オンチェーン分析家のZachXBT氏は12日、英フィンテック大手Revolut（レボリュート）の顧客通知メールをテレグラムで公開した。通知によると、同社は政府機関を装った偽の照会に応じ、身分証明書の写しやビットコイン（
BTC）の全取引履歴を含む顧客情報を渡していた。ZachXBT氏は、規模は限定的とみられるものの富裕層が標的だったようだとの見方を示している。
正規ドメインからの照会が認証を通過
レボリュートの通知は、経緯をこう説明している。同社は、正当な政府機関から来たように見える顧客情報の照会を受け取った。その照会は、当該政府機関の公式メールドメインを使い、権限のないメールアカウントから直接送られたものだった。
通信が有効なドメイン認証情報を伴っていたため、本物の政府機関による照会だと信じる合理的な理由のもとで応じた、としている。
技術的な侵入があったわけではない。サーバーが破られたのでもマルウェアが使われたのでもなく、照会元の権限を確認する手続きが機能しなかった形だ。
渡されたのは本人確認書類と全取引履歴
通知が列挙する情報の範囲は広い。本人確認情報として氏名、生年月日、職業。連絡先として住所、メールアドレス、電話番号が含まれる。
書類・認証データには、パスポートまたは運転免許証の写しと、本人確認時に提出した顔認証用の自撮り画像が入る。ただし同社は、生体顔テレメトリーデータは含まれておらず侵害もされていないと明記した。
金融データはさらに詳しい。IBAN、口座の状態、開設日、ウォレット参照番号を含む口座明細に加え、出金記録と、ビットコインを含む全取引履歴が渡された。
ZachXBT氏によれば、11日に複数の利用者へ通知メールが送られている。
暗号資産の保有者にとって、この組み合わせは重い。氏名や自宅住所といった身元情報と、ビットコインの取引履歴が同じ相手の手に渡ったことを意味するためだ。
暗号資産の保有者が物理的な犯罪の標的となる事例は、今週も相次いだ。米国ではビットコイン強奪を狙った誘拐事件で計画役に禁錮15年の判決が下り、英当局はロシア系の資金洗浄網をめぐり129人を逮捕したと明らかにした。
ZachXBT氏が富裕層を標的にした可能性を挙げているのも、こうした背景を踏まえたものとみられる。ただし、流出した情報が実際に悪用されたことを示す報告は現時点でない。
ステーブルコインと米銀免許の直後
タイミングも重なった。同社は8月26日、初のユーロ建てステーブルコイン「EURR」の段階的な提供をデンマーク、ポーランド、ポルトガルで開始している。
9月3日には米通貨監督庁（OCC）から国法銀行免許の条件付き承認を取得したと発表したばかりだ。設立を計画する「Revolut Bank US, N.A.」は2027年の開業を目指しており、暗号資産を扱うフルバンクを構想している。
同社が8月の発表で示した顧客数は全世界で8,000万人超、うち暗号資産の利用者は1,600万人超だ。暗号資産と銀行業務を一つのアプリに束ねる戦略を進めるなかで、その基盤となる本人確認情報が漏れた形になる。
もっとも、現時点で明らかになっていない点は多い。影響を受けた顧客が何人かも、どの政府機関のドメインが使われたかも公表されていない。8,000万人という数字は登録顧客の総数であり、今回の影響範囲はその一部にとどまるとみられる。
一部報道によれば、同社はその後に当該政府機関へ別途連絡して照会が偽物だと判明し、発信元を遮断したうえで、影響を受けた顧客と規制当局に通知した。顧客資金の流出は確認されていないという。同社による公式声明は、本稿執筆時点では出ていない。
