Revolut teilte mit, es habe kürzlich ein Betrugsschema entdeckt, bei dem ein unbefugter Dritter eine E-Mail-Adresse aus der Domain einer legitimen Regierungsbehörde genutzt habe, um betrügerische Informationsanfragen einzureichen.
Das Fintech-Unternehmen erklärte, der Vorfall habe eine begrenzte Zahl von Kunden betroffen, während der Onchain-Ermittler ZachXBT sagte, die offengelegten Daten könnten Identitätsdokumente, Kontoauszüge und vollständige Transaktionshistorien einschließlich Bitcoin-Transfers umfasst haben.
Revolut erklärte, seine Systeme und Kundengelder seien nicht betroffen gewesen und biometrische Daten, die durch Gesichtsanalyse gewonnen wurden, seien nicht kompromittiert worden.
Revolut bestätigte die Offenlegung in einem von TechCrunch berichteten Kommentar. Das Unternehmen erklärte, es habe ein „ausgeklügeltes externes Betrugsschema durch Identitätsvortäuschung“ aufgedeckt, bei dem eine E-Mail-Adresse aus der Domain einer legitimen Regierungsbehörde verwendet worden sei.
„Revolut hat kürzlich einen ausgeklügelten externen Betrug durch Identitätsvortäuschung festgestellt, bei dem ein unbefugter Dritter eine E-Mail-Adresse aus der Domain einer legitimen Regierungsbehörde nutzte, um betrügerische Informationsanfragen einzureichen“, sagte ein Unternehmenssprecher.
Revolut nannte weder die Zahl der betroffenen Kunden noch das Land, in dem sich der Vorfall ereignete, oder die Regierungsbehörde, deren Domain verwendet wurde. Das Unternehmen erklärte, es habe betroffene Kunden direkt kontaktiert, die betreffende E-Mail-Adresse gesperrt und die Regierungsbehörde, Strafverfolgungsbehörden und zuständige Aufsichtsbehörden informiert.
„Revolut-Systeme und Kundengelder sind nicht betroffen“, sagte der Sprecher.
Potenziell offengelegte Daten
ZachXBT, der den Vorfall meldete, sagte, Revolut habe die Anfrage offenbar nicht als betrügerisch erkannt, weil sie von einer Domain einer legitimen Regierungsbehörde stammt. Laut ZachXBT wurde der Anfrage entsprochen, weil angenommen wurde, sie stamme von einer echten Regierungsstelle.
ZachXBT zufolge umfassten die potenziell offengelegten Informationen die vollständigen Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen und Telefonnummern der Kunden. Sie könnten auch Kopien von Reisepässen oder Führerscheinen, Verifizierungs-Selfies, Auszahlungsaufzeichnungen und Kontoauszüge mit IBANs, Kontostatus, Eröffnungsdaten und Wallet-Nummern umfasst haben.
Auch vollständige Transaktionshistorien einschließlich Bitcoin-Aktivitäten könnten offengelegt worden sein, sagte ZachXBT. Revolut erklärte, biometrische Informationen, die während der Gesichtsanalyse erfasst wurden, seien nicht kompromittiert worden.
ZachXBT bezeichnete den Vorfall als potenziell gezielten Angriff auf vermögende Kunden, schätzte jedoch, dass die Zahl der betroffenen Nutzer begrenzt geblieben sei. Mehrere Kunden hätten laut ZachXBT Warn-E-Mails von Revolut erhalten.
Kunden und Branchenvertreter reagieren
Der Vorfall löste auf X Kritik an Revolut aus. Aave-Mitgründer Mark Zeller sagte, die Offenlegung seiner Daten sei eine weitere Erinnerung daran, dass Know-your-Customer-Verfahren zusätzliche Risiken geschaffen hätten, ohne wesentliche Vorteile zu bieten. Zeller sagte, Revolut habe kürzlich umfangreiche persönliche Informationen verlangt und zugleich damit gedroht, sein Konto innerhalb von 20 Tagen zu schließen; Angreifer hätten anschließend den Mechanismus für Informationsanfragen ausnutzen können.
Der Kunde Nikhil Foster sagte, er habe eine Benachrichtigung erhalten, wonach die offengelegten Informationen eine Kopie seines Reisepasses, ein Selfie und seine vollständige Transaktionshistorie umfassten. Er merkte an, dass seine „Gesichtsbiometriedaten“ angeblich nicht kompromittiert worden seien. Ein weiterer Nutzer, Charles Reed, sagte, er habe erst durch Berichte über den Vorfall erfahren, dass seine eigenen Daten offengelegt worden seien.
Der Finanzexperte Austin Campbell sagte, Banken und Aufsichtsbehörden seien „zutiefst unvorbereitet“ auf modernen Betrug. Campbell sagte, die Offenlegung könne Revolut erheblichen rechtlichen Risiken aussetzen und Kriminellen ein weiteres Werkzeug für Angriffe verschaffen.
Helius-Mitgründer und CEO Mert Mumtaz sagte, solche Offenlegungen könnten zu Wohnungseinbrüchen und Verlusten in Millionenhöhe führen. Seiner Ansicht nach sollte die Verifizierung, falls KYC-Anforderungen beibehalten werden, ausschließlich über bereits verfügbare Zero-Knowledge-Proof-Technologie erfolgen.
Revoluts Expansion
Der Vorfall ereignet sich, während Revolut seine Finanz- und Kryptodienstleistungen ausbaut. Das Unternehmen bereitet einen sekundären Aktienverkauf vor, der es mit rund 115 Milliarden US-Dollar bewerten könnte, und entwickelt eigene Produkte für digitale Vermögenswerte.
Der frühe Revolut-Investor Max Karpis hatte zuvor gesagt, dass etwa 80 % der Verdachtsmeldungen in Litauen von der Revolut Bank stammten. Das Unternehmen hat zudem EURR, seinen ersten auf Euro lautenden Stablecoin, eingeführt. Revolut erklärte, EURR entspreche der Verordnung der Europäischen Union über Märkte für Kryptowerte und plane, sein Stablecoin-Angebot im Laufe der Zeit zu erweitern.
Quelle: HODL Press
