• كشفت Revolut عن بيانات العملاء، بما في ذلك السجلّات الخاصة بتداول البيتكوين (BTC)، عبر طلب حكومي احتيالي في 12 سبتمبر.

• قد تشمل البيانات المكشوفة مستندات KYC وسيلفي التحقق من الوجه وأرقام IBAN وسجلات السحب وسجلّات المعاملات الكاملة.

• قام القراصنة بنشر بيانات بشكل علني للاعب التنس ألكسندر شيفتشينكو والرئيس التنفيذي لشركة Gamdom فيليكس رومر.

إشعار العملاء الصادر عن Revolut بتاريخ 12 سبتمبر

أكدت شركة التكنولوجيا المالية البريطانية Revolut للعملاء المتضررين أنها سلّمت بيانات شخصية — بما في ذلك السجلّات الكاملة لتداول البيتكوين (BTC) — استجابةً لطلب معلومات احتيالي قُدِّم على أنه صادر عن وكالة حكومية. وقد ظهر هذا الكشف في 12 سبتمبر، حين بدأت نسخ من إشعار الشركة الخاص بالعملاء تنتشر عبر الإنترنت. ووفقًا لذلك الإشعار، تم إرسال البريد الإلكتروني الاحتيالي من صندوق بريد غير مصرح به تم إنشاؤه داخل النطاق الرسمي لإحدى الوكالات الحكومية، وكان يحمل مصادقة صحيحة للنطاق، ما دفع فريق الامتثال في Revolut إلى التعامل معه كطلب قانوني من جهات إنفاذ القانون. وتمتد البيانات التي قد تكون جرى تسليمها لتشمل ملف KYC بالكامل: الاسم، وتاريخ الميلاد، والمهنة، والعنوان، وعنوان البريد الإلكتروني، ورقم الهاتف، إلى جانب نسخ جوازات السفر أو رخص القيادة، وسيلفي التحقق من الوجه الملتقطة أثناء التسجيل. ويمكن أن تتضمن السجلات المالية أرقام IBAN وحالة الحساب وتواريخ فتح الحساب وأرقام مراجع المحفظة وسجلات السحب، فضلًا عن سجل المعاملات بالكامل، بما يشمل كل عمليات شراء وبيع بيتكوين تم تنفيذها على المنصة. وقالت الشركة إن بيانات السمات البيومترية للوجه لم تكن متورطة ولم يتم اختراقها. وقدّر المحقق عبر السلسلة ZachXBT، الذي راجع الإشعار، أن النطاق ربما كان محدودًا، لكنه لاحظ أن العملاء الأثرياء — أي حيتان العملات المشفرة عالية القيمة — يبدو أنهم كانوا المستهدفين. وقال مارك كاربلِيس، الرئيس التنفيذي السابق لـ Mt. Gox، إنه تأثر ونشر الإشعار في منشور على منصة X.

قراصنة يتسربون معلومات شيڤتشينكو وسجلات رومر

منذ ذلك الحين، دخلت القضية مرحلة ثانية أكثر عدوانية. أفادت مجموعة مراقبة الأمن International Cyber Digest على موقع X بأن المهاجمين توقفوا عن انتظار فدية وبدأوا في نشر المواد المسروقة مباشرةً، مُطلقين صور سيلفي ونسخًا من وثائق الهوية لعملاء ذوي الظهور البارز، من بينهم لاعب التنس ألكسندر شيڤتشينكو وفيليكس رومر، الرئيس التنفيذي لوسيط/كازينو العملات المشفرة أونلاين Gamdom. وفي رسالة على تلغرام نُقل عنها ما جاء في ذلك المنشور، قال القائمون على التهديد إنهم سيُفرجون عن مزيد من البيانات كل يوم حتى “تدفع Revolut مقابل تسريب بيانات العملاء”. يحمل التصعيد وزنًا خاصًا لمستخدمي العملات المشفرة لأن Revolut تُعد واحدة من القليل من التطبيقات الاستهلاكية التي توحّد الخدمات المصرفية بالعملات الورقية والأسهم وتداول العملات المشفرة في حساب واحد: لا يفضح تسريب من هذا النوع الهويات فحسب، بل يمنح المهاجمين خريطة كاملة لنشاط كل عميل من الأصول الرقمية — ما الذي تم شراؤه، وبأي حجم، ومتى. ومع توفر صور سيلفي KYC ووثائق الهوية بالفعل على الملأ، فإن سطح سرقة الهوية يمتد الآن إلى ما هو أبعد من Revolut نفسها، ليشمل طلبات القروض وفتح الحسابات في منصات أخرى واستهداف رسائل التصيد الاحتيالي بشكل دقيق. يجب على أي شخص يقارن بين المنصات عبر دليلنا لأفضل منصات تبادل العملات المشفرة أن يوازن بين كيفية تحقق كل منصة من طلبات إنفاذ القانون قبل تسليم السجلات.

