Revolut victime d'un hacker : fuite de 680 identités KYC
L'incident et un autre dump de plus de 153 millions de permis de conduire alimentent les appels en faveur d'un KYC à connaissance nulle qui évite de stocker des identifiants bruts.
Revolut a révélé qu'il avait été victime d'ingénierie sociale en fournissant des matériaux KYC sensibles, y compris des copies de passeports et des selfies de vérification, à un hacker. L'attaquant publie des documents liés à 680 clients tout en demandant une rançon de 10 000 BTC, renouvelant l'examen de la manière dont les rampes réglementées stockent les données d'identité.
Principaux enseignements
- Revolut a déclaré qu'un hacker avait trompé l'entreprise pour obtenir des données KYC, y compris des copies de passeports et des selfies de vérification, et que les documents d'identité de 680 clients étaient publiés en ligne avec un montant de 10 000.BTCdemande de rançon.
- Une violation distincte plus tôt ce mois-ci a impliqué plus de 153 millions de permis de conduire américains et canadiens qui semblaient provenir d'un fournisseur de vérification d'identité et étaient proposés via un service du dark web appelé "Nexus".
- Preuves à divulgation nulle de connaissancepeut vérifier des attributs comme l'âge ou le statut de sanctions sans révéler ni conserver d'images d'identité brutes, mais l'adoption est ralentie par l'inertie de la conformité, l'ambiguïté réglementaire et l'absence de normes d'interopérabilité.
- La conception du portefeuille d'identité numérique de l'UE est décrite comme soutenant la "divulgation sélective" et intégrant des approches basées sur les ZK pour la vérification de l'identité numérique et de l'âge.
Fuite KYC de Revolut : Passeports, Selfies, 680 ID publiés, et une demande de 10 000 BTC
Revolut a déclaré avoir été trompé en remettant des données KYC sensibles de clients, y compris des copies de passeports et des selfies de vérification. L'attaquant publie maintenant progressivement des documents d'identité de 680 clients sur le web tout en réclamant une rançon de 10 000 Bitcoin.
Le détail opérationnel qui compte est le vecteur. Le hacker a envoyé des e-mails demandant des données KYC à une agence de police italienne légitime.adresseLe paquet ne précise pas si cette adresse a été falsifiée, compromise ou autrement mal utilisée, et cette distinction modifie le plan de défense pour chaque échange réglementé et fintech qui traite des demandes d'informations de type gouvernemental.
Pour les traders, il ne s'agit pas d'un discours abstrait sur la confidentialité. Les artefacts KYC se situent en amont de la récupération de compte, de l'escalade des échanges de cartes SIM et des tentatives d'ingénierie sociale contre les services d'assistance.
Une fois que les images de passeport et les selfies sont divulgués, le profil de dommages ressemble davantage à quelque chose de permanent.risque de contrepartiequ'une fuite de credential réversible.
L'avocate de la vie privée et podcasteuse Efrat Fenigson a décrit l'échec de la politique de manière franche : « Lorsque les régulateurs continuent d'imposer un modèle qui garantit ce résultat — alors que la technologie pour vérifier sans stocker existe déjà — cela soulève un drapeau rouge. Cela implique un manque de pensée rationnelle et une réelle volonté de résoudre les problèmes. »
De Revolut à “Nexus” : Le dump de plus de 153 millions de permis de conduire et l'ampleur du risque de violation
L'incident Revolut est discuté en parallèle d'une violation distincte survenue plus tôt dans le mois : le vol de plus de 153 millions de permis de conduire américains et canadiens. Les identifiants divulgués semblaient provenir d'un fournisseur de vérification d'identité et étaient répertoriés sur un service d'identité du dark web appelé « Nexus », aux côtés de millions d'autres documents d'identité et de voyage volés.
Cette association est le point central. Même si un échange, un courtier ou une néobanque dispose d'un programme de sécurité interne rigoureux, le KYC est une chaîne d'approvisionnement. Les fournisseurs d'identité, les bases de données et les fournisseurs de conformité peuvent chacun détenir leur propre copie des mêmes documents. Chaque duplicata est une autre surface de violation.
L'ampleur est déjà visible dans les données de violation plus larges. Les violations de données aux États-Unis ont touché au moins 343 millions de personnes au cours du premier semestre 2026, selon les chiffres du Privacy Rights Clearinghouse cités dans le document.
Ce chiffre n'est pas une statistique spécifique à la crypto, mais c'est le contexte pour lequel « stocker tout pour toujours » devient une responsabilité plutôt qu'une couverture de conformité.
Susie Violet Ward, directrice et co-fondatrice de Bitcoin Policy UK, a soutenu que l'erreur fondamentale consiste à traiter la vérification comme une reddition : « Nous devons cesser de traiter la vérification d'identité et la reddition de votre identité comme si c'étaient la même chose.
» Elle a également souligné l'asymétrie du préjudice : « L'ironie est que le KYC est conçu pour rendre les systèmes plus sûrs, mais la façon dont nous l'implémentons actuellement peut créer un problème de sécurité totalement différent. Vous pouvez réinitialiser un mot de passe après une violation, mais vous ne pouvez pas réinitialiser votre identité de la même manière. »
Comment le KYC à connaissance nulle changerait le jeu de la conservation des données
La solution proposée n'est pas « pas de KYC ». Elle est plus étroite : vérifier l'attribut spécifique dont une plateforme a besoin sans transmettre ni conserver l'image du document sous-jacent.
