Revolut称黑客欺骗其泄露680份KYC文件

Revolut披露其被社会工程攻击，向黑客提供了敏感的KYC材料，包括护照复印件和验证自拍照。攻击者正在发布与680名客户相关的文件，同时要求10,000 BTC的赎金，这重新引发了对受监管的通道如何存储身份数据的审查。

关键要点

• Revolut表示，一名黑客欺骗该公司披露KYC数据，包括护照复印件和验证自拍照，680名客户的身份证明文件正在网上发布，伴随一张10,000。比特币赎金要求。
• 本月早些时候发生的另一起泄露事件涉及超过1.53亿份美国和加拿大的驾驶执照，这些执照似乎源自一家身份验证提供商，并通过一个名为“Nexus”的暗网服务提供。
• 零知识证明可以验证诸如年龄或制裁状态等属性，而无需透露或保留原始身份证图像，但由于合规堆栈的惯性、监管模糊性和缺乏互操作性标准，采用速度受到影响。
• 欧盟的数字身份钱包设计被描述为支持“选择性披露”，并采用基于零知识证明（ZK）的方法进行数字身份和年龄验证。

Revolut的KYC泄露：护照、自拍、680个身份证被发布，以及10,000 BTC的索赔

Revolut表示，它被欺骗交出了敏感的客户KYC数据，包括护照复印件和验证自拍照。攻击者目前正在逐步将680名客户的身份证明文件上传到网络，同时索要10,000个比特币的赎金。

重要的操作细节是向量。黑客发送电子邮件请求来自意大利合法执法机构的KYC数据。地址该报告并未明确该地址是否被伪造、被攻破或以其他方式被滥用，而这种区别会改变每个处理政府式信息请求的受监管交易所和金融科技公司的防御策略。

对于交易者来说，这并不是抽象的隐私讨论。KYC（了解你的客户）资料位于账户恢复、SIM卡交换升级和针对客服的社会工程攻击的上游。一旦护照照片和自拍照泄露，损害情况看起来更像是永久性的。对手风险比可逆凭证泄露更糟。

隐私倡导者和播客主持人埃夫拉特·费尼格森直言不讳地指出政策失败：“当监管机构不断强制要求一种保证这种结果的模式——而验证技术已经存在且无需存储——这就引发了警示。这暗示着缺乏理性思考和真正解决问题的意愿。”

从Revolut到“Nexus”：超过1.53亿的驾驶执照泄露及其泄露风险的规模

Revolut事件正在与本月早些时候的另一起泄露事件一起讨论：超过1.53亿份美国和加拿大驾驶执照被盗。泄露的身份证似乎来自一家身份验证提供商，并在一个名为“Nexus”的暗网身份服务上列出，此外还有数百万份其他被盗的身份和旅行文件。

这种配对是关键。即使单个交易所、经纪人或新银行运行着严格的内部安全程序，KYC 仍然是一个供应链。身份提供者、数据库和合规供应商各自可以持有相同文件的副本。每一个重复都是另一个漏洞表面。

这种规模在更广泛的泄露数据中已经显现。根据隐私权清算所的数据显示，2026年上半年，美国的数据泄露影响了至少3.43亿人。这个数字并不是特定于加密货币的统计数据，但它为“永远存储一切”为何变成负担而非合规舒适毯提供了背景。

比特币政策英国的董事兼联合创始人苏西·维奥莱特·沃德认为，核心错误在于将验证视为放弃：“我们需要停止将身份验证和放弃身份视为同一件事。”她还指出了伤害的不对称性：“讽刺的是，KYC 旨在使系统更安全，但我们目前实施的方式可能会产生完全不同的安全问题。你可以在泄露后重置密码，但你不能以同样的方式重置你的身份。”

零知识 KYC 将如何改变数据保留游戏

提议的解决方案不是“无 KYC”。它更狭窄：验证平台所需的特定属性，而不传输或保留基础文件图像。

零知识证明（ZKP）是一种加密方法，用于证明某个陈述是真实的，而不透露其背后的私人数据。在 KYC 的术语中，这可以看作是证明“超过 18 岁”或“未在制裁名单上”，而不发送出生日期、地址或护照照片。实际的影响是，原始身份证文件在工单系统、供应商仪表板和长期存储桶中减少。

比尔ions Network 的首席执行官兼联合创始人埃文·麦克穆伦表示，这项技术已经部署：“这项技术有效，并且今天在成千上万的应用程序和受监管机构中投入生产。阻碍它发展的原因是整个合规堆栈是围绕收集和存储文件副本构建的。”她将瓶颈描述为制度性而非技术性：“这是一个穿着技术外衣的治理和标准问题。”

短期内的摩擦在于审计员和检查员倾向于接受他们能看到的东西。麦克穆伦用操作语言描述了失败模式：“最常见的障碍是合规团队将‘我们看到了身份证’与‘我们必须保留身份证’混为一谈，因此他们为了安全而过度收集。”

该数据包还标记了对实际采用至关重要的标准约束。只有当依赖方能够在不回拨给发行方的情况下验证证明时，证明才能扩展，这需要尚未广泛实施的共享互操作性标准。

ZK 也不是魔法隐私开关。费尼格森警告说，绑定层仍然集中权力：“零知识证明让某人证明一个事实，比如超过 18 岁或不在制裁名单上 [...] 缺失的是该证明绑定到的内容。目前，它通常绑定到其他人数据库中的一个账户。”

欧盟数字身份钱包对选择性披露的信号

欧盟被描述为将零知识（ZK）技术纳入其数字身份和年龄验证系统设计中，包括隐私保护的年龄验证，允许用户在不透露完整身份或确切出生日期的情况下证明年龄。其数字身份钱包也被描述为支持“选择性披露”，这意味着用户可以仅透露交易所需的特定信息。

这很重要，因为它是一个主流身份框架，而不是加密原生的变通方案。如果选择性披露在国家支持的身份工具中变得正常，受监管的平台将获得更清晰的理由来最小化他们存储的信息，特别是在规则集中于验证身份和保留验证记录而不是保留原始文件图像的情况下。

该文件框架将FATF的指导明确视为考虑数字身份系统用于客户尽职调查，并作为各国以风险为基础的框架实施。麦克穆伦的主张是，这些规则往往比机构行为更不具约束性：“在许多制度中，规则是你必须验证身份并保留该验证的记录，而不是你必须永远保留原始文件图像。”

前进的道路仍然很混乱。Revolut的案例取决于“合法的意大利执法地址”是如何使用的，因为欺骗和妥协意味着请求认证的不同控制。另一个未解决的问题是与153M+驾驶执照泄露相关的未命名身份验证提供商，因为供应商集中度将决定这是一次性失败还是系统性共享依赖。最后一个门槛是标准：如果没有不需要回调到集中数据库的可互操作验证，基于ZK的KYC将停留在试点阶段，而不是成为默认。

我的看法：KYC“蜜罐”正成为交易者的对手风险变量

重要的阈值不是ZK证明是否“有效”。该文件已经有一个可信的主张，表明它们正在生产中。真正的考验是监管机构和审计员是否接受验证记录，而不强迫平台存储护照图像和自拍，这些图像可能通过黑客攻击或社会工程被外泄。

如果欧盟数字身份钱包的选择性披露里程碑转化为不需要发行人回调的依赖方标准，那么该设置开始看起来是结构性的，而不是叙述驱动的。在那之前，KYC数据保留仍然是每个集中场所的资产负债表相关风险，因为“你无法失去你从未持有的东西”只有在允许机构持有更少时才有帮助。

来源

• Cointelegraph