ریوُلوت هویت مشتریان و سوابق مالی آنها، از جمله تاریخچه تراکنش‌های بیت‌کوین را پس از عمل کردن به درخواست جعلی که به نظر می‌رسید از یک نهاد دولتی آمده است، افشا کرده است.

بر اساس اطلاعیه مشتریان ریوُلوت که توسط محقق بلاکچین ZachXBT در تلگرام به اشتراک گذاشته شده است، این درخواست از یک حساب ایمیل غیرمجاز ارسال شده که از دامنه رسمی یک نهاد دولتی استفاده کرده است. این پیام بررسی‌های احراز هویت دامنه را پشت سر گذاشته بود و ریوُلوت اظهار داشت که هنگام ارائه اطلاعات، این درخواست را واقعی تلقی کرده است.

این اطلاعیه نام نهاد مذکور را ذکر نمی‌کند و همچنین نمی‌گوید که فرستنده غیرمجاز چگونه به دامنه ایمیل آن دسترسی پیدا کرده است. همچنین هیچ تاریخی برای درخواست یا افشاگری ارائه نشده است. ZachXBT گفت که چندین مشتری در روز جمعه، ۱۱ سپتامبر، ایمیل هشدار دریافت کرده‌اند، اما نه او و نه بخشی از اطلاعیه که در پست او نشان داده شده است، تعداد تأیید شده‌ای از کاربران متأثر را ارائه نکرده‌اند.

چگونه درخواست جعلی به ریوُلوت رسید

ریوُلوت در روایت خود از این حادثه، گفت که ایمیل به نظر یک درخواست قانونی دولتی می‌رسیده، زیرا اعتبارنامه‌های احراز هویت دامنه معتبر را به همراه داشته است. این درخواست مستقیماً از یک حساب غیرمجاز و با استفاده از دامنه ایمیل رسمی آن نهاد ارسال شده بود، نه از آدرسی که شبیه به آن ساخته شده باشد.

در این اطلاعیه آمده است: «از آنجایی که این ارتباط دارای اعتبارنامه‌های احراز هویت دامنه معتبر بود، با این باور منطقی که درخواست واقعی یک نهاد دولتی است، انجام شد.»

این عبارت یک افشای غیرمجاز را توصیف می‌کند که در پاسخ به یک درخواست فریبنده صورت گرفته است. در این اطلاعیه ذکر نشده است که مهاجمی وارد سیستم‌های ریوُلوت شده، به حساب‌های مشتریان دسترسی پیدا کرده یا وجوهی را برداشت کرده باشد. همچنین فردی که درخواست را ارسال کرده، شناسایی نشده و گفته نشده است که آیا این نهاد استفاده از حساب ایمیل خود را بررسی کرده است یا خیر.

ZachXBT این حادثه را احتمالاً محدود در اندازه توصیف کرد و گفت که به نظر می‌رسد کاربران با دارایی بالا را هدف قرار داده است. اطلاعیه ریوُلوت، همانطور که در تصویر نشان داده شده، نه اندازه گروه متأثر و نه نحوه انتخاب مشتریان را تأیید نمی‌کند.

آنچه ریوُلوت می‌گوید افشا کرده است

ریوُلوت در میان جزئیات هویتی ارائه شده، نام کامل، تاریخ تولد و شغل مشتریان را لیست کرده است. اطلاعات تماس شامل آدرس‌های پستی، آدرس‌های ایمیل و شماره تلفن‌ها بود.

این درخواست همچنین منجر به افشای کپی مدارک هویتی، مانند گذرنامه یا گواهینامه رانندگی، همراه با سلفی‌هایی که مشتریان برای بررسی هویت ارائه کرده بودند، شد. ریوُلوت بین این تصاویر و داده‌های بیومتریک تله‌متری چهره تمایز قائل شد و اعلام کرد که این داده‌ها درگیر نبوده‌اند.

صورت‌حساب‌های بانکی بخش دیگری از اطلاعات افشا شده را تشکیل می‌دادند. بر اساس این اطلاعیه، صورت‌حساب‌ها شامل شماره‌های IBAN، وضعیت حساب، تاریخ‌های افتتاح حساب و شماره‌های مرجع کیف پول بیت‌کوین بودند. سوابق برداشت و تاریخچه‌های کامل تراکنش‌ها، از جمله تراکنش‌های بیت‌کوین، نیز ارائه شده است.

این اطلاعیه دسته‌بندی‌هایی از اطلاعاتی که ممکن است افشا شده باشد را فهرست می‌کند؛ اما تصریح نمی‌کند که هر مشتری متأثر، هر نوع سابقه را در پرونده داشته است. همچنین نمی‌گوید که کلیدهای خصوصی کیف پول، رمزهای عبور حساب یا جزئیات کامل کارت پرداخت شامل این اطلاعات بوده است. تاریخچه تراکنش‌های بیت‌کوین برای کاربران ارزهای دیجیتال اهمیت ویژه‌ای دارد، زیرا این اطلاعیه آنها را در کنار نام‌ها و سایر سوابق حساب در اطلاعات ارسالی به درخواست‌کننده غیرمجاز قرار می‌دهد.

