تسريب في Revolut يكشف سجلات معاملات عملاء Bitcoin (BTC) عبر طلب حكومي مزيف

طلب حكومي مزيف يخدع Revolut

أفصح البنك الرقمي Revolut، الذي يخدم أكثر من 70 مليون عميل حول العالم، عن تسليمه بيانات شخصية حساسة إلى جهة تهديد مجهولة انتحلت صفة وكالة حكومية. وفي إشعار أُرسل إلى العملاء المتأثرين ، أوضحت الشركة أنها استجابت لطلب معلومات وصل من عنوان بريد إلكتروني غير مصرح به — لكنه كان مستقرًا على نطاق حكومي حقيقي ومحملًا ببيانات توثيق نطاق صالحة. هذا المزج جعل الطلب يبدو أصيلًا، ويقول البنك إنه عالجه بناءً على قناعة معقولة بأنه صادر عن سلطة عامة فعلية. أما الوكالة التي تنكّر لها المحتال فما زالت هويتها غير معلنة. وشملت السجلات المسرَّبة الأسماء وتواريخ الميلاد والمهن وعناوين المراسلة ورسائل البريد الإلكتروني وأرقام الهواتف — وهي بيانات كافية وحدها لتعرض السلامة الشخصية للمتضررين للخطر. كما أفصحت Revolut عن صور جوازات السفر ورخص القيادة المقرونة بصور التحقق من الوجه المرفقة بها، مما يفتح طريقًا مباشرًا نحو سرقة الهوية. وقدّر محقق البلوكتشين ZachXBT أن الحادثة محدودة النطاق على الأرجح، لكنه لاحظ أن المستخدمين المتأثرين يبدو أنهم انتُقوا لثرواتهم الصافية المرتفعة، وهو ما يرفع احتمالات تعرضهم لهجمات لاحقة. وأكد Marc Zeller، مؤسس مبادرة Aave Chan Initiative التي أُسدلت لاحقًا، في منشور علني أنه كان من بين المتضررين، معتبرًا التسريب تذكيرًا صارخًا بأن قواعد «اعرف عميلك» (KYC) الإلزامية عرضت أشخاصًا كثيرين للخطر بدلًا من أن توفر لهم حماية ذات معنى. وحالته ليست استثناءً: فالهجمات الجسدية المعروفة بـ«هجمات المفتاح الإنجليزي» (wrench attacks) على حاملي العملات الرقمية — بينهم عملاء شبكات البطاقات مثل Visa — تتصاعد في تكرارها وشدتها على حد سواء، وتسريب بيانات العناوين يجعل استهداف هؤلاء أسهل بكثير. وبفضل هذه الواقعة، انضمت Revolut إلى قائمة تتعاظم من المؤسسات وشركات العملات الرقمية التي سرّبت ملفات عملائها دون قصد إلى منتحلين، بما يعمّق الموجة العالمية من الرفض لجمع بيانات KYC الإلزامي.

إشعار أُرسل إلى العملاء المتأثرينhttps://x.com/magicaltux/status/2098613398070305037

ولا يتوقف النطاق التقني للتسريب عند ملفات الهوية. فوفقًا لما ورد في التفاصيل المنشورة، غطى الإفصاح كشوف الحسابات وأرقام IBAN، وتواريخ فتح الحسابات، وأرقام مرجعية للمحافظ تربط كل عميل بـ عناوين محافظ خارجية، وسجلات عمليات السحب، وسجلًا كاملًا للمعاملات — بما في ذلك معاملات العميل في عملة Bitcoin (BTC) — إلى جانب صور التحقق من الوجه. وقد أكدت Revolut أن بياناتها البيومترية لقياس الوجه لم تُخترق، لكنها لم تحدد بعد ما إذا كانت كلمات المرور أو المفاتيح الخاصة أو أموال العملاء قد تأثرت، وما زالت دون تقدير لعدد العملاء الذين سرُبت سجلاتهم. ومن الجدير بالملاحظة أن هذه الواقعة لم تكن اختراقًا مباشرًا لبنية Revolut التحتية. فقد غادرت البيانات البنك عبر القناة المخصصة التي تحتفظ بها لطلبات المعلومات الحكومية ومن جهات إنفاذ القانون، وقد سُلّحت برسالة واحدة مزورة. وهذا التمييز جوهري لمعالجة الحادثة: لا مؤشر على اختراق شامل للأنظمة يستوجب ترقيعًا، ولا دليل حتى الآن على تحرك أي أموال. لكن هذا يوفر قدرًا بسيطًا من الطمأنة لعملاء أصبحت تواريخهم المالية، وصولًا إلى كل حركة من حركات Bitcoin الفردية، بين أيادٍ معادية. فسجلات المعاملات بهذا العمق تمكّن المهاجم من إعادة بناء صورة الثروة، ورصد أنماط صرف الأصول، وتوقيت اقترابه بلحظة يُرجح أن الضحية تحمل عندتها محافظ أجهزة أو أرصدة كبيرة في المنزل. وتتوقف السجلات قبل بيانات التداول مثل أنواع الأوامر ، وإن كانت سجلات السحب والتحويلات هي عادةً الأخطر على الحائزين عند تسريبها. ثلاثة أسئلة ما زالت بلا إجابة: أي وكالة انتحل المهاجم صفتها، وكم عميلًا تأثر، وهل ستتحول أي سجلات مخترقة إلى خسائر مالية. ولم تفتح الشركة أي صفحة حادثة علنية خلاف الإشعارات المباشرة، تاركة الباحثين يجمّعون نطاق الضرر من الإفصاحات الفردية. يمكن للقراء الراغبين في متابعة السوق لحظيًا الاطلاع على أسعار السبوت والعقود الآجلة مباشرة عبر Binance.

بريد إلكتروني واحد مزور يكفي للتسريب

تُرسم بالإفصاحين، من خلال الإفصاحين معًا، قوس سردي واحد: خزائن الهوية المركزية تتحول إلى أضعف حلقات في منظومة العملات الرقمية. فالسجلات الأساسية هنا — إشعار Revolut لعملائها ومنشور المستخدم المتأثر العلني — تصف بنكًا يستجيب لطلب مزور، لا سلسلة بلوكتشين أو منصة تداول انكسرت. وعلى خلاف هجوم الإعادة (replay attack) أو استغلال ثغرة على السلسلة، لم يكن هناك ما يتطلب كسرًا تقنيًا؛ لقد استعار المهاجم سلطة الدولة فحسب. وقراءتنا في COINOTAG أن الدرس إجرائي بحت: قنوات طلبات إنفاذ القانون بحاجة إلى تحقق خارج النطاق (out-of-band) بصرامة قائمة السحب المسموح بها. وحتى تُحمى بيانات KYC بمعايير الحفظ ذاتها المطبقة على أصول العملاء، سيظل المستخدمون أصحاب الثروات الكبيرة على بُعد بريد إلكتروني واحد مزور من التعرض للتسريب.