз блокчейну для відбору клієнтів Revolut, які, як виявилося, тримали значні суми криптовалюти. Їхня заява, якщо вона точна, вказувала б на те, що постраждала група була обрана частково через її фінансову активність, а не через випадкову добірку профілів клієнтів.

Ончейн-дослідник ZachXBT раніше заявляв, що інцидент, схоже, зачіпає користувачів з високим рівнем доходу, хоча Revolut не підтвердив цю оцінку. Остання заява хакерів надає схожий опис їхнього методу націлювання, але вона не була незалежно перевірена.

Публічні блокчейни можуть розкривати історії транзакцій, баланси гаманців та перекази між адресами. Аналітики іноді можуть пов'язати цю активність з ідентифікованою особою, коли біржа, фінансова компанія або інший сервіс зберігає записи, що пов'язують обліковий запис клієнта з адресою блокчейну.

Розкриті записи Revolut можуть містити обидві сторони цього зв'язку. Документи, що посвідчують особу, та контактна інформація можуть ідентифікувати власника облікового запису, тоді як історії транзакцій Bitcoin та референсні номери гаманців можуть відображати частини криптоактивності особи.

Серпневий огляд конфіденційних монет пояснив, що Monero робить конфіденційність транзакцій обов'язковою. Її кільцеві підписи приховують справжнього відправника серед групи можливих учасників, приховані адреси приховують публічну адресу одержувача, а кільцеві конфіденційні транзакції (Ring Confidential Transactions) приховують суму відправлення.

Злочинне використання XMR не означає, що токен або всі його користувачі залучені до незаконної діяльності. Monero також служить людям, які прагнуть фінансової конфіденційності, але його дизайн може ускладнити відстеження незаконних платіжних слідів для слідчих, ніж діяльність, що здійснюється в прозорих мережах, таких як Bitcoin або Ethereum.

Окремий серпневий випадок показав ту ж проблему після того, як слідчі заявили, що активи з хаку Coinsbuy на суму $7.9 мільйонів були конвертовані в Monero. Блокчейн-фірми відстежували частини цих коштів через кілька бірж, перш ніж деякі активи, як повідомляється, були обміняні на XMR.

Що означає витік для американських крипто-клієнтів

Звіт FT не уточнює, чи належали будь-які з 680 постраждалих облікових записів клієнтам зі США. Проте, поєднання перевірених записів особистих даних та криптотранзакційних даних створює відповідний ризик для американців, які отримують повідомлення, що надходять нібито від Revolut, біржі, державного органу або постачальника гаманців.

Такі записи можуть дозволити злочинцям створювати повідомлення, що містять справжнє ім'я, транзакцію, деталі облікового запису або документ, що посвідчує особу. Наявність точної особистої інформації не доводить, що той, хто телефонує або надсилає повідомлення, представляє банк.

Інструкції Revolut щодо безпеки для США зазначають, що компанія не буде несподівано телефонувати клієнтам і просити їх здійснити платіж або розкрити коди верифікації та безпеки. Клієнти, які отримують підозрілі контакти, можуть перевірити їх через канал підтримки компанії в додатку.

Для американців, чия особиста або банківська інформація була розкрита, Федеральна торгова комісія скеровує споживачів на IdentityTheft.gov для отримання кроків залежно від типу даних. Агентство також радить користувачам повідомляти про фішингові спроби через ReportFraud.ftc.gov.

Центр скарг на інтернет-злочини ФБР просить людей, які повідомляють про шахрайство, пов'язане з криптовалютою, надавати адреси гаманців, суми транзакцій, типи активів, хеші транзакцій, а також дати та час переказів, якщо такі дані доступні.