Eine gefälschte E-Mail einer staatlichen Behörde ist diese Woche bei Revolut durch die Sicherheitskontrollen gerutscht und hat Wohnadressen, Ausweisdokumente und Bitcoin-Transaktionsverläufe offengelegt, die zu einer Gruppe von Kunden gehörten.
Die Anfrage schien von einer legitimen staatlichen Behörde zu stammen und trug Zugangsdaten, die die Prüfungen von Revolut bestanden. Das Unternehmen gab Kundendaten heraus, bevor es die Behörde separat kontaktierte und feststellte, dass die Anfrage betrügerisch war, wie aus Mitteilungen hervorgeht, die an betroffene Nutzer gesendet wurden.
Laut Berichten umfassten die Dateien Reisepässe oder Führerscheine, Verifizierungs-Selfies, Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mails, Telefonnummern, IBANs, Kontoauszüge, Auszahlungsnachweise und vollständige Transaktionsverläufe, einschließlich der gesamten Bitcoin-Aktivität.
Revolut hat nicht offengelegt, wie viele Kunden betroffen waren, und reagierte nicht unmittelbar auf eine CoinDesk-Anfrage nach einem Kommentar. Laut der Benachrichtigung seien die Kundengelder sicher geblieben. Revolut habe betroffene Nutzer und Regulierungsbehörden informiert und gleichzeitig die Quelle der Anfrage blockiert.
Der Ausfall war eine Frage der Autorisierung, nicht der Verschlüsselung
Kein System wurde im herkömmlichen Sinne kompromittiert.
Nachdem die Anfrage die internen Prüfungen von Revolut passiert hatte, gelangte jemand, der sich als Regierungsvertreter ausgab, an dieselben tief persönlichen Informationen, die die Bank gesammelt hatte, um Identität und Compliance-Anforderungen zu erfüllen.
Diese Unterscheidung ist für alle wichtig, die ihre eigene Gefährdung an anderer Stelle einschätzen. Verschlüsselung, Cold Storage und Zugriffsprotokollierung adressieren ein völlig anderes Bedrohungsmodell. Ein Prozess, der Daten legitimerweise an verifizierte Anfragende freigibt, scheitert, wenn die Verifizierung selbst das Ziel ist.
Finanzinstitute erhalten routinemäßig Anfragen von Regierungen, und das Datenvolumen erzeugt Druck für einen effizienten Umgang. Ein Angreifer muss nur einmal die Überprüfung der Zugangsdaten bestehen.
KI macht diese Kategorie von Angriffen im Maßstab günstiger
Überzeugende E-Mails, Dokumente, Identitäten und bürokratische Anfragen werden zunehmend günstig, um sie im großen Stil zu produzieren, während Finanzunternehmen weiterhin immer detailliertere Aufzeichnungen darüber führen, wer ihre Kunden sind, wo sie leben und wie sie Geld bewegen.
Diese Kombination verändert die Wirtschaftlichkeit. Eine überzeugende Täuschung als Regierungsbehörde erforderte einmal spezifisches Wissen über die Formatierung der Behördenschreiben, Referenzstrukturen und sprachliche Konventionen. Das lässt sich mittlerweile aus öffentlichen Beispielen mit nahezu null Grenzkosten nachbauen.
Die defensive Last steigt entsprechend. Jedes Institut, das sensible Daten hält, muss nun eingehende Autorität gegen eine Bedrohung verifizieren, die unbegrenzt viele plausible Versuche erzeugen kann.
Die Kombination der Daten ist das spezifische Risiko
Bitcoin macht die Gefährdung ungewöhnlich konkret.
Die Blockchain protokolliert Transaktionen öffentlich. Personenbezogene Daten – Reisepass, Wohnadresse, Beruf – liegen außerhalb des Netzwerks. Finanzintermediäre verbinden diese beiden Datensätze und verwandeln so eine Kundendatenbank in eine Karte, die eine reale Person mit ihrer Aktivität on-chain verknüpft.
