Revolut、なりすまし政府照会で顧客のBitcoin(BTC)取引記録を漏洩

なりすまし政府照会に応じたRevolut

世界で7,000万人超の顧客を持つ英国のデジタルバンクRevolutが、政府機関を装った不明な攻撃者に対し、機微な個人データを提供していたことを明らかにした。影響を受けた顧客への通知によれば、権限のないメールアドレスからの情報照会に対応したという。ただし当該アドレスは実際の政府ドメイン上にあり、正当なドメイン認証の資格情報も備えていた。この組み合わせが照会を本物に見せ、同行は真正の公的機関からのものと合理的に信じて処理したと説明している。攻撃者がどの機関を装ったかは明らかになっていない。共有された記録には氏名、生年月日、職業、郵送先住所、メールアドレス、電話番号が含まれ、これ自体で影響を受けた顧客の人身安全を脅かすのに十分な内容だ。さらに、パスポートや運転免許証の画像と、それらと併せて提出された顔認証用セルフィーも渡っており、なりすまし犯罪への直通路となった。ブロックチェーン調査者のZachXBTは、被害の規模は限定的とみられるものの、影響を受けたユーザーは高額資産を持つ者が狙って選ばれた可能性が高いと分析しており、今後の標的型攻撃の確率が高まると指摘する。すでに解散したAave Chan Initiativeの創設者Marc Zeller氏は、公の場で投稿し、自身も被害者の一人であることを確認した上で、今回の漏洩は義務化されたKYCルールが有意義な保護をもたらすどころか、多くの人を危険に晒してきたことを痛感させる出来事だと述べた。彼のケースは特異な例ではない。Visaのようなカードネットワークの顧客を含む暗号資産保有者への物理的な「レンチ攻撃」は、発生頻度と暴力性の両面で増加しており、住所データの漏洩はこうした標的定めを格段に容易にする。この一件で、Revolutは顧客ファイルを詐称者に誤って渡した機関や暗号資産企業の、伸び続けるリストに加わることになり、義務的なKYC収集への世界的な反発を一段と深めた。

影響を受けた顧客への通知https://x.com/magicaltux/status/2098613398070305037

漏洩の技術的範囲は、身元確認ファイルにとどまらない。Arab BTCのまとめによれば、開示されたのは口座明細とIBAN、口座開設日、各顧客を外部のウォレットアドレスに結び付けるウォレット参照番号、出金履歴、そして顧客のBitcoin(BTC)取引を含む完全な取引履歴、さらに本人確認用セルフィーに及ぶ。Revolutは生体の顔計測データは侵害されていないと強調するが、パスワード、秘密鍵、顧客資産が影響を受けたかどうかには言及しておらず、記録が渡った顧客の数もまだ特定されていない。特筆すべきは、これがRevolutのインフラへの直接的なハッキングではなかった点だ。データは、政府・捜査機関向けの情報照会のために同行が設けている専用チャネルを通じて外部に出ており、偽造メール1通によって「武器化」された形だ。この区別は対応上重要だ。パッチを当てるべきシステム全体への侵害の形跡はなく、資産が動いた証拠も現時点ではない。だが、Bitcoinの個々の送金に至るまでの金融履歴が敵対者の手に渡った顧客にとって、それはほとんど慰めにならない。これだけ詳細な取引ログがあれば、攻撃者は資産規模を推定し、現金化のパターンを見抜き、被害者が自宅でハードウェアウォレットや大口残高を抱えていると考えられる瞬間を見計らって接近することが可能になる。記録には注文タイプといった取引データまでは含まれないものの、保有者にとっては出金と送金の履歴こそ、通常、より危険な漏洩対象だ。依然として未解明なのは3点だ。攻撃者がどの機関を装ったか、影響を受けた顧客が何人か、そして侵害された記録が資産の損失につながるかどうかである。同社は直接通知以外に公開のインシデントページを開設しておらず、研究者らは個別の開示から被害の全体像を組み立てるしかない状況だ。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

偽造メール1通から生まれた露出

2つの開示を合わせて見れば、一つの構図が浮かび上がる。集中管理されたID保管庫こそが、暗号資産スタックにおける最弱のリンクになりつつあるということだ。ここでの一次資料——Revolut自身の顧客通知と、被害を受けたユーザーの公開投稿——が描くのは、鎖や取引所が破られたのではなく、偽造された照会にバンクが応じたという事実だ。リプレイアタックやオンチェーンのエクスプロイトとは異なり、技術的に破るべきものは何もなかった。攻撃者は国家の権威を「借用」しただけだ。COINOTAGの読みでは、教訓は手続き面にある。捜査機関向け照会チャネルには、出金ホワイトリストと同等に厳格な、帯域外での検証が求められる。KYCデータが顧客資産と同じ水準のカストディ基準で保護されない限り、高額資産を持つユーザーは、偽造メール1通をきっかけに情報を晒される状況に置かれ続ける。