Revolut का दावा, हैकर ने KYC फाइलें चुराईं, 680 आईडी लीक

रेवोलट ने खुलासा किया कि इसे संवेदनशील KYC सामग्री, जिसमें पासपोर्ट की प्रतियां और सत्यापन सेल्फी शामिल हैं, एक हैकर को प्रदान करने के लिए सामाजिक रूप से इंजीनियर किया गया था। हमलावर 680 ग्राहकों से संबंधित दस्तावेज़ प्रकाशित कर रहा है जबकि 10,000 BTC फिरौती की मांग कर रहा है, जो यह दर्शाता है कि कैसे विनियमित ramps पहचान डेटा को संग्रहीत करते हैं।

मुख्य बिंदु

• रेवोलट ने कहा कि एक हैकर ने कंपनी को KYC डेटा, जिसमें पासपोर्ट की प्रतियां और सत्यापन सेल्फी शामिल हैं, प्रकट करने के लिए धोखा दिया, और 680 ग्राहकों के पहचान दस्तावेज़ ऑनलाइन पोस्ट किए जा रहे हैं साथ ही 10,000BTC फिरौती की मांग।
• इस महीने की शुरुआत में एक अलग उल्लंघन में 153 मिलियन से अधिक अमेरिकी और कनाडाई ड्राइवर के लाइसेंस शामिल थे जो एक पहचान सत्यापन प्रदाता से उत्पन्न होने के प्रतीत होते थे और एक डार्क वेब सेवा “Nexus” के माध्यम से पेश किए गए थे।
• शून्य-ज्ञान प्रमाण जैसे आयु या प्रतिबंध स्थिति जैसी विशेषताओं को सत्यापित कर सकते हैं बिना कच्चे पहचान छवियों को प्रकट किए या बनाए रखे, लेकिन अनुपालन-स्टैक जड़ता, नियामक अस्पष्टता, और अनुपस्थित इंटरऑपरेबिलिटी मानकों के कारण अपनाने में बाधा है।
• ईयू का डिजिटल पहचान वॉलेट डिज़ाइन “चयनात्मक प्रकटीकरण” का समर्थन करने और डिजिटल पहचान और आयु सत्यापन के लिए ZK-आधारित दृष्टिकोणों को शामिल करने के रूप में वर्णित किया गया है।

रेवोलट का KYC लीक: पासपोर्ट, सेल्फी, 680 आईडी पोस्ट की गईं, और 10,000 BTC की मांग

रेवोलट ने कहा कि उसे संवेदनशील ग्राहक KYC डेटा, जिसमें पासपोर्ट की प्रतियां और सत्यापन सेल्फी शामिल हैं, सौंपने के लिए धोखा दिया गया। हमलावर अब 680 ग्राहकों के पहचान दस्तावेज़ों को वेब पर धीरे-धीरे डाल रहा है जबकि 10,000 Bitcoin फिरौती की मांग कर रहा है।

महत्वपूर्ण संचालन विवरण वेक्टर है। हैकर ने एक वैध इतालवी कानून प्रवर्तन से KYC डेटा मांगने वाले ईमेल भेजे।पतापैकेट यह स्पष्ट नहीं करता है कि क्या वह पता स्पूफ किया गया था, समझौता किया गया था, या अन्यथा दुरुपयोग किया गया था, और वह भेद हर नियामित एक्सचेंज और फिनटेक के लिए रक्षा रणनीति को बदलता है जो सरकारी शैली की जानकारी अनुरोधों को संसाधित करता है।

व्यापारियों के लिए, यह अमूर्त गोपनीयता की चर्चा नहीं है। KYC सामग्री खाता पुनर्प्राप्ति, सिम-स्वैप वृद्धि, और समर्थन डेस्क के खिलाफ सामाजिक-इंजीनियरिंग प्रयासों के ऊपर होती है। एक बार जब पासपोर्ट की छवियाँ और सेल्फी बाहर आ जाती हैं, तो नुकसान की प्रोफ़ाइल स्थायी रूप से अधिक दिखती है।प्रतिपक्ष जोखिमएक उलटने योग्य प्रमाणपत्र लीक से अधिक।

