Die Hacker hinter dem Datenschutzverstoß bei Revolut haben 6.000 Monero, im Wert von etwa 3 Millionen US-Dollar, gefordert und drohen damit, die gestohlenen Datensätze zu verkaufen, wenn die Bank nicht innerhalb von 24 Stunden zahlt.
Zusammenfassung
- Hacker haben von Revolut 6.000 XMR im Wert von etwa 3 Millionen US-Dollar gefordert.
- Mindestens 680 Kundenkonten waren betroffen, nachdem betrügerische Regierungsanfragen die Unternehmensprüfungen passiert hatten.
- Zu den gestohlenen Datensätzen gehören Berichten zufolge Ausweisdokumente, Verifizierungsfotos und vollständige Transaktionsverläufe.
- Die Angreifer gaben an, dass Blockchain-Analysen ihnen geholfen hätten, Kunden mit großen Krypto-Beständen zu identifizieren.
Wie die Revolut-Hacker die 24-Stunden-Frist setzten
Die Financial Times berichtete, dass eine Gruppe, die sich „iamnotavillain“ nennt, die Lösegeldforderung am Mittwoch zusammen mit einer Countdown-Uhr veröffentlichte. Die Hacker erklärten, Revolut habe 24 Stunden Zeit, 6.000 XMR zu senden, bevor sie die Kundendatensätze anderen kriminellen Gruppen anbieten würden.
Bei einem impliziten Wert von etwa 500 US-Dollar pro Token beläuft sich die Forderung auf ungefähr 3 Millionen US-Dollar. Die Gruppe wählte Monero, weil diese Kryptowährung darauf ausgelegt ist, Informationen über den Absender, den Empfänger und den Betrag einer Transaktion zu verbergen.
Laut der FT fanden bis zur Veröffentlichung ihres Berichts keine Verhandlungen zwischen Revolut und den Hackern statt. Revolut hatte weder erklärt, ob es auf die Forderung reagieren wolle, noch bestätigt, dass die Gruppe die Kontrolle über die gestohlenen Informationen habe.
Die Hacker stellten der Zeitung eine 60-sekündige Bildschirmaufnahme zur Verfügung, die offenbar einen Teil des Materials in ihrem Besitz zeigte. Laut dem Bericht waren in dem Video Pässe, Führerscheine, im Rahmen von Know-your-Customer-Prüfungen eingereichte Fotos und Kundentransaktionsverläufe zu sehen.
Mindestens 680 Konten waren betroffen, obwohl Revolut die Zahl öffentlich nur als einen „sehr begrenzten“ Teil seiner Kundenbasis bezeichnet hat. Ein früherer Bericht von crypto.news ergab, dass das britische Information Commissioner’s Office eine Untersuchung eingeleitet hatte, nachdem das Unternehmen den Vorfall den Aufsichtsbehörden gemeldet hatte.
Revolut hat erklärt, dass seine eigenen Systeme und Kundengelder nicht kompromittiert wurden. Stattdessen erfolgte die Offenlegung, nachdem das Unternehmen betrügerische Anfragen über ein E-Mail-Konto erhalten hatte, das die Domain einer legitimen Regierungsbehörde nutzte.
Gefälschte Regierungsanfragen legten Revolut-Kundendaten offen
Anstatt direkt in die Infrastruktur von Revolut einzudringen, gaben sich die Angreifer als Regierungsbeamte aus, die Kundeninformationen anforderten. Die Anfragen trugen gültige Domain-Authentifizierungsnachweise und bestanden die Prüfungen, die Revolut zur Bewertung ihrer Legitimität einsetzte.
Wie in der ersten Berichterstattung ausführlich dargelegt, umfassten die veröffentlichten Informationen vollständige Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern. Kopien von Pässen oder Führerscheinen und zur Identitätsverifizierung bereitgestellte Selfies waren ebenfalls unter den aufgeführten Datensätzen.
Zu den Kontodaten gehörten Internationale Bankkontonummern, Kontoeröffnungsdaten, Kontostatus, Auszahlungsaufzeichnungen und vollständige Transaktionsverläufe. In einigen Kontoauszügen waren auch Bitcoin-Wallet-Referenznummern und Aufzeichnungen von Bitcoin-Transaktionen enthalten.
In der Kundenmitteilung von Revolut wurden Identitätsprüfungsfotos von biometrischen Gesichts-Telemetriedaten unterschieden, die laut dem Unternehmen nicht Teil der Offenlegung waren. Die Mitteilung nannte auch keine privaten Schlüssel, Passwörter, Sicherheitscodes oder vollständigen Zahlungskartendaten unter den offengelegten Informationen.
