Revolut تسرد تواريخ تداول Bitcoin (BTC) ضمن طلب بيانات حكومي مزيف

إشعار Revolut لعملائها بتاريخ 12 سبتمبر

أكدت شركة التقنية المالية البريطانية Revolut للعملاء المتأثرين أنها سلّمت بيانات شخصية — بما في ذلك تواريخ تداول Bitcoin (BTC) كاملة — ردًا على طلب معلومات احتيالي انتحل صفة جهة حكومية. جاء الكشف إلى النور في 12 سبتمبر، حين بدأت نسخ من إشعار الشركة لعملائها تنتشر على الإنترنت. ووفق ذلك الإشعار، أُرسلت الرسالة الإلكترونية الاحتيالية من صندوق بريد غير مصرح به أُنشئ داخل النطاق الرسمي لجهة حكومية حقيقية، وكان يحمل مصادقة نطاق سليمة، ما دفع فريق الامتثال في Revolut إلى التعامل معه بوصفه مطلبًا مشروعًا من جهة إنفاذ القانون. تشمل البيانات التي ربما تسلّمت الملف الكامل لـ"اعرف عميلك" (KYC): الاسم، وتاريخ الميلاد، والمهنة، والعنوان، والبريد الإلكتروني ورقم الهاتف، إلى جانب نسخ من جوازات السفر أو رخص القيادة وصور التحقق بالملامح العامة للوجه التي التُقطت عند فتح الحساب. أما السجلات المالية فيمكن أن تتضمن أرقام الآيبان (IBAN)، وحالة الحساب، وتواريخ فتح الحساب، وأرقام مراجع المحافظ، وسجلات السحب، وكامل سجل المعاملات الذي يغطي كل عملية شراء وبيع للبيتكوين نُفذت على المنصة. وقالت الشركة إن بيانات الملامح الحيوية للوجه لم تكن معنية ولم تتعرض للاختراق. وكان المحقق على السلسلة ZachXBT، الذي اطلع على الإشعار، قد رجّح أن نطاق التسرب محدود، لكنه لاحظ أن العملاء الأثرياء — وهم عمليًا ممن يُعرفون بـحيوانات البيتكوين الضخمة — يبدو أنهم كانوا الهدف. في حين صرح Mark Karpelès، الرئيس التنفيذي السابق لمنصة Mt. Gox، بأنه من المتأثرين ونشر الإشعار في تدوينة على X.

القراصنة ينشرون سجلات Shevchenko وRömer

منذ ذلك الحين دخل الملف طورًا ثانيًا أكثر عدوانية. إذ أفادت مجموعة الرصد الأمني International Cyber Digest في تدوينة على X بأن المهاجمين توقفوا عن انتظار دفع الفدية وشرعوا في نشر المواد المسروقة مباشرة، فأطلقوا صور التحقق بالوجه ونسخ وثائق الهوية لعملاء بارزين، بينهم لاعب التنس Alexander Shevchenko وFelix Römer، الرئيس التنفيذي لكازينو الكريبتو الإلكتروني Gamdom. وفي رسالة على تيليجرام وردت مقتبسة إلى جانب تلك التدوينة، صرّح منفذو التهديد بأنهم سينشرون مزيدًا من البيانات كل يوم حتى تدفع Revolut "ثمن تسريب بيانات العملاء". ويحمل هذا التصعيد وزنًا خاصًا لمستخدمي الكريبتو، لأن Revolut واحدة من التطبيقات الاستهلاكية القليلة التي توحّد الخدمات المصرفية بالعملات النقدية وتداول الأسهم والكريبتو في حساب واحد: فتسريب من هذا النوع لا يكشف الهويات فحسب، بل يضع في أيدي المهاجمين خريطة كاملة للنشاط الرقمي لكل عميل — ماذا اشترى، وبأي حجم، ومتى. ومع كون صور KYC ووثائق الهوية خرجت إلى العلن، امتدت الآن دائرة التعرض لسرقة الهوية إلى ما هو أبعد من Revolut نفسها: طلبات القروض، وفتح حسابات لدى منصات أخرى، وهجمات تصيّد مستهدفة بدقة. ومن يجري مقارنة المنصات عبر دليل أفضل منصات تداول الكريبتو لدينا ينبغي أن يزن كيف تتحقق كل منصة من طلبات إنفاذ القانون قبل تسليم السجلات.

نطاق موثّق وجهة مجهولة

ما زالت تفاصيل جوهرية عدة في عداد المجهول. فRevolut لم تسمِّ الجهة الحكومية التي أُسيء استخدام نطاقها، ولم تشرح كيف حصل صندوق بريد غير مصرح به على بيانات اعتماد سليمة داخل بنية تحتية رسمية، ولم تحدد عدد العملاء المتأثرين، مكتيفة بوصف العدد بأنه "عدد محدود". وتؤكد الشركة أن أنظمتها وأموال عملائها لم تُمَس — فبيانات دخول الحساب وأرقام البطاقات والمفاتيح الخاصة والأرصدة لم تكن جزءًا من البيانات المكشوفة — وتقول إنها أوقفت منذ ذلك الحين صندوق البريد الاحتيالي، وتواصلت مع الجهة الحكومية مباشرة للإبلاغ عن الحساب المخالف، وأشعرت جهات حماية البيانات والجهات التنظيمية المالية مع تطبيق إجراءات وقائية على الحسابات المتأثرة. ويُعد هذا الحادث منفصلًا كذلك عن ادعاء تداول في يوليو على منتدى جريمة إلكترونية مفاده أن 75 مليون سجل لعملاء Revolut قد سُربت؛ وقد رفضت الشركة ذلك الادعاء آنذاك قائلة إنها لم تجد أي أثر لاختراق وأن معرّفات العينة المطروحة لا تطابق حسابات حقيقية. ولم تصدر أي جهة تنظيمية حتى الآن تعليقًا رسميًا علنيًا. والجدول الزمني مهم هنا: الشركة أكدت للعملاء التسرب الاحتيالي في 12 سبتمبر، وتبعت أولى عمليات النشر العلني للقراصنة خلال عطلة نهاية الأسبوع الموالية في 13 سبتمبر، ما يوحي بأن مهلة دفع الفدية أصبحت سارية فعلًا.

صناديق بريد الامتثال كسطح هجوم

في قراءتنا، تكشف الخيوط الثلاثة — الطلب الاحتيالي، والتسرب المدفوع بمنطق الفدية، والجهة التي ما زالت مجهولة — عن نقطة ضعف بنيوية واحدة: منصات التقنية المالية التي تحتفظ بملفات KYC ومواقع كريبتو طويلة الأجل على طريقة HODL في الحساب نفسها صارت أهدافًا شاملة لهجمات انتحال طلبات إنفاذ القانون. وكما وثّقت تغطيتنا لأمن البيتكوين منذ اختراق جسر Symbiosis الأخير فصاعدًا، أصبح سطح الهجوم ممتدًا من العقود الذكية إلى صندوق بريد موظف الامتثال. والسجل الأولي هنا هو إشعار العملاء الذي نشره Karpelès؛ وإلى أن تُسمى الجهة الحكومية المعنية، يظل مسار التحقق لدى Revolut وأمن صناديق البريد الحكومية نفسها بلا تحقق.