روولوت اطلاعات KYC و تاریخچه بیتکوین را تحویل داد
این شرکت میگوید هیچگونه سرمایهای از مشتریان از دست نرفته است، اما تعداد کاربرانی که تحت تأثیر قرار گرفتهاند را فاش نکرده است.
رولوت اسناد شناسایی مشتریان، آدرسهای محل سکونت و تاریخچه کامل تراکنشها را پس از اینکه یک درخواست تقلبی به سبک دولتی از مراحل داخلی عبور کرد، فاش کرد. این انتقال شامل سوابقی بود که "تمام فعالیتهای بیتکوین" را در بر میگرفت و ریسک پیوند هویت به BTC را ایجاد میکرد، حتی در حالی که رولوت اعلام کرد "وجوه مشتریان ایمن باقی مانده است."
روولوت اطلاعات KYC و تاریخچه کامل مرتبط با بیتکوین را پس از درخواست جعلی دولت ارائه میدهد.
رولوت پس از دریافت درخواستی که به نظر میرسید از یک نهاد دولتی معتبر باشد و بررسیهای داخلی شرکت را تأیید کرده بود، دادههای مشتریان را تحویل داد. این شرکت بعداً با نهاد واقعی تماس گرفت و مشخص شد که درخواست جعلی بوده است، در حالی که دادهها قبلاً افشا شده بودند.
مواد افشا شده شامل مدارک شناسایی و آدرسهای محل سکونت به همراه تاریخچه تراکنشها بود. Revolut به کاربران آسیبدیده گفت که "وجوه مشتریان در امان است" و اعلام کرد که از آن زمان به کاربران آسیبدیده و نهادهای نظارتی اطلاع داده و منبع درخواست را مسدود کرده است.
حالت شکست ناشی از تخلیه کیف پول نبود. بلکه مربوط به تأیید اعتبار بود. به محض اینکه درخواست ورودی به عنوان معتبر تلقی شد، جعلکننده همان بسته انطباقی را دریافت کرد که Revolut قبلاً برای اهداف KYC در اختیار داشت.
چرا "شامل شدن تمام فعالیتهای بیتکوین" پروفایل ریسک کاربران تحت تأثیر را تغییر میدهد
عبارت مهم این است که "شامل همه"بیتکوین"تاریخچه کامل تراکنشها همراه با KYC، یک پایگاه داده فینتک را به یک لایه ارتباطی بین هویت دنیای واقعی و رفتار زنجیرهای تبدیل میکند."
گزارشها حاکی از آن است که فایلها شامل گذرنامهها یا گواهینامههای رانندگی، سلفیهای تأیید هویت، نامها، تاریخهای تولد، شغلها، آدرسهای منزل، ایمیلها، شمارههای تلفن، IBAN (شماره حساب بانکی بینالمللی)، صورتحسابهای حساب، سوابق برداشت و تاریخچه کامل تراکنشها بوده است. این اطلاعات برای حمایت از تقلب هویتی کافی است، اما همچنین چیزی خاصتر برای دارندگان بیتکوین را نیز پشتیبانی میکند: هدفگیری.
معاملات بیتکوین در بلاکچین عمومی هستند، اما پاسپورتها، آدرسها و شغلها اینگونه نیستند. واسطهها در میان نشسته و میتوانند این دو را به هم متصل کنند. اگر یک مهاجم هم به سمت هویت و هم به سمت "تمام فعالیتهای بیتکوین" دسترسی پیدا کند، میتواند نقشهای از یک شخص به جریانهای بیتکوین او بسازد و از آن برای انتخاب قربانیان با موجودیهای بزرگتر یا فعالیت بالاتر استفاده کند.
به همین دلیل است که "هیچ پولی از دست نرفته" پایان داستان نیست. آسیب فوری اطلاعاتی است و ریسک مرتبه دوم فیزیکی و اجتماعی است: فیشینگ، تعویض سیم، تلاشهای اخاذی و جعل شخصی که از جزئیات شخصی دقیق استفاده میکند.
این حادثه همچنین با یک الگوی وسیعتر همخوانی دارد: جعل با کمک هوش مصنوعی، ایمیلها، اسناد و درخواستهای بوروکراتیک را در مقیاس تولید ارزانتر میکند. سوال امنیتی از این که شرکتها چقدر خوب دادهها را ذخیره میکنند به این تغییر میکند که چقدر دادههای حساس جمعآوری، نگهداری و میتوانند مجبور یا فریب داده شوند تا فاش شوند.
آنچه هنوز ناشناخته است: دامنه، هدفگذاری و نهاد جعل شده
رولوت تعداد مشتریان آسیبدیده را فاش نکرده است. این موضوع دامنه را به عنوان یک متغیر باز برای هر کسی که سعی در قیمتگذاری دارد، نگه میدارد.ریسک طرف مقابلدر میان راههای فینتک.
نهاد دولتی جعل شده در جزئیات فاش شده شناسایی نشده است و زمان بین تحویل و تأیید جداگانه رولوت با نهاد واقعی نیز مشخص نشده است. این دو واقعیت مهم هستند زیرا مشخص میکنند که مهاجم چقدر زمان برای تکرار درخواستها داشته و آیا میتوانست همان کتابچه راهنما را دوباره استفاده کند.
همچنین یک سوال هدفگذاری حل نشده وجود دارد. محقق زنجیرهای زکاکسبیتی در یک پخش تلگرامی گفت که این نقض "به نظر میرسید محدود در اندازه باشد و ممکن است به کاربران با ثروت بالا هدفگذاری شده باشد." این ارزیابی توسط رولوت تأیید نشده است، اما با ارزش مجموعه دادهها همراستا است: بازده زمانی بالاتر است که مجموعه قربانیان کوچکتر و ثروتمندتر باشد.
پیگیری نهادهای نظارتی یک کاتالیزور دیگر در انتظار است. رولوت میگوید که به نهادهای نظارتی اطلاع داده است. اینکه آیا این موضوع افشای الزامی، زمانبندیهای جبران یا تغییرات فرآیند را تحریک میکند، تعیین میکند که آیا این یک شکست کنترل یکباره باقی میماند یا به یک بار اضافی در انطباق تبدیل میشود.
خوانش من: این یک شوک دادههای طرف مقابل است، نه یک رویداد از دست دادن وجوه
آستانهای که اهمیت دارد، دامنه است. اگر Revolut بعداً تعداد کاربران تحت تأثیر و زمینههای دقیق تحویل داده شده را مشخص کند، بازار میتواند این را به عنوان یک شکست مجوز محدود شده در نظر بگیرد. اگر مبهم بماند، حق بیمه ریسک دائمی است زیرا هیچکس نمیتواند شعاع انفجار را محدود کند.
من همچنین بیشتر به جفتسازی اهمیت میدهم تا به زمینههای فردی. "شامل تمام فعالیتهای بیتکوین" به علاوه KYC ترکیب خطرناکی است، زیرا دادههای عمومی زنجیرهای را به یک دفترچه نامدار از افراد و جریانها تبدیل میکند. این چیزی است که باعث میشود این حادثه از نظر عملی اهمیت داشته باشد.