Eine frühere Unternehmenserklärung bezeichnete den Vorfall als „raffinierten externen Identitätsbetrug“ und behauptete, dass die Systeme von Revolut sicher geblieben seien. Das Unternehmen hat die Regierungsbehörde, deren E-Mail-Domain verwendet wurde, nicht öffentlich identifiziert oder erklärt, wie die Angreifer Zugang zu einem über diese Domain betriebenen Konto erlangten.
Blockchain-Analyse identifizierte Berichten zufolge krypto-reiche Ziele
Die Hacker teilten der FT mit, dass sie Blockchain-Analysen nutzten, um Revolut-Kunden auszuwählen, die offenbar beträchtliche Mengen an Kryptowährung hielten. Ihr Bericht, falls zutreffend, würde darauf hindeuten, dass die betroffene Gruppe teilweise aufgrund ihrer finanziellen Aktivität und nicht durch eine zufällige Sammlung von Kundenprofilen ausgewählt wurde.
Der On-Chain-Ermittler ZachXBT hatte zuvor erklärt, der Vorfall scheine Nutzer mit hohem Vermögen zu betreffen, obwohl Revolut diese Einschätzung nicht bestätigt hatte. Die neueste Erklärung der Hacker liefert eine ähnliche Darstellung ihrer Vorgehensweise bei der Zielauswahl, sie wurde jedoch nicht unabhängig verifiziert.
Öffentliche Blockchains können Transaktionsverläufe, Wallet-Guthaben und Überweisungen zwischen Adressen offenlegen. Analysten können diese Aktivität manchmal mit einer identifizierten Person in Verbindung bringen, wenn eine Börse, ein Finanzunternehmen oder ein anderer Dienst Aufzeichnungen besitzt, die ein Kundenkonto mit einer Blockchain-Adresse verknüpfen.
Ein Überblick über Privacy-Coins vom August erklärte, dass Monero Transaktionsprivatsphäre verpflichtend macht. Seine Ringsignaturen verschleiern den wahren Absender innerhalb einer Gruppe möglicher Teilnehmer, Stealth-Adressen verbergen die öffentliche Adresse des Empfängers, und Ring Confidential Transactions verbergen den gesendeten Betrag.
Die kriminelle Nutzung von XMR belegt nicht, dass der Token oder alle seine Nutzer an illegalen Aktivitäten beteiligt sind. Monero dient auch Menschen, die finanzielle Privatsphäre suchen, doch sein Design kann es für Ermittler schwieriger machen, Spuren illegaler Zahlungen zu verfolgen, als Aktivitäten auf transparenten Netzwerken wie Bitcoin oder Ethereum.
Ein separater Fall vom August zeigte dieselbe Herausforderung, nachdem Ermittler erklärten, dass Vermögenswerte aus einem gemeldeten Coinsbuy-Hack in Höhe von 7,9 Millionen Dollar in Monero umgewandelt wurden. Blockchain-Firmen verfolgten Teile dieser Gelder über mehrere Börsen, bevor einige Vermögenswerte Berichten zufolge gegen XMR getauscht wurden.
Was der Datenschutzverstoß für US-Krypto-Kunden bedeutet
Der FT-Bericht gab nicht an, ob eines der 680 betroffenen Konten US-Kunden gehörte. Dennoch schafft die Kombination aus verifizierten Identitätsdaten und Krypto-Transaktionsdaten ein relevantes Risiko für Amerikaner, die Nachrichten erhalten, die angeblich von Revolut, einer Börse, einer Regierungsbehörde oder einem Wallet-Anbieter stammen.
Solche Aufzeichnungen könnten Kriminellen ermöglichen, Nachrichten mit einem echten Namen, einer Transaktion, einem Kontodetail oder einem Identitätsdokument zu erstellen. Das Vorhandensein korrekter persönlicher Informationen beweist nicht, dass ein Anrufer oder Absender die Bank vertritt.
Für Amerikaner, deren persönliche oder Bankinformationen offengelegt wurden, verweist die Federal Trade Commission Verbraucher an IdentityTheft.gov für Schritte, die auf der Art der betroffenen Daten basieren. Die Behörde empfiehlt Nutzern außerdem, Phishing-Versuche über ReportFraud.ftc.gov zu melden.
Das Internet Crime Complaint Center des FBI bittet Personen, die kryptowährungsbezogenen Betrug melden, Wallet-Adressen, Transaktionsbeträge, Asset-Typen, Transaktions-Hashes sowie Datum und Uhrzeit der Überweisungen anzugeben, sofern verfügbar.