Une preuve à connaissance nulle (ZKP) est une méthode cryptographique pour prouver qu'une affirmation est vraie sans révéler les données privées qui la sous-tendent. En termes de KYC, cela peut ressembler à prouver « plus de 18 ans » ou « pas sur une liste de sanctions » sans envoyer une date de naissance, une adresse ou une photo d'un passeport.
L'implication pratique est qu'il y a moins de fichiers d'identité bruts dans les systèmes de billetterie, les tableaux de bord des fournisseurs et les seaux de stockage à long terme.
Evin McMullen, PDG et co-fondatrice de Billions Network, a déclaré que la technologie est déjà déployée : « La technologie fonctionne et est en production aujourd'hui, à travers des milliers d'applications et d'institutions réglementées. Ce qui la freine, c'est que l'ensemble de la pile de conformité a été construit autour de la collecte et du stockage de copies de documents.
» Elle a décrit le goulet d'étranglement comme institutionnel plutôt que technique : « C'est un problème de gouvernance et de normes déguisé en costume technologique. »
Le frottement à court terme est que les auditeurs et les examinateurs ont tendance à accepter ce qu'ils peuvent voir. McMullen a formulé le mode d'échec en termes opérationnels : « Le blocage le plus courant est que les équipes de conformité confondent ‘nous avons vu l'identité’ avec ‘nous devons conserver l'identité’, donc elles collectent trop pour être en sécurité. »
Le document signale également une contrainte de normes qui compte pour une adoption réelle. Les preuves ne se développent que si la partie concernée peut les vérifier sans rappeler l'émetteur, ce qui nécessite des normes d'interopérabilité partagées qui ne sont pas encore largement en place.
Le ZK n'est pas non plus un interrupteur magique de confidentialité. Fenigson a averti que la couche de liaison centralise toujours le pouvoir : « Les preuves à connaissance nulle permettent à quelqu'un de prouver un fait, comme être majeur ou ne pas être sur une liste de sanctions [...] Ce qui manque, c'est à quoi cette preuve est liée. En ce moment, elle est généralement liée à un compte dans la base de données de quelqu'un d'autre. »
Ce que le portefeuille d'identité numérique de l'UE signale sur la divulgation sélective
L'Union européenne est décrite comme intégrant la technologie ZK dans la conception de son système d'identité numérique et de vérification d'âge, y compris une vérification d'âge préservant la vie privée qui permet aux utilisateurs de prouver leur âge sans révéler leur identité complète ou une date de naissance exacte.
Son portefeuille d'identité numérique est également décrit comme soutenant la "divulgation sélective", ce qui signifie que les utilisateurs peuvent révéler uniquement les informations spécifiques nécessaires à une transaction.
Cela importe car il s'agit d'un rail d'identité grand public, et non d'un contournement natif à la crypto. Si la divulgation sélective devient normale dans les outils d'identité soutenus par l'État, les plateformes réglementées obtiennent une justification plus claire pour minimiser ce qu'elles stockent, en particulier lorsque les règles se concentrent sur la vérification de l'identité et la conservation des enregistrements de vérification plutôt que sur la conservation des images de documents bruts.
Le paquet cadre les directives du GAFI comme considérant explicitement les systèmes d'identité numérique pour la diligence raisonnable des clients et comme un cadre basé sur le risque mis en œuvre différemment par chaque pays.
La déclaration de McMullen est que les règles sont souvent moins prescriptives que le comportement institutionnel : "Dans de nombreux régimes, la règle est que vous devez vérifier l'identité et conserver des enregistrements de cette vérification, pas que vous devez conserver l'image du document brut pour toujours."
Le chemin à suivre est encore chaotique. Le cas de Revolut dépend de la manière dont cette "adresse légitime des forces de l'ordre italiennes" a été utilisée, car le spoofing et le compromis impliquent différents contrôles pour l'authentification des demandes.
L'autre boucle ouverte est le fournisseur de vérification d'identité non nommé lié à la fuite de plus de 153 millions de permis de conduire, car la concentration des fournisseurs déterminerait s'il s'agit d'un échec isolé ou d'une dépendance systémique partagée.
Le dernier élément de blocage est les normes : sans vérification interopérable qui ne nécessite pas de rappeler des bases de données centralisées, le KYC basé sur ZK reste bloqué dans des pilotes plutôt que de devenir un standard.
Mon avis : Les 'Honeypots' KYC deviennent une variable de risque de contrepartie pour les traders
Le seuil qui importe n'est pas de savoir si les preuves ZK "fonctionnent". Le paquet a déjà une revendication crédible selon laquelle elles sont en production. Le véritable test est de savoir si les régulateurs et les auditeurs acceptent un enregistrement de vérification sans forcer les plateformes à entreposer des images de passeports et des selfies qui peuvent être exfiltrés par des hacks ou de l'ingénierie sociale.
Si les jalons de divulgation sélective du portefeuille d'identité numérique de l'UE se traduisent par des normes de parties prenantes qui ne nécessitent pas de rappels des émetteurs, la configuration commence à sembler structurelle plutôt que dictée par le récit.
D'ici là, la conservation des données KYC reste un risque adjacent au bilan pour chaque lieu centralisé, car "Vous ne pouvez pas perdre ce que vous n'avez jamais détenu" n'aide que si les institutions sont autorisées à détenir moins.