गोपनीयता के समर्थक और पॉडकास्टर एफ्रात फेनिगसन ने नीति की विफलता को स्पष्ट रूप से व्यक्त किया: “जब नियामक एक ऐसे मॉडल को अनिवार्य करते रहते हैं जो इस परिणाम की गारंटी देता है - जबकि बिना संग्रहित किए सत्यापित करने की तकनीक पहले से मौजूद है - तो यह एक चेतावनी का संकेत है। इसका मतलब है कि समस्याओं को हल करने के लिए तार्किक सोच और वास्तविक इच्छाशक्ति की कमी है।”

रेवोलट से “नेक्सस” तक: 153 मिलियन से अधिक ड्राइवर के लाइसेंस का डंप और उल्लंघन जोखिम का पैमाना

रेवोलट घटना पर चर्चा की जा रही है, साथ ही महीने की शुरुआत में हुई एक अलग सुरक्षा उल्लंघन पर: 153 मिलियन से अधिक अमेरिकी और कनाडाई ड्राइवर लाइसेंस की चोरी। लीक हुए आईडी एक पहचान सत्यापन प्रदाता से आने के प्रतीत होते हैं और इन्हें "नेक्सस" नामक एक डार्क वेब पहचान सेवा पर सूचीबद्ध किया गया था, जिसमें लाखों अन्य चोरी की गई पहचान और यात्रा दस्तावेज भी शामिल हैं।

यह जोड़ी बनाना ही मुद्दा है। भले ही एकल एक्सचेंज, ब्रोकर, या नियोबैंक एक कड़ा आंतरिक सुरक्षा कार्यक्रम चलाता हो, KYC एक आपूर्ति श्रृंखला है। पहचान प्रदाता, डेटाबेस, और अनुपालन विक्रेता प्रत्येक अपने अपने दस्तावेजों की एक प्रति रख सकते हैं। हर डुप्लिकेट एक और उल्लंघन सतह है।

पैमाना पहले से ही व्यापक उल्लंघन डेटा में दिखाई दे रहा है। 2026 के पहले आधे में अमेरिका में डेटा उल्लंघनों ने कम से कम 343 मिलियन लोगों को प्रभावित किया, जो पैकेट में उद्धृत प्राइवेसी राइट्स क्लियरिंगहाउस के आंकड़ों के अनुसार है। यह संख्या क्रिप्टो-विशिष्ट सांख्यिकी नहीं है, लेकिन यह इस बात की पृष्ठभूमि है कि "सब कुछ हमेशा के लिए स्टोर करना" अनुपालन की आरामदायक कंबल के बजाय एक देनदारी में क्यों बदल रहा है।

सुसि वायलेट वार्ड, बिटकॉइन पॉलिसी यूके की निदेशक और सह-संस्थापक, ने तर्क किया कि मुख्य गलती सत्यापन को आत्मसमर्पण के रूप में मानना है: "हमें पहचान सत्यापन और अपनी पहचान को आत्मसमर्पण करने को एक ही चीज़ के रूप में मानना बंद करना चाहिए।" उन्होंने नुकसान के असममितता की ओर भी इशारा किया: "विडंबना यह है कि KYC को सिस्टम को सुरक्षित बनाने के लिए डिज़ाइन किया गया है, लेकिन जिस तरीके से हम इसे वर्तमान में लागू करते हैं, वह पूरी तरह से अलग सुरक्षा समस्या पैदा कर सकता है। आप एक उल्लंघन के बाद पासवर्ड रीसेट कर सकते हैं, लेकिन आप अपनी पहचान को उसी तरह रीसेट नहीं कर सकते।"

ज़ीरो-नॉलेज KYC डेटा-रिटेंशन खेल को कैसे बदल देगा

प्रस्तावित समाधान "कोई KYC नहीं" नहीं है। यह संकीर्ण है: प्लेटफ़ॉर्म को आवश्यक विशिष्ट विशेषता को सत्यापित करें बिना अंतर्निहित दस्तावेज़ छवि को संप्रेषित या बनाए रखे।

