Revolut revela que hacker obteve arquivos KYC e 680 IDs…
O incidente e um vazamento separado de mais de 153 milhões de carteiras de motorista estão alimentando pedidos por KYC de conhecimento zero que evita o armazenamento de IDs brutos.
A Revolut revelou que foi alvo de engenharia social para fornecer materiais sensíveis de KYC, incluindo cópias de passaporte e selfies de verificação, a um hacker. O atacante está publicando documentos relacionados a 680 clientes enquanto busca um resgate de 10.000 BTC, renovando o escrutínio sobre como as rampas regulamentadas armazenam dados de identidade.
Principais Conclusões
- A Revolut disse que um hacker enganou a empresa para divulgar dados KYC, incluindo cópias de passaportes e selfies de verificação, e 680 documentos de identidade de clientes estão sendo postados online junto com um valor de 10.000.BTCdemanda de resgate.
- Uma violação separada no início deste mês envolveu mais de 153 milhões de carteiras de motorista dos EUA e do Canadá, que pareciam ter origem em um provedor de verificação de identidade e foram oferecidas por meio de um serviço da dark web chamado "Nexus".
- Provas de conhecimento zeropode verificar atributos como idade ou status de sanções sem revelar ou reter imagens brutas de identificação, mas a adoção é retardada pela inércia da pilha de conformidade, ambiguidade regulatória e falta de padrões de interoperabilidade.
- O design da Carteira de Identidade Digital da UE é descrito como apoiando a “divulgação seletiva” e incorporando abordagens baseadas em ZK para verificação de identidade digital e idade.
Vazamento de KYC da Revolut: Passaportes, Selfies, 680 IDs Publicados e uma Demanda de 10.000 BTC
A Revolut disse que foi enganada ao entregar dados sensíveis de KYC de clientes, incluindo cópias de passaportes e selfies de verificação. O atacante agora está vazando documentos de identificação de 680 clientes na web enquanto busca um resgate de 10.000 Bitcoin.
O detalhe operacional que importa é o vetor. O hacker enviou e-mails solicitando dados de KYC de uma legítima força policial italianaendereço.O pacote não esclarece se esse endereço foi falsificado, comprometido ou de outra forma mal utilizado, e essa distinção muda o manual defensivo para cada exchange regulamentada e fintech que processa solicitações de informações estilo governamental.
Para os traders, isso não é um discurso abstrato sobre privacidade. Os artefatos de KYC estão a montante da recuperação de contas, escalonamento de troca de SIM e tentativas de engenharia social contra os atendentes de suporte. Uma vez que imagens de passaporte e selfies estão vazadas, o perfil de danos se assemelha mais a um risco decontraparte permanentedo que a um vazamento de credenciais reversível.
A defensora da privacidade e podcaster Efrat Fenigson descreveu o fracasso da política de forma direta: “Quando os reguladores continuam a exigir um modelo que garante esse resultado — enquanto a tecnologia para verificar sem armazenar já existe — isso levanta uma bandeira vermelha. Isso implica que há uma falta de pensamento racional e vontade real de resolver problemas.”
De Revolut a “Nexus”: O despejo de mais de 153 milhões de carteiras de motorista e a escala do risco de violação
O incidente da Revolut está sendo discutido juntamente com uma violação separada no início do mês: o roubo de mais de 153 milhões de carteiras de motorista dos EUA e do Canadá. As IDs vazadas pareciam vir de um provedor de verificação de identidade e foram listadas em um serviço de identidade da dark web chamado “Nexus”, ao lado de milhões de outros documentos de identidade e viagem roubados.
Essa combinação é o ponto. Mesmo que uma única exchange, corretora ou neobank tenha um programa de segurança interna rigoroso, o KYC é uma cadeia de suprimentos. Provedores de identidade, bancos de dados e fornecedores de conformidade podem cada um ter sua própria cópia dos mesmos documentos. Cada duplicata é outra superfície de violação.
A escala já é visível em dados de violação mais amplos. Violações de dados nos EUA afetaram pelo menos 343 milhões de pessoas na primeira metade de 2026, de acordo com os números do Privacy Rights Clearinghouse citados no pacote.
Esse número não é uma estatística específica de criptomoeda, mas é o pano de fundo para o motivo pelo qual "armazenar tudo para sempre" está se tornando uma responsabilidade em vez de um cobertor de conforto de conformidade.
Susie Violet Ward, diretora e co-fundadora da Bitcoin Policy UK, argumentou que o erro central é tratar a verificação como rendição: "Precisamos parar de tratar a verificação de identidade e a entrega da sua identidade como se fossem a mesma coisa."
Ela também apontou para a assimetria do dano: "A ironia é que o KYC foi projetado para tornar os sistemas mais seguros, mas a maneira como o implementamos atualmente pode criar um problema de segurança completamente diferente. Você pode redefinir uma senha após uma violação, mas não pode redefinir sua identidade da mesma forma."
