Revolut、なりすまし照会に応答しBitcoin(BTC)取引履歴を含む顧客データを漏洩か

ZachXBTがRevolutの顧客データ開示を指摘

フィンテック大手のRevolutが、正当な政府機関からの情報開示要求と信じ込んで応答した結果、一部顧客の個人情報が権限のない第三者の手に渡った可能性があることが分かった。この開示をオンチェーン調査者のZachXBTが指摘した。同調査者の説明によれば、事の発端は、ある州当局からと見られる情報開示要求がRevolutに届いたことにある。要求には当該機関の公式メールドメインが使われており、正当なドメイン認証の資格情報も添付されていたため、会社側はこれを本物と受け入れ、偽造の検知に失敗したまま応答したとみられる。その結果、送信者はユーザーベースの一部を網羅するファイルへのアクセスを得た可能性がある。

露出した情報の範囲は広い。影響を受けた可能性のある記録には、顧客の氏名、生年月日、職業、自宅住所、メールアドレス、電話番号に加え、パスポートや運転免許証のコピー、本人確認時に撮影された自撮り画像、口座明細、IBAN情報、出金記録、そしてBitcoin(BTC)送金を含む包括的な取引履歴が含まれる。影響を受けた顧客に送られたセキュリティ通知の中で、Revolutは生体顔計測データについては本件の対象外だったと明言した。

現時点での被害規模は限定的に見えるが、リスクの性質は深刻だ。ZachXBTは、残高の大きい保有者が標的にされた可能性を指摘する。完全な取引履歴があれば、攻撃者は被害者をオンチェーン上でどれほどの資産を握る人物か正確に把握できるからだ。ここ数日、複数のRevolutユーザーが本件に関連するセキュリティ通知を受信しており、会社側が依然として通知リストの消化作業を進めていることをうかがわせる。注目すべきは、これが従来型のハッキングではなかった点だ。Revolutの中核システムへの侵入報告はない。落ちたのは手続き面であり、精巧に作られたソーシャルエンジニアリングメールが認証チェックをすり抜けた結果、コンプライアンス水準で保管されていた身元アーカイブが、標的選定用のデータへと変わってしまったのである。

100万円のUSDCを巡る質問が話題に

一方、別の話題は、カウンターパーを挟んだ向こう側で開示要求がどこまで及びうるかを示した。9月10日、Xユーザーの@fishing_kiyogonが、仮想通貨保有者と日本の税務署の間で交わされたという米国発ステーブルコインUSDCの100万円相当の送金をめぐる対話の再現投稿を公開すると、わずか2日間で投稿は拡散し、約700万インプレッションを記録。閲覧数は690万回を超え、リプライは500件以上に達した。

投稿は拡散https://x.com/fishing_kiyogon/status/2097878117281038752?s=20

やり取りの中で、税務職員はまず100万円分のUSDCをどこに送金したのかを問う。投稿者は、自分名義の別ウォレットに移しただけだと説明する。尋問は次第に弱い理由づくりを踏ませる展開へ──ウォレットを変えたかった、資産の管理先を変えたかった、「念のため」移した──と続く。コメディ的な山場は、職員が送金先の「住所」を求め、投稿者が0xで始まるウォレットアドレスを読み上げたのに対し、職員が「東京とか埼玉みたいな住所で」と応じた場面だ。双方の間で基本用語の共通理解が完全に崩れている様が露呈した。

この対話が実際の税務調査を反映したものか、それとも創作なのかは不明だが、仮想通貨の税務質問がどのように進むかを忠実に再現したものとして読める。日本では現在、仮想通貨の譲渡益は雑所得として総合課税の対象であり、国税と地方税を合わせた最大税率は55%に達する。暗号資産間のスワップ自体が課税イベントとなり、損失の繰越控除も認められていない。業界実務者の間では、一般的な税理士や職員が業界用語に習熟していないケースが多いため、仮想通貨事業者が顧問とともにあらかじめ説明資料を整備するのが常態化しているとされる。投稿への反応は、「説明すればするほど溝が広がる」という共感から、「今日ここまで無知な職員はまれだ」とする反論まで幅広い。この一件は、セルフカストディ(自己管理)への関心が高まる日本の潮流の中でも起きており、保有者自身の記録でこうした質問に答えられるハードウェアウォレットやモバイルウォレットの需要が着実に伸びていることがその背景にある。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

セルフカストディが支持を広げ続ける理由

2つの出来事を並べると、同じ圧力点を正反対の側面から描き出していることが分かる。Revolutの一件は、なりすましの公式照会が認証フィルターをすり抜ければ、カストディアン(預託機関)が持つKYCアーカイブ──身分証、自撮り画像、出金ログ、BTC取引履歴──そのものが攻撃対象になりうることを示した。拡散した日本のやり取りは、税務当局が0xアドレスが何を指すのかを把握する前に開示を求める実態を記録している。COINOTAGの読みとしては、この二重の摩擦が、保有者の直接管理を前提に設計されたステーブルコイン決済インフラと、セルフカストディ型の仕組みの魅力を着実に更新し続けているという点だ。TetherのStableからCircleのArcブロックチェーンまで、こうした移行の道筋は、今回の見出しよりずっと前に、Bitcoin最大主義の自己主権のテーゼが予見していたものだった。