Các tin tặc đứng sau vụ rò rỉ dữ liệu khách hàng của Revolut đã đòi 6.000 Monero, trị giá khoảng 3 triệu đô la, đồng thời đe dọa bán các hồ sơ bị đánh cắp nếu ngân hàng không trả tiền trong vòng 24 giờ.
Tờ Financial Times đưa tin một nhóm tự xưng là "iamnotavillain" đã công bố yêu cầu chuộc tiền vào thứ Tư cùng với đồng hồ đếm ngược. Các tin tặc cho biết Revolut có 24 giờ để gửi 6.000 XMR trước khi họ cung cấp các hồ sơ khách hàng cho các nhóm tội phạm khác.
Với giá trị ước tính khoảng 500 đô la mỗi token, tổng số tiền yêu cầu là khoảng 3 triệu đô la. Nhóm này đã chọn Monero vì tiền điện tử này được thiết kế để che giấu thông tin về người gửi, người nhận và số tiền liên quan đến một giao dịch.
Theo FT, không có cuộc đàm phán nào giữa Revolut và các tin tặc diễn ra vào thời điểm báo cáo của họ được công bố. Revolut chưa cho biết liệu họ có kế hoạch đáp ứng yêu cầu hay xác nhận rằng nhóm này kiểm soát thông tin bị đánh cắp hay không.
Các tin tặc đã cung cấp cho tờ báo một bản ghi màn hình dài 60 giây dường như hiển thị một phần tài liệu mà họ đang sở hữu. Hộ chiếu, giấy phép lái xe, ảnh được gửi trong quá trình kiểm tra xác minh danh tính khách hàng (KYC) và lịch sử giao dịch của khách hàng đã xuất hiện trong video, theo báo cáo.
Ít nhất 680 tài khoản đã bị ảnh hưởng, mặc dù Revolut chỉ công khai mô tả con số này là một phần "rất hạn chế" trong tổng số khách hàng của mình. Một báo cáo trước đó của crypto.news đã phát hiện ra rằng Văn phòng Ủy viên Thông tin của Anh đã mở một cuộc điều tra sau khi công ty báo cáo sự cố cho các cơ quan quản lý.
Revolut đã tuyên bố rằng hệ thống và quỹ của khách hàng không bị xâm phạm. Thay vào đó, việc tiết lộ xảy ra sau khi công ty nhận được các yêu cầu giả mạo thông qua một tài khoản email sử dụng tên miền của một cơ quan chính phủ hợp pháp.
Thay vì đột nhập trực tiếp vào hạ tầng của Revolut, những kẻ tấn công đã mạo danh quan chức chính phủ để tìm kiếm thông tin khách hàng. Các yêu cầu này mang thông tin xác thực tên miền hợp lệ và đã vượt qua các kiểm tra mà Revolut sử dụng để đánh giá tính hợp pháp của chúng.
Revolut sau đó đã cung cấp hồ sơ khách hàng trước khi phát hiện ra rằng các yêu cầu này là giả mạo. Sau khi phát hiện ra kế hoạch này, công ty cho biết họ đã chặn địa chỉ email và liên hệ với cơ quan chính phủ, cơ quan thực thi pháp luật, cơ quan bảo vệ dữ liệu và các cơ quan quản lý tài chính.
Như các báo cáo ban đầu đã nêu chi tiết, thông tin bị rò rỉ bao gồm họ tên đầy đủ, ngày sinh, nghề nghiệp, địa chỉ nhà, địa chỉ email và số điện thoại. Bản sao hộ chiếu hoặc giấy phép lái xe và ảnh selfie được cung cấp để xác minh danh tính cũng nằm trong số các hồ sơ được liệt kê.
Dữ liệu tài khoản bao gồm Số tài khoản ngân hàng quốc tế (IBAN), ngày mở tài khoản, trạng thái tài khoản, hồ sơ rút tiền và lịch sử giao dịch đầy đủ. Số tham chiếu ví Bitcoin và hồ sơ giao dịch Bitcoin cũng có trong một số sao kê tài khoản.
Thông báo khách hàng của Revolut phân biệt ảnh kiểm tra danh tính với dữ liệu đo từ xa sinh trắc học khuôn mặt, mà công ty cho biết không phải là một phần của vụ tiết lộ. Thông báo cũng không xác định khóa riêng tư, mật khẩu, mã bảo mật hoặc chi tiết thẻ thanh toán đầy đủ nằm trong số thông tin bị lộ.
Một tuyên bố trước đó của công ty đã mô tả sự cố này là một “vụ lừa đảo mạo danh bên ngoài tinh vi” và khẳng định rằng hệ thống của Revolut vẫn an toàn. Công ty chưa công khai xác định cơ quan chính phủ nào có tên miền email đã được sử dụng hoặc giải thích cách những kẻ tấn công truy cập vào một tài khoản hoạt động thông qua tên miền đó.