एक जीरो-नॉलेज प्रूफ (ZKP) एक क्रिप्टोग्राफ़िक विधि है जो एक बयान को सत्यापित करने के लिए है बिना इसके पीछे के निजी डेटा को प्रकट किए। KYC के संदर्भ में, यह "18 से अधिक" या "प्रतिबंध सूची में नहीं" साबित करने जैसा दिख सकता है बिना जन्म तिथि, पता, या पासपोर्ट की फोटो भेजे। व्यावहारिक प्रभाव यह है कि टिकटिंग सिस्टम, विक्रेता डैशबोर्ड, और दीर्घकालिक स्टोरेज बकेट में कम कच्चे ID फ़ाइलें होंगी।

एविन मैकमुल्लन, बिलियन्स नेटवर्क की CEO और सह-संस्थापक, ने कहा कि तकनीक पहले से ही लागू है: "यह तकनीक काम करती है और आज उत्पादन में है, हजारों अनुप्रयोगों और विनियमित संस्थानों में। इसे रोकने वाला यह है कि पूरा अनुपालन स्टैक दस्तावेजों की प्रतियों को एकत्रित और संग्रहीत करने के चारों ओर बनाया गया था।" उन्होंने बोतलने के मुद्दे को तकनीकी के बजाय संस्थागत के रूप में वर्णित किया: "यह एक शासन और मानक समस्या है जो तकनीकी पोशाक पहनती है।"

निकट-अवधि का घर्षण यह है कि ऑडिटर्स और परीक्षक आमतौर पर वही स्वीकार करते हैं जो वे देख सकते हैं। मैकमुल्लन ने संचालन भाषा में विफलता मोड को रखा: "सबसे सामान्य अवरोधक यह है कि अनुपालन टीमें 'हमने ID देखा' को 'हमें ID रखना चाहिए' के साथ भ्रमित करती हैं, इसलिए वे सुरक्षित रहने के लिए अधिक संग्रह करती हैं।"

पैकेट एक मानक बाधा को भी चिह्नित करता है जो वास्तविक अपनाने के लिए महत्वपूर्ण है। प्रूफ केवल तभी स्केल होते हैं जब भरोसेमंद पार्टी उन्हें बिना जारीकर्ता को वापस कॉल किए सत्यापित कर सके, जिसके लिए साझा इंटरऑपरेबिलिटी मानक की आवश्यकता होती है जो अभी तक व्यापक रूप से लागू नहीं हैं।

ZK भी कोई जादुई गोपनीयता स्विच नहीं है। फेनिगसन ने चेतावनी दी कि बाइंडिंग लेयर अभी भी शक्ति को केंद्रीकृत करती है: "जीरो-नॉलेज प्रूफ किसी को एक तथ्य साबित करने की अनुमति देती है, जैसे 18 से अधिक होना या प्रतिबंध सूची में नहीं होना [...] जो गायब है वह है कि वह प्रूफ किससे बंधा है। अभी यह आमतौर पर किसी और के डेटाबेस के अंदर एक खाते से बंधा होता है।"

ईयू डिजिटल पहचान वॉलेट द्वारा चयनात्मक प्रकटीकरण के बारे में क्या संकेत मिलता है

यूरोपीय संघ को इसके डिजिटल पहचान और आयु सत्यापन प्रणाली डिज़ाइन में ZK प्रौद्योगिकी को शामिल करने के रूप में वर्णित किया गया है, जिसमें गोपनीयता-संरक्षित आयु सत्यापन शामिल है जो उपयोगकर्ताओं को अपनी पूरी पहचान या जन्म तिथि को प्रकट किए बिना आयु साबित करने की अनुमति देता है। इसका डिजिटल पहचान वॉलेट भी "चयनात्मक प्रकटीकरण" का समर्थन करने के रूप में वर्णित किया गया है, जिसका अर्थ है कि उपयोगकर्ता केवल उस विशेष जानकारी को प्रकट कर सकते हैं जो लेनदेन के लिए आवश्यक है।

