رسالة حكومية مزيفة تكشف سجلات بيتكوين (BTC) لدى Revolut وإخطارات بتاريخ 11 سبتمبر

بريد حكومي مزيف من نطاق حقيقي

أكدت شركة Revolut أن رسالة بريد إلكتروني واحدة احتيالية، وصلت من قنٍلة تبدو وكأنها قناة رسمية تابعة للحكومة، خدعت شركة التقنية المالية فسلّمت ملفات العملاء — بما فيها سجلات مرتبطة بتواريخ معاملات Bitcoin (BTC). جاءت الرسالة من نطاق بريد إلكتروني حقيقي تابع لجهة حكومية، وحمل بيانات مصادقة نطاق صحيحة، وهو ما دفع الشركة إلى تنفيذ الطلب بناءً على ما تصفه بالاعتقاد المعقول بأن الطلب أصلي. وقالت Revolut في بيان إن الحادثة هي "هجوم انتحال خارجي متطور" استخدم فيه طرف غير مصرح له بريد نطاق شرعي لجهة حكومية لتقديم طلبات احتيالية للحصول على معلومات، مضيفة أن أنظمتها وأموال عملاء لم تتأثر. ووفق ما ذكره البنك، حجب المرسل فور اكتشاف المشكلة، وأبلغ الجهة الحكومية والشرطة وجهات حماية البيانات والجهات التنظيمية المالية، وتواصل مع ما يسميه عدداً محدوداً من العملاء المتأثرين. أما ما لم تكشفه الشركة فهو نطاق أي جهة حكومية استُخدم، بحجة وجود تحقيق شرطي جارٍ — وهو ما يترك السؤال مفتوحاً: هل اختُطف صندوق بريد حكومي، أم أن شخصاً كان داخل الأصل أرسل الرسالة بنفسه. وقال باحث البلوكتشين ZachXBT، الذي رصد التسريب أولاً، إنه يبدو أنه أثّر على مجموعة صغيرة من المستخدمين وبدى موجهاً نحو الأثرياء منهم. ولمن يتابع دورة أخبار Bitcoin، تأتي هذه القضية مختلفة عن اختراق منصة نموذجي: لم تُنقل أي مفاتيح أو أموال، لكن المادة المعرضة للخطر تحوّل النشاط على السلسلة إلى شخص يحمل اسماً وموقعاً معروفين. وبحسب رواية Revolut نفسها، لم يكن على المهاجم سوى كتابة بريد إلكتروني والانتظار؛ أما الفشل المكلف فقد حدث داخل عملية الامتثال الخاصة بالبنك ذاتها.

جوازات سفر وصور ذاتية ومراجع محافظ

يسرد إشعار العملاء الذي يشكل محور الحادثة — والذي شاركه ZachXBT علناً في قناته التحقيقية — فئات البيانات التي تقول Revolut إنها خرجت. وتشمل الأسماء الكاملة وتواريخ الميلاد والمهن والعناوين البريدية وعناوين البريد الإلكتروني وأرقام الهواتف، إلى جانب نسخ من وثائق الهوية كجوازات السفر ورخص القيادة، وصور السيلفي التي قدمها العملاء لفحوصات الهوية. وقد ميّزت Revolut نقطة واحدة: القياس الحيوي للوجه، أي قالب الوجه المُنشأ من صورة فوتوغرافية، لم يكن معنياً — لكن الصورة نفسها كانت كذلك. وشكّلت كشوفات الحساب فئة أخرى مُفصح عنها، واحتوت تلك الكشوفات على أرقام IBAN وحالة الحساب وتواريخ فتح الحساب وأرقام مرجعية لمحافظ Bitcoin (BTC)، مع سجلات السحوبات وسجلات المعاملات الكاملة. ويذكر الإشعار فئات من المعلومات ربما تكون قد فُصح عنها؛ لكنه لا يثبت أن كل عميل متأثر كان لديه كل سجل على الملف، ولا يذكر أن المفاتيح الخاصة أو كلمات مرور الحسابات أو تفاصيل بطاقات الدفع الكاملة أُدرجت. وقال ZachXBT إن عدداً من العملاء تلقوا رسائل تنبيه يوم الجمعة 11 سبتمبر، لكنه هو والإشعار المعروض جزئياً في منشوره لم يقدّما عدداً مؤكداً للمستخدمين المتأثرين. والسياق مهم: تخدم Revolut أكثر من 80 مليون عميل حول العالم، وحصلت على موافقة مصرفية أمريكية مشروطة من مكتب مراقب العملة في 3 سبتمبر، وبدأت طرح عملتها المستقرة EURR للعملاء في الدنمارك وبولندا والبرتغال في 26 أغسطس — وهي توسعة ترفع من ثقل سجلها في التعامل مع البيانات. ومن يوازن بين المنصات الوصية والحيازة الذاتية يمكنه مقارنة الخيارات في دليلنا لـأفضل منصات تداول العملات الرقمية.

الهندسة الاجتماعية تتغلب على الأنظمة

ضاقت صورة الانكشاف مع تأكيدات إضافية من الشركة: قال متحدث باسم Revolut إن كلمات المرور وبيانات تسجيل الدخول والبيانات الحيوية لم تُفصح أبداً، وأنه لم تُنقل أي أموال، مع بقاء حسابات العملاء آمنة. وتصل هذه التوضيحات بينما يلاحظ مراقبو الأمن نمطاً أكثر قتامة حول قوائم العملاء المسربة — فالعناوين المنزلية المكشوفة سبقت تاريخياً هجمات مادية على حاملي العملات الرقمية، والجمع بين صور سيلفي موثقة وجوازات سفر وسجلات كاملة لدخول وخروج Bitcoin (BTC) يرفع المخاطر كثيراً فوق خطر التصيد المعتاد. ويؤكد البنك أن المهاجم استغل نظام بريد حكومي شرعي لإرسال طلب احتيالي، قَبِلت عملية الامتثال لديه على أنه أصلي، فيما تبقى هوية الجهة المعنية غير معلنة في ظل تحقيق شرطي نشط. ويمكن للقراء الذين يتتبعون السوق لحظة بلحظة متابعة أسعار السبوت والعقود الآجلة مباشرة على Binance.

(حتى الساعة ‏10:39 UTC‏) (حتى 10:39 بتوقيت UTC) في قراءتنا، الدرس هو أن المحيط صمد بينما فشلت العملية: لم يمسّ أي استغلال بنية Revolut التحتية، ومع ذلك استخرج بريد انتحالي محكم الصنع بعضاً من أكثر السجلات حساسية التي يمكن أن يمتلكها حامل عملات رقمية. الخطر الدائم هو الهوية لا الأرصدة — فكلمة المرور يُعاد ضبطها في دقيقة، أما جواز السفر فلا، كما أن اقتران العناوين المنزلية بالمراجع المرجعية للمحافظ يخلق تعرضاً للتصيد والاستهداف المادي لا يمكنه بيانات السلسلة وحدها إحداثه أبداً. والمعيار التنظيمي صريح: توجيهات مكتب مفوّض المعلومات البريطاني بشأن الاختراقات تلزم المؤسسات بالإبلاغ عن بعض خروقات البيانات الشخصية خلال 72 ساعة وإخطار الأفراد دون تأخير غير مبرر عندما يكون الخطر مرتفعاً. أما ما إذا كان المتأثرون يميلون نحو حاملي بحجم الحيتان في عالم العملات الرقمية فيبقى غير مؤكد.