Các tin tặc nói với FT rằng họ đã sử dụng phân tích chuỗi khối để chọn những khách hàng Revolut dường như nắm giữ một lượng lớn tiền điện tử. Lời tường thuật của họ, nếu chính xác, sẽ cho thấy rằng nhóm bị ảnh hưởng được chọn một phần thông qua hoạt động tài chính của họ chứ không phải thông qua một tập hợp ngẫu nhiên các hồ sơ khách hàng.
Nhà điều tra chuỗi khối ZachXBT trước đây đã nói rằng sự cố này dường như liên quan đến những người dùng có giá trị tài sản ròng cao, mặc dù Revolut chưa xác nhận đánh giá đó. Tuyên bố mới nhất của các tin tặc cung cấp một lời giải thích tương tự về phương pháp nhắm mục tiêu của họ, nhưng nó chưa được xác minh độc lập.
Các chuỗi khối công khai có thể tiết lộ lịch sử giao dịch, số dư ví và chuyển khoản giữa các địa chỉ. Các nhà phân tích đôi khi có thể kết nối hoạt động đó với một người được xác định khi một sàn giao dịch, công ty tài chính hoặc dịch vụ khác lưu giữ hồ sơ liên kết tài khoản khách hàng với một địa chỉ chuỗi khối.
Các hồ sơ Revolut bị tiết lộ có thể chứa cả hai phía của kết nối đó. Giấy tờ tùy thân và thông tin liên hệ có thể xác định chủ tài khoản, trong khi lịch sử giao dịch Bitcoin và số tham chiếu ví có thể lập bản đồ một phần hoạt động tiền điện tử của người đó.
Một đánh giá vào tháng 8 về các đồng tiền riêng tư đã giải thích rằng Monero bắt buộc phải có quyền riêng tư giao dịch. Các chữ ký vòng của nó che khuất người gửi thực sự trong một nhóm những người tham gia tiềm năng, các địa chỉ ẩn giấu địa chỉ công khai của người nhận và Giao dịch bảo mật vòng (Ring Confidential Transactions) che giấu số tiền gửi.
Việc sử dụng XMR vào mục đích tội phạm không chứng minh rằng token này hoặc tất cả người dùng của nó tham gia vào hoạt động bất hợp pháp. Monero cũng phục vụ những người tìm kiếm quyền riêng tư tài chính, nhưng thiết kế của nó có thể khiến các dấu vết thanh toán bất hợp pháp khó theo dõi hơn đối với các nhà điều tra so với hoạt động được thực hiện trên các mạng lưới minh bạch như Bitcoin hoặc Ethereum.
Một trường hợp riêng biệt vào tháng 8 đã cho thấy thách thức tương tự sau khi các nhà điều tra cho biết tài sản từ vụ hack Coinsbuy trị giá 7,9 triệu đô la đã được chuyển đổi thành Monero. Các công ty blockchain đã theo dõi một phần số tiền đó thông qua một số sàn giao dịch trước khi một số tài sản được cho là đã được đổi lấy XMR.
Báo cáo của FT không nêu rõ liệu bất kỳ tài khoản nào trong số 680 tài khoản bị ảnh hưởng có thuộc về khách hàng Hoa Kỳ hay không. Tuy nhiên, sự kết hợp giữa hồ sơ danh tính đã xác minh và dữ liệu giao dịch tiền điện tử tạo ra một rủi ro liên quan cho người Mỹ nhận được tin nhắn tự xưng là từ Revolut, một sàn giao dịch, một cơ quan chính phủ hoặc một nhà cung cấp ví.
Những hồ sơ như vậy có thể cho phép tội phạm tạo ra các tin nhắn chứa tên thật, giao dịch, chi tiết tài khoản hoặc giấy tờ tùy thân. Sự hiện diện của thông tin cá nhân chính xác không chứng minh rằng người gọi hoặc người gửi đại diện cho ngân hàng.
Hướng dẫn bảo mật của Revolut tại Hoa Kỳ nói rằng công ty sẽ không gọi điện bất ngờ cho khách hàng và yêu cầu họ thực hiện thanh toán hoặc tiết lộ mã xác minh và bảo mật. Khách hàng nhận được liên hệ đáng ngờ có thể xác minh nó thông qua kênh hỗ trợ trong ứng dụng của công ty.
Đối với người Mỹ có thông tin cá nhân hoặc ngân hàng đã bị lộ, Ủy ban Thương mại Liên bang (FTC) hướng dẫn người tiêu dùng đến IdentityTheft.gov để biết các bước dựa trên loại dữ liệu liên quan. Cơ quan này cũng khuyên người dùng báo cáo các nỗ lực lừa đảo (phishing) thông qua ReportFraud.ftc.gov.
Trung tâm Khiếu nại Tội phạm Internet của FBI (IC3) yêu cầu những người báo cáo gian lận liên quan đến tiền điện tử cung cấp địa chỉ ví, số tiền giao dịch, loại tài sản, mã băm giao dịch (transaction hashes), cũng như ngày và giờ chuyển khoản khi có sẵn.
XMR
BTC