نطاق مُوثّق، جهة وكالة غير مُعلنة

ما زالت هناك تفاصيل جوهرية غير مُعلنة. لم تُسمِّ Revolut الوكالة التي تم إساءة استخدام نطاقها، ولم توضح كيف حصلت وسيلة بريد إلكتروني غير مصرح بها على بيانات اعتماد صالحة داخل البنية التحتية الرسمية، أو تحدد عدد العملاء المتأثرين، قائلةً إن العدد مجرد “عدد محدود”. تؤكد الشركة أن أنظمتها وأموال العملاء لم تُمس — إذ لم تكن بيانات تسجيل الدخول وأرقام البطاقات والمفاتيح الخاصة والأرصدة ضمن المجموعة التي تم كشفها — وتقول إنها من جانبها حظرت صندوق البريد الاحتيالي منذ ذلك الحين، وتواصلت مع الوكالة مباشرةً للإبلاغ عن الحساب الشارد، وأخطرت الجهات التنظيمية لحماية البيانات والجهات التنظيمية المالية مع تطبيق إجراءات احترازية على الحسابات المتأثرة. وتُعد هذه الواقعة أيضًا منفصلة عن ادعاء يوليو الذي انتشر على منتدى جريمة إلكترونية بأن 75 مليونًا من سجلات عملاء Revolut قد تسربت؛ وقد رفضت الشركة هذا الادعاء في ذلك الوقت، قائلةً إنها لم تجد أي علامة على اختراق، وأن مُعرّفات العينة لا تتطابق مع حسابات حقيقية. ولم يصدر حتى الآن أي تعليق رسمي علني من أي جهة تنظيمية. ويهم تسلسل الأحداث: فقد أكدت الشركة الكشف الاحتيالي للعملاء في 12 سبتمبر، ثم جاءت أول عمليات التفريغ العامة للهاكرز خلال عطلة نهاية الأسبوع الممتدة من 13 سبتمبر، ما يشير إلى أن الموعد النهائي للفدية أصبح بالفعل نافذًا.

صناديق البريد الخاصة بالامتثال بوصفها سطح هجوم

في قراءتنا، تكشف الخيوط الثلاثة — الطلب الاحتيالي، والتسريب الذي تقوده الفدية، والوكالة التي لا تزال غير مُحددة — عن نقطة ضعف بنيوية واحدة: منصات التكنولوجيا المالية التي تحتفظ بملفات KYC وبمراكز عملات مشفرة طويلة الأجل بنمط HODL في الحساب نفسه أصبحت أهدافًا جاهزة لهجمات انتحال طلبات إنفاذ القانون. وكما وثّقت تغطيتنا لأمن البيتكوين بدءًا من اختراق جسر Symbiosis الأخير، فإن سطح الهجوم يمتد الآن من العقود الذكية إلى صندوق بريد مسؤول الامتثال. السجل الأساسي هنا هو إشعار العميل الذي نشره Karpelès؛ وحتى تسمية الوكالة، تظل كل من سير عمل التحقق لدى Revolut وصلاحيات/أمان صندوق بريد الحكومة غير مُثبتة.