Revolut 提供 KYC 和完整的比特币历史记录

Revolut 在一项经过内部检查的欺诈性政府请求后，披露了客户身份文件、居住地址和完整的交易历史。此次交接包括“所有比特币活动”的记录，尽管 Revolut 表示“客户资金保持安全”，但仍然存在身份与 BTC 关联的风险。

Revolut 在假政府请求后交出了 KYC 和完整的比特币关联历史记录

Revolut 在一项看似来自合法政府机构的请求下，交出了客户数据，该请求通过了公司的内部审查。该公司后来联系了真实的机构，确认该请求是欺诈性的，但数据已经被披露。

曝光的材料包括身份文件和居住地址以及交易历史。Revolut告知受影响的用户“客户资金保持安全”，并表示它已经通知了受影响的用户和监管机构，并阻止了请求的来源。

故障模式不是钱包被耗尽，而是授权。一旦入站请求被视为有效，冒充者就会获得Revolut已经为KYC目的持有的相同合规包。

重要的短语是“包括所有”比特币“活动。” 完整的交易历史与KYC相结合，将金融科技数据库转变为现实世界身份与链上行为之间的链接层。

据报道，这些文件包括护照或驾驶执照、验证自拍、姓名、出生日期、职业、家庭地址、电子邮件、电话号码、国际银行账户号码（IBAN）、账户对账单、提款记录和完整的交易历史。这足以支持身份欺诈，但它也支持对比特币持有者更具体的目标：定向攻击。

比特币交易在区块链上是公开的，但护照、地址和职业则不是。中介处于中间，可以连接两者。如果攻击者同时获取身份信息和“所有比特币活动”信息，他们可以建立一个从个人到其比特币流动的地图，并利用它选择余额更大或活动更高的受害者。

这就是为什么“没有资金损失”并不是故事的结束。直接损害是信息性的，而第二次风险是物理和社会性的：网络钓鱼、SIM卡交换、敲诈尝试，以及使用准确个人信息的定制冒充。

该事件也符合更广泛的模式：AI辅助的冒充使得制作令人信服的电子邮件、文件和官僚请求的成本在规模上变得更低。安全问题的焦点从公司如何存储数据转向它们收集、保留以及能被强迫或欺骗披露多少敏感数据。

Revolut尚未披露有多少客户受到影响。这使得范围成为任何试图对金融科技领域的“对手风险”进行定价的人的一个开放变量。被冒充的政府机构在披露的细节中尚未被确定，交接与Revolut与真实机构的单独验证之间的时间窗口也没有具体说明。这两个事实很重要，因为它们定义了攻击者有多长时间来迭代请求，以及是否可以重复使用相同的剧本。还有一个未解决的目标问题。链上调查员ZachXBT在Telegram广播中表示，该漏洞“似乎规模有限，可能针对高净值用户。”这一评估尚未得到Revolut的确认，但在数据集的价值上是方向一致的：当受害者群体较小且更富裕时，回报更高。

监管机构的后续行动是另一个待定的催化剂。Revolut表示已通知监管机构。是否触发所需的披露、补救时间表或流程变更将决定这是否只是一次性的控制失败，还是成为更长期的合规悬而未决。

重要的阈值是范围。如果Revolut后来量化受影响用户和交出的确切字段，市场可以将其视为一个可控的授权失败。如果保持模糊，风险溢价将持续存在，因为没有人能界定爆炸半径。

我更关心的是配对，而不是单个字段。“包括所有比特币活动”加上KYC是危险的组合，因为它将公共链上数据转化为一个有名的人员和流动的账本。这就是为什么这个事件在实际意义上重要。