Revolut 这次出事，系统没被黑，是合规流程被「正规邮件」骗了。

客户通知从 9 月 11 日起陆续发出：有人用真实政府机构域名里的未授权邮箱发信息调取请求，SPF/DKIM/DMARC 全过，团队当成合法公函处理。流出的包括护照/驾照复印件、核验自拍、联系方式、IBAN、账单，还有比特币交易记录。公司称影响客户数量「有限」，资金和私钥没动，内部系统也没被入侵，已封禁该地址并报监管。

加密这边更扎心的是：身份件 + 自拍 + BTC 流水凑在一起，社会工程和定向钓鱼的材料就齐了。邮件认证只能证明「从哪个域发出」，证明不了发信人有权调取护照和完整流水。

$BTC #Revolut #数据安全 #合规