Der Onchain-Ermittler ZachXBT, der auf den Vorfall aufmerksam gemacht hatte, sagte in einer Telegram-Mitteilung, dass die Sicherheitslücke offenbar begrenzt gewesen sei und möglicherweise auf Nutzer mit hohem Nettovermögen abgezielt habe.
Wenn diese Einschätzung stimmt, zählt stärker das Auswahlmuster als das Volumen. Eine gezielte Anfrage nach bestimmten Konten mit hohem Kontostand erzeugt ein materiell anderes Risikoprofil als eine Massenausleitung, denn sie deutet darauf hin, dass der Anfragende bereits wusste, wonach er sucht.
Betroffene Kunden sehen sich einer unmittelbaren Folgegefahr durch Phishing ausgesetzt, das die offengelegten Details nutzt, um glaubwürdig zu wirken – ein Anrufer, der Ihre Adresse, Ihren Kontostand und die jüngsten Transaktionen kennt, lässt sich deutlich schwerer abwimmeln. Wer benachrichtigt wird, sollte auf unaufgeforderte Kontaktaufnahmen mit Bezug auf sein Revolut-Konto besonders vorsichtig reagieren und die Angaben unabhängig über offizielle Kanäle verifizieren.
Wer größere Vermögenswerte besitzt, sollte außerdem seine physische Sicherheitslage in Betracht ziehen, da Adress- und Kontostandinformationen zusammen auftauchten.
Zero-Knowledge-Beweise erhalten einen konkreten Anwendungsfall
Der Vorfall verschafft der Privatsphäre-Technologie eine unmittelbare Anwendung – nicht nur eine theoretische.
Zero-Knowledge-Systeme ermöglichen es jemandem, zu beweisen, dass eine Identitätsprüfung abgeschlossen wurde, oder dass ein Kunde eine bestimmte Anforderung erfüllt, wobei weniger vom Reisepass, der Adresse oder den zugrunde liegenden Informationen preisgegeben werden, die dafür erforderlich waren.
Der architektonische Unterschied ist hier entscheidend. Unter den aktuellen Rahmenbedingungen bedeutet die Erfüllung einer Compliance-Anforderung, dass die Einrichtung die zugrunde liegenden Dokumente auf unbestimmte Zeit vorhält, und jedes spätere Versagen legt alles offen. In einem beweisbasierten System hält die Einrichtung eine Bestätigung (Attest) statt des Quellmaterials vor.
Ein Angreifer, der es schafft, sich gegen ein ZK-basiertes System als Regierungsbehörde auszugeben, erhält eine Bestätigung, dass die Prüfungen bestanden wurden. Er erhält weder eine Scanaufnahme des Reisepasses noch eine Wohnadresse.
Die Fragestellung verlagert sich von Schutz hin zu Sammlung
Da das Vorspielen von Identitäten leichter wird, verlagert sich das Sicherheitsproblem von der Frage, wie gut Institutionen Kundendaten schützen, zu der Frage, wie viele sensible Informationen sie überhaupt sammeln, vorhalten und offenlegen müssen.
Diese Umformulierung hat regulatorische Implikationen, die das Compliance-Regime bislang nicht adressiert hat. Know-your-customer-Anforderungen wurden für ein Bedrohungsmodell entworfen, in dem das Institut der vertrauenswürdige Inhaber war und das Risiko von außen kam – etwa durch unbefugtes Eindringen. Sie berücksichtigen nicht, dass das Institut durch soziale Manipulation zu freiwilliger Offenlegung gebracht wird.
Jedes zusätzliche Feld, das eine regulierte Einrichtung erfassen muss, vergrößert den Datensatz, der bei einem Versagen dieser Art verfügbar wird. Das Compliance-Framework und das Sicherheitsresultat arbeiten gegeneinander, und der Revolut-Vorfall ist eher ein Beleg als ein Argument.