ریوُلوت، طبق اعلامیه شرکت در ماه آگوست، به بیش از ۸۰ میلیون مشتری در سراسر جهان خدمات می‌دهد. این رقم مشتری نشان‌دهنده اندازه کسب‌وکار آن است، نه تعداد افرادی که تحت تأثیر این افشاگری قرار گرفته‌اند.

سوابق افشا شده چه معنایی برای مشتریان متأثر دارد

دفتر کمیسیونر اطلاعات بریتانیا (ICO) اعلام کرده است که پیامدهای احتمالی نقض داده‌های شخصی شامل سرقت هویت، کلاهبرداری و زیان مالی است. راهنمای نقض اطلاعات این نهاد خواستار ارزیابی اطلاعات درگیر و آسیب احتمالی به افراد است؛ اما این به معنای تأیید اینکه کسی در حادثه ریوُلوت این نتایج را تجربه کرده باشد، نیست.

برای مشتری‌ای که هم سند هویت و هم سوابق تراکنش‌های او افشا شده است، این اطلاعیه نشان می‌دهد که گیرنده می‌توانسته به اطلاعات مالی دقیق آن فرد دست یابد. ادعای ZachXBT مبنی بر هدف قرار گرفتن کاربران ثروتمند توسط ریوُلوت در مطالب نمایش داده شده تأیید نشده است و هیچ سوءاستفاده بعدی از این سوابق در آنجا مستند نشده است.

راهنمای رگولاتور همچنین می‌گوید که سازمان‌ها باید برخی از نقض‌های داده‌های شخصی را در صورت امکان ظرف ۷۲ ساعت پس از آگاهی از آنها گزارش دهند و در صورت بالا بودن خطر برای حقوق و آزادی‌های افراد، بدون تأخیر بی‌مورد به آنها اطلاع دهند. تصویر نشان نمی‌دهد که آیا ریوُلوت به یک رگولاتور اطلاع داده است یا چه زمانی شرکت برای اولین بار از درخواست غیرمجاز مطلع شده است.

در راهنمای امنیتی خود برای ایالات متحده، ریوُلوت به مشتریان توصیه می‌کند که برای بررسی اصالت یک تماس مشکوک از چت پشتیبانی درون برنامه‌ای استفاده کنند. این شرکت می‌گوید که از مشتریان نمی‌خواهد کدهای تأیید یا امنیتی را از طریق تلفن به اشتراک بگذارند. اطلاعیه مشتری که توسط ZachXBT نشان داده شده، گزارشی مبنی بر افشای چنین کدهایی ارائه نمی‌دهد.

عملیات ریوُلوت در ایالات متحده و حوزه ارزهای دیجیتال

این حادثه در زمان گسترش خدمات بانکی و دارایی‌های دیجیتال ریوُلوت رخ می‌دهد. در ۲۶ آگوست، این شرکت ارائه استیبل‌کوین EURR با پشتوانه یورو خود را به مشتریان منتخب در دانمارک، لهستان و پرتغال آغاز کرد و برنامه‌هایی برای دسترسی بیشتر در اروپا دارد، همانطور که قبلاً توسط crypto.news گزارش شده بود. راه‌اندازی این استیبل‌کوین از افشای سوابق مشتریان جدا است.

برنامه‌های ریوُلوت در ایالات متحده زمینه را برای خوانندگان آمریکایی فراهم می‌کند، هرچند اطلاعیه هیچ مشتری متأثری را در ایالات متحده شناسایی نمی‌کند. در ۳ سپتامبر، این شرکت تأییدیه مشروطی برای یک بانک آمریکایی از دفتر کنترل کننده ارز (Office of the Comptroller of the Currency) دریافت کرد. بانک پیشنهادی آن در استمفورد، کنتیکت، حدود ۹۵ میلیون دلار سرمایه اولیه دریافت خواهد کرد و در صورت کسب تأییدیه‌های باقی‌مانده، می‌تواند در سال ۲۰۲۷ افتتاح شود.

در حال حاضر، ریوُلوت خدمات بانکی مشتریان آمریکایی را از طریق Lead Bank ارائه می‌دهد، طبق گزارش قبلی. بانک ملی پیشنهادی همچنان به بیمه سپرده از شرکت بیمه سپرده فدرال (Federal Deposit Insurance Corporation)، تأییدیه فدرال رزرو و مجوز نهایی OCC نیاز دارد تا بتواند افتتاح شود.