Revolut侵害の犯人が身代金にMonero(XMR)6,000枚を要求 — 約300万ドル相当

Monero(XMR)による300万ドルの身代金要求

Revolut(リボルト)の顧客データ侵害をめぐる攻撃者は、窃取から恐喝の段階へと移行した。犯人集団は身代金としてMonero(XMR)6,000枚 — およそ300万ドル — を要求し、支払いに応じれば盗んだ顧客記録を犯罪マーケットから引き下げると公表した。当社編集デスクが確認した要求文によれば、このグループは「iamnotavillain」を名乗り、水曜日に要求を公開。フィンテック企業が支払いを拒めば、データセットを他の犯罪組織へ売却すると警告している。影響を受けた顧客口座は少なくとも680件に上る。流出した記録にはパスポート、運転免許証、KYC(顧客確認)審査で使われる本人認証写真、詳細な取引履歴が含まれる。パスワードと異なり、これらの書類は一度漏れると差し替えが利かない点が最大の問題だ。Revolutは正確な数字を公表していないものの、影響を受けた顧客数は「限定的」と述べ、犯人側からの直接的な身代金要求は受けていないと説明する。犯人らがMonero(XMR)を選んだ理由は明白だ。プライバシーコインであるMoneroは、送金額と送金相手をデフォルトで隠蔽する設計を持つため、Algorand(ALGO)やStellar(XLM)のような透明な台帳と比べて資金の追跡がはるかに困難となる。恐喝グループが繰り返しMoneroに落ち着くのは、まさにこの構造的な利点ゆえだ。さらにMoneroは「そもそも支払いが行われたか否か」さえ外部から判別しづらい。つまりRevolut側は犯人が約束を守ったかどうかを検証できず、これは恐喝者にとって最初から組み込まれた有利条件と言える。

当社の見立てでは、今回の事件の本当の危険は書類そのものよりも「紐づけ」にある。実在の本人確認情報が、オンチェーン上の目に見える資産と結びついた瞬間、匿名のウォレットは名前と所在がわかる標的に変わる。流出書類はなりすまし犯罪の原材料にもなる。詐欺グループは被害者の名義で口座を開設したり、説得力のあるソーシャルエンジニアリング攻撃を仕掛けたりできる。攻撃者のレバレッジは緊急性と恐怖だ — これはマーケットでおなじみのFOMO(取り残される不安)に駆動された取引心理というより、古典的なフィッシングに近い種類のレバーだ。そして一度これらの書類が流通してしまえば、パスワードのリセットのような手立てで回収することはできない。

偽装された政府情報公開請求が突破口に

Revolut自身の説明によれば、記録がシステム外に流出した経緯は、技術的な脆弱性の悪用ではなく手続き上の失敗を示している。攻撃者は公式の政府ドメイン上のメールアカウントを使い、緊急情報公開請求(緊急データ要求)を偽装して提出した。この要求は社内の検証チェックをすり抜け、担当スタッフはなりすましが発覚する前にデータを渡してしまった。同社は今回の事案を「高度な外部なりすまし詐欺」と位置づけ、手口を把握した段階で直ちに不正なアドレスを遮断したと説明する。中核システムと顧客資金は一切侵害されていないと主張し、政府機関、法執行機関、規制当局への通知も済ませている。

一方、未確認の主張も上乗せされている。犯人集団は、イタリア政府のメールシステムにも侵入したと主張し、さらにオンチェーン分析を行って大量の暗号資産を保有するRevolut顧客を特定したという。ただしこの主張を同社が裏付けているわけではない。かつてMt. Goxの責任者を務めたMark Karpelès氏は自身が被害者だったことを確認し、Bitcoinの取引詳細が流出したことを示すRevolutからの通知を公表した。オンチェーン調査者のZachXBTは、この手口を日和見犯ではなく、資産家ユーザーを狙った意図的な作戦だと評価している。

物理的な安全保障の側面は数字で示せる。オンチェーン分析を手掛けるChainalysisの集計では、2026年に確認された52件の「レンチ攻撃」(代理店訪問による直接襲撃)で損失総額は1億2,410万ドルに達した。またCertiKの記録では、今年上半期だけで確認された52件のうち33件がフランスで発生しており、住居侵入型の犯行は2025年上半期の1件から20件へ急増している。ただし両社とも、被害者は届け出ないケースが多いとして、これらの数字は実態を過小評価している可能性を警告する。一般ユーザーにとってのリスクは長期にわたって尾を引く。自分の名義での口座開設や認可に関する通知が届いた場合は必ず精査すべきだ。流出したKYCファイルをもとにしたなりすまし被害は、数か月後に表面化する可能性があるからだ。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

KYCデータが攻撃面になる時代

身代金要求と侵害の手口を貫く共通点は、狙われたのはコインではなく「身元データ」であり、脆弱だったのはコードではなくプロセスだったということだ。欧州銀行監督局(EBA)が2026年6月に公表したリスク評価報告書は、すでに銀行におけるオペレーショナルリスクの最大の要因として、詐欺を上回る形でサイバーセキュリティとデータセキュリティを首位に位置づけており、今回の事件はまさにこの階層を体現するものだ。英国金融行為規制機構(FCA)の消費者調査では、英国の暗号資産ユーザーの73%が中央型のプラットフォームを通じて資産を取得しているとされる。つまりKYCデータが集積する場所に、ユーザーの露出が集中する構造だ。COINOTAG編集デスクの結論として長期的な教訓は、データミニマイゼーション(必要最小限の情報提供)と、公式を装った要求の独立した検証の徹底だ。一部の顧客は、中央型取引所に置く身元紐づけの露出をどれだけ残すかを見直し、Bitcoin DeFiなどの自己管理ルートへの分散を検討するだろう。このカストディ(管理方法)の論点については、当社のベスト暗号資産取引所ガイドで詳しく解説している。