यह महत्वपूर्ण है क्योंकि यह एक मुख्यधारा की पहचान प्रणाली है, न कि क्रिप्टो-स्वदेशी समाधान। यदि चयनात्मक प्रकटीकरण राज्य-समर्थित पहचान उपकरणों में सामान्य हो जाता है, तो विनियमित प्लेटफार्मों को यह न्यूनतम रखने के लिए एक स्पष्ट औचित्य मिलता है, विशेष रूप से जहां नियम पहचान सत्यापन और सत्यापन के रिकॉर्ड बनाए रखने पर ध्यान केंद्रित करते हैं, न कि कच्चे दस्तावेज़ छवियों को रखने पर।

पैकेट FATF मार्गदर्शन को स्पष्ट रूप से ग्राहक की उचित देखभाल के लिए डिजिटल आईडी सिस्टम पर विचार करते हुए फ्रेम करता है और इसे प्रत्येक देश द्वारा अलग-अलग लागू किए गए जोखिम-आधारित ढांचे के रूप में प्रस्तुत करता है। मैकमुलन का दावा है कि नियम अक्सर संस्थागत व्यवहार की तुलना में कम निर्देशात्मक होते हैं: "कई शासन में, नियम यह है कि आपको पहचान सत्यापित करनी होगी और उस सत्यापन के रिकॉर्ड को बनाए रखना होगा, न कि आपको कच्चे दस्तावेज़ छवि को हमेशा के लिए रखना होगा।"

आगे का रास्ता अभी भी अव्यवस्थित है। रेवोलट का मामला इस बात पर निर्भर करता है कि "वैध इतालवी कानून प्रवर्तन पता" का उपयोग कैसे किया गया, क्योंकि धोखाधड़ी और समझौता अनुरोध प्रमाणीकरण के लिए विभिन्न नियंत्रणों का संकेत देते हैं। दूसरा खुला लूप वह नामित पहचान सत्यापन प्रदाता है जो 153M+ ड्राइवर के लाइसेंस लीक से जुड़ा हुआ है, क्योंकि विक्रेता का संकेंद्रण यह निर्धारित करेगा कि यह एक बार की विफलता है या एक प्रणालीगत साझा निर्भरता। अंतिम गेटिंग आइटम मानक हैं: बिना इंटरऑपरेबल सत्यापन के जो केंद्रीकृत डेटाबेस पर वापस कॉल करने की आवश्यकता नहीं है, ZK-आधारित KYC पायलटों में अटका रहता है बजाय इसके कि यह डिफ़ॉल्ट बन जाए।

मेरा विचार: KYC 'हनीपॉट्स' व्यापारियों के लिए एक काउंटरपार्टी-जोखिम चर बनते जा रहे हैं

जो सीमा महत्वपूर्ण है वह यह नहीं है कि ZK प्रमाण "काम करते हैं"। पैकेट के पास पहले से ही एक विश्वसनीय दावा है कि वे उत्पादन में हैं। असली परीक्षण यह है कि क्या नियामक और ऑडिटर्स सत्यापन का एक रिकॉर्ड स्वीकार करते हैं बिना प्लेटफार्मों को पासपोर्ट छवियों और सेल्फी को वेयरहाउस करने के लिए मजबूर किए बिना, जिन्हें हैक या सामाजिक इंजीनियरिंग के माध्यम से निकाला जा सकता है।

यदि ईयू डिजिटल पहचान वॉलेट के चयनात्मक प्रकटीकरण मील के पत्थर उन भरोसेमंद पक्ष मानकों में अनुवादित होते हैं जो जारीकर्ता कॉलबैक की आवश्यकता नहीं रखते हैं, तो सेटअप संरचनात्मक लगने लगता है न कि कथा-प्रेरित। तब तक, KYC डेटा संरक्षण हर केंद्रीकृत स्थान के लिए एक बैलेंस-शीट-संबंधित जोखिम बना रहता है, क्योंकि "आप वह नहीं खो सकते जो आपने कभी नहीं रखा" केवल तभी मदद करता है जब संस्थानों को कम रखने की अनुमति दी जाती है।

स्रोत

• कॉइनटेलीग्राफ