【Eine gefälschte E-Mail der „falschen“ Regierung hat die Bitcoin-Transaktionsdaten von Kunden abgeräumt🔓】
Auf der Startseite beitreten: X-Herren-Fans im Chat🔥
Die europäische Digitalbank Revolut hat zugegeben, dass eine E-Mail, die eine Regierungsstelle vorgab, ihre Prüfung bestanden hat. Sie hat die Kundendaten einfach herausgegeben – über den gesamten Prozess hinweg ohne jede Auffälligkeit zu bemerken. Die Plattform hat mehr als 80 Millionen registrierte Nutzer; das Unternehmen sagte nicht, wie viele genau betroffen sind. In der geleakten Liste finden sich Passkopien, Kontoauszüge sowie Bitcoin-Wallet-IDs und vollständige On-Chain-Transaktionsaufzeichnungen.
Zuerst klären: Was genau wurde bei dieser Leaksituation gestohlen? Wenn nur Name und Adresse geleakt wurden, bedeutet das höchstens mehr Belästigungsanrufe. Private Keys, Login-Passwörter und vollständige Kartennummern wurden diesmal nicht mitgenommen – das ist immerhin ein kleiner Puffer. Doch die Bitcoin-Wallet-ID plus die Transaktionsaufzeichnungen ist etwas anderes. On-Chain-Überweisungen sind an sich nur über Adressen sichtbar; man kann nicht erkennen, wer die Person dahinter ist. Dieses Dokument verbindet Adressen mit echten Identitäten.
Am spannendsten ist jedoch die Art, wie es ihnen gelungen ist. Der Absender nutzte nicht einmal eine Fake-Domain, sondern die Domain einer echten Regierungsinstitution. Durch einen Konfigurationsfehler wurde die Anfrage verifiziert, außerdem bekam er gültige Nachweise. Interne Prüfungen innerhalb des Unternehmens sahen das und behandelten es als eine offizielle Aufforderung zur Bearbeitung. Der On-Chain-Ermittler ZachXBT veröffentlichte am 11. September eine Kundenbenachrichtigung: Der Kreis wirke zwar begrenzt, es könnte aber gezielt Konten mit Geld getroffen haben. Das Office of the Information Commissioner in Großbritannien erinnert daran, dass Leaks, die die Voraussetzungen erfüllen, innerhalb von 72 Stunden gemeldet werden müssen; aktuell ist noch unklar, ob die Plattform gemeldet hat. Die Abwehr wurde nicht „gehackt“ – sie hat sich durch den Prozess selbst eine Tür geöffnet.
Für Kryptowerte ist die Wallet-Adresse seit jeher eine dünne Schutzschicht. Durch das öffentliche Ledger kann jeder Transaktionen einsehen, aber nicht, wer die Person dahinter ist. Sobald Adresse und Identifikationsdaten gebündelt und versendet werden, ist dieser Schutz weg. Die Opfer, denen Geld gestohlen wurde, sind noch nicht aufgetaucht – aber die Zielpersonen sind bereits auf der Liste. Nachdem die Plattform gerade erst die vorläufige Genehmigung für eine US-Banklizenz erhalten hat und nun auch ihren eigenen Euro-Stablecoin herausgibt, werden die Identitätsakten nur noch dicker werden. Wer künftig große Beträge umtauschen will, muss erst abwägen, ob die Gegenstelle dich überhaupt wiedererkennt.
Glaubst du, dass es sich bei diesem Leak um einen zufälligen Prozessfehler der Bank handelt – oder dass die Kosten der Einführung der verpflichtenden Identifizierung früher oder später fällig werden? Schreib’s in die Kommentare.
Auf der Startseite beitreten: X-Herren-Fans im Chat🔥
Die europäische Digitalbank Revolut hat zugegeben, dass eine E-Mail, die eine Regierungsstelle vorgab, ihre Prüfung bestanden hat. Sie hat die Kundendaten einfach herausgegeben – über den gesamten Prozess hinweg ohne jede Auffälligkeit zu bemerken. Die Plattform hat mehr als 80 Millionen registrierte Nutzer; das Unternehmen sagte nicht, wie viele genau betroffen sind. In der geleakten Liste finden sich Passkopien, Kontoauszüge sowie Bitcoin-Wallet-IDs und vollständige On-Chain-Transaktionsaufzeichnungen.
Zuerst klären: Was genau wurde bei dieser Leaksituation gestohlen? Wenn nur Name und Adresse geleakt wurden, bedeutet das höchstens mehr Belästigungsanrufe. Private Keys, Login-Passwörter und vollständige Kartennummern wurden diesmal nicht mitgenommen – das ist immerhin ein kleiner Puffer. Doch die Bitcoin-Wallet-ID plus die Transaktionsaufzeichnungen ist etwas anderes. On-Chain-Überweisungen sind an sich nur über Adressen sichtbar; man kann nicht erkennen, wer die Person dahinter ist. Dieses Dokument verbindet Adressen mit echten Identitäten.
Am spannendsten ist jedoch die Art, wie es ihnen gelungen ist. Der Absender nutzte nicht einmal eine Fake-Domain, sondern die Domain einer echten Regierungsinstitution. Durch einen Konfigurationsfehler wurde die Anfrage verifiziert, außerdem bekam er gültige Nachweise. Interne Prüfungen innerhalb des Unternehmens sahen das und behandelten es als eine offizielle Aufforderung zur Bearbeitung. Der On-Chain-Ermittler ZachXBT veröffentlichte am 11. September eine Kundenbenachrichtigung: Der Kreis wirke zwar begrenzt, es könnte aber gezielt Konten mit Geld getroffen haben. Das Office of the Information Commissioner in Großbritannien erinnert daran, dass Leaks, die die Voraussetzungen erfüllen, innerhalb von 72 Stunden gemeldet werden müssen; aktuell ist noch unklar, ob die Plattform gemeldet hat. Die Abwehr wurde nicht „gehackt“ – sie hat sich durch den Prozess selbst eine Tür geöffnet.
Für Kryptowerte ist die Wallet-Adresse seit jeher eine dünne Schutzschicht. Durch das öffentliche Ledger kann jeder Transaktionen einsehen, aber nicht, wer die Person dahinter ist. Sobald Adresse und Identifikationsdaten gebündelt und versendet werden, ist dieser Schutz weg. Die Opfer, denen Geld gestohlen wurde, sind noch nicht aufgetaucht – aber die Zielpersonen sind bereits auf der Liste. Nachdem die Plattform gerade erst die vorläufige Genehmigung für eine US-Banklizenz erhalten hat und nun auch ihren eigenen Euro-Stablecoin herausgibt, werden die Identitätsakten nur noch dicker werden. Wer künftig große Beträge umtauschen will, muss erst abwägen, ob die Gegenstelle dich überhaupt wiedererkennt.
Glaubst du, dass es sich bei diesem Leak um einen zufälligen Prozessfehler der Bank handelt – oder dass die Kosten der Einführung der verpflichtenden Identifizierung früher oder später fällig werden? Schreib’s in die Kommentare.
