رسالة حكومية مزيفة تكشف سجلات بيتكوين (BTC) لدى Revolut وإخطارات بتاريخ 11 سبتمبر

بريد حكومي مزيف من نطاق حقيقي

أكدت منصة التمويل التقني Revolut أن رسالة بريد إلكتروني واحدة احتيالية، وصلت من قناة بدت وكأنها جهة حكومية رسمية، دفعتها إلى تسليم ملفات العملاء — ومن بينها سجلات مرتبطة بتاريخ معاملات بيتكوين (BTC). وما يمنح هذه الحادثة خطورتها الخاصة أن الرسالة وصلت من نطاق بريد إلكتروني حقيقي تابع لوكالة حكومية، ومعها بيانات توثيق نطاق صالحة، فنفذت الشركة الطلب بناءً على ما تصفه بأنه اعتقاد معقول بصحة الطلب. وفي بيان رسمي، وصفت Revolut الحادثة بأنها "هجوم انتحال خارجي متطور" استخدم فيه طرف غير مخوّل بريد نطاق وكالة حكومية مشروعة لتقديم طلبات احتيالية للمعلومات، مضيفة أن أنظمتها وأموال عملاء لم تتأثر. وتقول المنصة إنها حظرت المرسل فور اكتشاف المشكلة، وأبلغت الوكالة المعنية والشرطة وجهات حماية البيانات والجهات التنظيمية المالية، وتواصلت مع ما تصفه بعدد محدود من العملاء المتأثرين. أما ما لم تكشفه الشركة فهو هوية الوكالة التي خُدِم نطاقها، بحجة وجود تحقيق شرطي جارٍ — وهو ما يترك السؤال مفتوحًا: هل جرى اختطاف صندوق بريد حكومي، أم أن شخصًا من داخل الإدارة الأصلية ضغط زر الإرسال بنفسه. ويقول باحث البلوكتشين ZachXBT، أول من رصد التسريب، إن الحادثة بدت محدودة الأثر على مجموعة صغيرة من المستخدمين، ويبدو أنها استهدفت الأثرياء منهم. ولمن يتابع دورة أخبار بيتكوين، تأتي هذه القضية مختلفة عن اختراق منصة التداول المعتاد: لم تُسرق مفاتيح خاصة ولا أموال، لكن المادة المعرضة للخطر تحوّل النشاط على السلسلة إلى شخص يحمل اسمًا وعنوانًا يمكن تحديد موقعه. وبتعبير آخر، لم يكن على المهاجم سوى كتابة رسالة بريد إلكتروني والانتظار؛ أما الفشل المكلف فقد وقع داخل عملية الامتثال الداخلية للبنك نفسها.

جوازات سفر وصور ذاتية ومراجع محافظ

يعرض إشعار العملاء الذي يقف في قلب الحادثة — وقد نشره ZachXBT علنًا في قناة تحقيقاته — فئات البيانات التي تقول Revolut إنها خرجت. وتشمل الأسماء الكاملة وتواريخ الميلاد والمهن والعناوين البريدية وعناوين البريد الإلكتروني وأرقام الهواتف، إلى جانب نسخ من وثائق الهوية مثل جوازات السفر ورخص القيادة، إضافة إلى الصور الذاتية (selfies) التي قدمها العملاء لفحوصات التحقق من الهوية. وقد ميّزت Revolut بين أمرين: القياسات الحيوية للوجه، أي قالب الوجه المُستخرج من الصورة، لم تكن ضمن البيانات المتسربة — لكن الصورة نفسها كانت. وشكّلت كشوف الحسابات فئة أخرى من البيانات المفصح عنها، وقد احتوت تلك الكشوف على أرقام IBAN وحالة الحساب وتواريخ فتح الحساب وأرقام مرجعية لمحافظ بيتكوين، مع سجلات السحوبات وتاريخ المعاملات الكامل. ويورد الإشعار فئات معلومات ربما جرى الإفصاح عنها؛ لكنه لا يثبت أن كل عميل متأثر كان يملك كل سجل في ملفه، ولا ينص على أن المفاتيح الخاصة أو كلمات مرور الحسابات أو تفاصيل بطاقات الدفع الكاملة أُدرجت في التسريب. وقال ZachXBT إن عددًا من العملاء تلقوا رسائل إخطار يوم الجمعة 11 سبتمبر، غير أن هو لم يقدم ولا الإشعار المعروض في منشوره عددًا مؤكدًا للمستخدمين المتأثرين. والسياق هنا مهم: تخدم Revolut أكثر من 80 مليون عميل حول العالم، وحصلت على موافقة بنكية أمريكية مشروطة من مكتب المراقب المالي للعملة (OCC) في 3 سبتمبر، وبدأت طرح عملتها المستقرة EURR للعملاء في الدنمارك وبولندا والبرتغال في 26 أغسطس — وهو توسّع يرفع من مخاطر سجلها في التعامل مع البيانات. ومن يزن الخيارات بين المنصات الوصية والاحتفاظ الذاتي بالأصول يمكنه مقارنة الخيارات في دليلنا لأفضل منصات تداول الكريبتو.

الهندسة الاجتماعية تتفوق على الأنظمة

في قراءتنا نحن في COINOTAG، الدرس واضح: المحيط الدفاعي صمد والعملية الإجرائية هي التي فشلت. فلم يمسّ أي استغلال تقني بنية Revolut التحتية، ومع ذلك استخرجت رسالة انتحال مُتقنة بعضًا من أكثر السجلات حساسية التي يمكن أن يمتلكها حائز أصول رقمية. الخطر الدائم هنا هو الهوية لا الأرصدة: كلمة المرور تُعاد ضبطها في دقيقة واحدة، أما جواز السفر فلا، وجمع عناوين المنازل بمراجع المحافظ يفتح بابًا لعمليات التصيد والاستهداف المادي لا يمكن لبيانات السلسلة وحدها أن تفتحه أبدًا. أما المعيار التنظيمي فصريح: إرشادات مكتب مفوّض المعلومات البريطاني بشأن خروقات البيانات تلزم المؤسسات بالإبلاغ عن بعض خروقات البيانات الشخصية خلال 72 ساعة، وإخطار الأفراد دون تأخير غير مبرر عندما يكون الخطر مرتفعًا. ويظل أمر غير مؤكد ما إذا كانت المجموعة المتأثرة تميل إلى حائزي حيازات بحجم الحيتان في الكريبتو.