Revolut遭遇伪造机构请求，泄露含比特币交易在内的客户记录

Revolut中招了，一封伪装成政府信息调阅函的诈骗邮件骗走了客户数据，这封邮件过了域名验证，平台误以为是官方的正式请求，但好在私钥、密码和完整银行卡信息没有外泄，官方没说多少用户受影响，也没查到是谁发的诈骗邮件。目前Revolut正在发力数字资产和银行业务，美国银行牌照已经拿到有条件批准。下面小编简单梳理了Revolut因响应欺诈请求导致客户信息泄露的事件。

Revolut收到一份看似来自政府机构的欺诈请求并予以处理，导致客户身份信息与财务记录遭到泄露，其中包含比特币交易历史。

链上调查员ZachXBT在Telegram上分享了Revolut发给客户的通知。该请求发自一个未授权账号，但使用了某政府机构的域名。邮件通过了域名身份验证，Revolut表示当时认定这份请求真实有效，因此提供了相关信息。

消息来源：Telegram/zachxbt

这份通知没有写明涉事机构名称，也未说明未授权发送方是如何获取该机构邮件域名的。同时没有披露请求与信息泄露发生的日期。ZachXBT称多名客户在9月11日周五收到预警邮件，但他本人以及帖子展示的通知片段，均未确认受影响用户的具体数量。

伪造请求如何送达Revolut

Revolut在事件说明中表示，这封邮件带有有效的域名身份验证凭证，看起来是合法的政府调阅请求。该邮件直接通过使用官方机构域名的未授权账号发送，并非仿冒近似邮箱地址。

通知原文写道：“由于该通讯携带有效的域名身份验证凭证，我们有合理理由相信这是真实的政府机构请求，因此执行了信息调阅。”

本次事件属于响应欺诈请求而造成的非授权信息泄露。通知并未提到入侵者攻入Revolut系统、访问客户账户或非法转移资金。文中没有锁定请求发送者身份，也未说明该机构是否已对这一邮件账号滥用行为展开调查。

ZachXBT认为本次事件波及范围大概率有限，目标似乎为高净值用户。但截图中的Revolut通知并未证实受影响群体规模以及客户筛选方式。

Revolut披露的信息内容

Revolut提供的身份资料包含客户全名、出生日期、职业；联系方式包括通讯地址、邮箱和电话号码。

本次泄露材料还包含护照、驾照等身份证件副本，以及客户用于身份核验的自拍。Revolut区分说明：这些图像不等同于生物面部遥测数据，后者并未遭到泄露。

账户对账单也是泄露内容之一，包含IBAN账号、账户状态、开户日期、比特币钱包参考编号。提款记录与完整交易历史（含比特币交易记录）同样被一并提供。

通知仅列出可能被泄露的信息类别，并非所有受影响客户都拥有全部资料；钱包私钥、账户密码、完整银行卡信息不在泄露范围内。而比特币交易记录和客户姓名、账户资料一同被发送给未授权请求方，这一点对加密货币用户尤为关键。

根据该公司8月公告，Revolut全球用户超8000万。该用户总量是企业业务规模数据，并非本次信息泄露的受害人数。

记录泄露对受害客户的潜在影响

英国信息专员办公室表示，个人数据泄露可能引发身份盗用、诈骗以及财务损失。其泄露事件指引要求评估涉事信息和对个人的潜在伤害，并不代表Revolut事件中已经发生上述损害。

如果客户身份证件和交易记录同时外泄，意味着接收方可获取该用户详尽的财务情况。ZachXBT关于目标为高净值用户的说法，暂未得到Revolut在这份公示材料中的证实，目前也暂无记录显示这些资料已被滥用。

监管指引规定，企业在可行情况下，发现特定个人数据泄露后需在72小时内上报；当对用户权益存在高风险时，要及时通知相关个人。截图并未说明Revolut是否向监管机构上报，以及公司首次发现这份伪造请求的时间。

Revolut面向美国用户的安全指引提示，客户可通过应用内客服聊天渠道核实可疑消息真伪。公司称不会通过电话索要客户的验证或安全验证码。ZachXBT展示的这份客户通知，并未提及安全验证码遭到泄露。

Revolut美国业务与加密业务背景

事件发生之际，Revolut正持续扩张银行业务与数字资产业务。此前crypto.news报道，该公司8月26日向丹麦、波兰、葡萄牙的部分客户推出锚定欧元的稳定币EURR，并计划后续拓展欧洲其他地区。稳定币上线项目与本次客户资料泄露相互独立。

这份通知并未指明受害者身处美国，但Revolut的美国业务规划可供美国读者参考。9月3日，该公司从货币监理署（OCC）获得美国银行的有条件批准。这家拟设于康涅狄格州斯坦福德市的银行初始资本金约9500万美元，拿到剩余审批后有望于2027年开业。

据早前报道，现阶段Revolut美国客户的银行业务由Lead Bank提供支持。这家拟设立的国民银行还需要联邦存款保险公司的存款保险、美联储审批以及OCC的最终授权，方可正式运营。