Como o KYC de Zero-Knowledge Mudaria o Jogo de Retenção de Dados
A solução proposta não é "sem KYC". É mais restrita: verificar o atributo específico que uma plataforma precisa sem transmitir ou reter a imagem do documento subjacente.
Uma prova de conhecimento zero (ZKP) é um método criptográfico para provar que uma afirmação é verdadeira sem revelar os dados privados por trás dela. Em termos de KYC, isso pode parecer provar "maior de 18" ou "não estar em uma lista de sanções" sem enviar uma data de nascimento, endereço ou uma foto de um passaporte.
A implicação prática é que haverá menos arquivos de ID brutos em sistemas de bilhetagem, painéis de fornecedores e buckets de armazenamento de longa duração.
Evin McMullen, CEO e co-fundadora da Billions Network, disse que a tecnologia já está implantada: "A tecnologia funciona e está em produção hoje, em milhares de aplicações e instituições regulamentadas. O que a impede é que toda a pilha de conformidade foi construída em torno da coleta e armazenamento de cópias de documentos."
Ela descreveu o gargalo como institucional em vez de técnico: "Esse é um problema de governança e padrões vestindo um traje tecnológico."
A fricção de curto prazo é que auditores e examinadores tendem a aceitar o que podem ver. McMullen colocou o modo de falha em linguagem operacional: "O bloqueador mais comum é que as equipes de conformidade confundem 'nós vimos a ID' com 'devemos manter a ID', então elas coletam em excesso para ficar seguras."
O pacote também sinaliza uma restrição de padrões que importa para a adoção real. As provas só escalam se a parte confiável puder verificá-las sem retornar ao emissor, o que requer padrões de interoperabilidade compartilhados que ainda não estão amplamente implementados.
ZK também não é um interruptor mágico de privacidade. Fenigson alertou que a camada de vinculação ainda centraliza o poder: "Provas de conhecimento zero permitem que alguém prove um fato, como ser maior de 18 ou não estar em uma lista de sanções [...] O que falta é a que essa prova está vinculada. No momento, geralmente está vinculada a uma conta dentro do banco de dados de outra pessoa."
O que a Carteira de Identidade Digital da UE Sinaliza Sobre Divulgação Seletiva
A União Europeia é descrita como incorporando tecnologia ZK em seu design de sistema de identidade digital e verificação de idade, incluindo verificação de idade que preserva a privacidade e permite que os usuários provem a idade sem revelar a identidade completa ou uma data de nascimento exata.
Sua Carteira de Identidade Digital também é descrita como suportando "divulgação seletiva", significando que os usuários podem revelar apenas as informações específicas necessárias para uma transação.
Isso é importante porque é uma via de identidade convencional, não uma solução alternativa nativa de criptomoeda. Se a divulgação seletiva se tornar normal nas ferramentas de identidade apoiadas pelo estado, plataformas regulamentadas obtêm uma justificativa mais clara para minimizar o que armazenam, especialmente onde as regras se concentram em verificar a identidade e reter registros de verificação em vez de manter imagens de documentos brutos.
O pacote enquadra a orientação do FATF como considerando explicitamente sistemas de ID digital para a devida diligência do cliente e como uma estrutura baseada em risco implementada de forma diferente por cada país.
A afirmação de McMullen é que as regras são frequentemente menos prescritivas do que o comportamento institucional: "Em muitos regimes, a regra é que você deve verificar a identidade e reter registros dessa verificação, não que você deve manter a imagem do documento bruto para sempre."
O caminho à frente ainda é confuso. O caso da Revolut gira em torno de como aquele "endereço legítimo da aplicação da lei italiana" foi usado, porque a falsificação e a violação implicam controles diferentes para a autenticação de solicitações.
O outro ponto em aberto é o provedor de verificação de identidade não nomeado ligado ao vazamento de mais de 153 milhões de carteiras de motorista, uma vez que a concentração de fornecedores determinaria se isso é uma falha isolada ou uma dependência compartilhada sistêmica.
O último item de bloqueio são os padrões: sem verificação interoperável que não exija chamadas de volta a bancos de dados centralizados, KYC baseado em ZK permanece preso em pilotos em vez de se tornar um padrão.
Minha Opinião: 'Honeypots' de KYC Estão se Tornando uma Variável de Risco de Contraparte para Traders
O limiar que importa não é se as provas ZK "funcionam". O pacote já tem uma reivindicação credível de que estão em produção. O verdadeiro teste é se reguladores e auditores aceitam um registro de verificação sem forçar plataformas a armazenar imagens de passaporte e selfies que podem ser exfiltradas através de hacks ou engenharia social.
Se os marcos de divulgação seletiva da Carteira de Identidade Digital da UE se traduzirem em padrões de partes confiantes que não exigem chamadas de volta dos emissores, a configuração começa a parecer estrutural em vez de orientada por narrativas.
Até lá, a retenção de dados de KYC permanece um risco adjacente ao balanço para cada local centralizado, porque "Você não pode perder o que nunca teve" só ajuda se as instituições forem autorizadas a manter menos.
