🗂 Revolut сам отдал паспорта и селфи клиентов мошенникам
🖥 Реального взлома систем не было
Данные клиентов выгрузили сами сотрудники банка, приняв требование мошенников за настоящий запрос от госоргана. Письмо пришло с реального домена ведомства, прошло проверку подлинности — и его исполнили как рутинный юридический запрос. Revolut подтвердил инцидент сам.
Итого у нас на лицо профессиональное и хорошо подготовленное мошенничество:
Так это описал банк, добавив, что его системы и деньги клиентов не тронуты. Вот только украли не деньги, а личности пользователей целиком.
Приём не новый и хорошо отработанный: тем же поддельным госзапросом ещё в 2021–22 гг вытаскивали данные у Apple, Meta и Discord, а ФБР предупреждало о дыре в 2024-м. За годы её так и не закрыли — ведь доверие к «государственному» письму удобно и реальным властям.
Работает схема просто: мошенники получают доступ к почте настоящего ведомства (иногда — взломав ящик реального полицейского управления) либо подделывают отправку так, чтобы письмо прошло доменную проверку подлинности. Для банка запрос выглядит легитимным, и фальшивку с ходу не отличить.
📷 Что именно утекло
Весь набор KYC: ФИО, дата рождения, домашний адрес, телефон, копии паспортов и прав, селфи для верификации, номер счёта (IBAN), выписки — и вся история операций, включая 🤑 транзакции.
По оценке ончейн-следователя ZachXBT, удар точечный, ведь «повезло» не всем, а только состоятельным клиентам, около 680 человек итого. Пострадавших не так много, но по каждому собран full house🃏.
💵 Выкуп в 10 000 BTC
Группа, назвавшаяся «Revolut Smilik», требует 10 000 BTC (~$780 млн по текущему курсу) и грозит сливать по клиенту в день, пока банк не заплатит. Только сумму озвучили сами атакующие — ни Revolut, ни полиция её не подтверждали.
И, на мой вкус, это блеф: 10 000 BTC полностью прослеживаются в блокчейне, обналичить их почти нереально, а платить $780 млн за 680 записей не станет ни один банк.
💀 Готовый список целей
Самое опасное — не выкуп. Утечка связала биткоин-кошельки с домашними адресами, селфи и размером капитала, то есть дала готовые координаты тем, кто выбивает ключи от крипты силой (см наш пост выше).
• • • • • • • • • •
Ключевая проблема, как вы уже поняли, не в размере выкупа, а в том, что банк отдал всё добровольно — по одному письму с правильного домена.
И держать монеты в самокастоди тут не спасает: паспорт и селфи лежат не на твоём кошельке, а в банке.
Обязательный KYC превратил каждую регулируемую площадку в хранилище персональных данных — а любое хранилище рано или поздно вскрывают. И даже, как видите, не техникой, а социальной инженерией.
Будьте аккуратны, в очередной раз без прочтения проставляя ✅ «согласен на обработку персональных данных»
❝[Консенсус Тьюринга]❞ | 💬 Чат | 🔄 Проверенная обменка
🖥 Реального взлома систем не было
Данные клиентов выгрузили сами сотрудники банка, приняв требование мошенников за настоящий запрос от госоргана. Письмо пришло с реального домена ведомства, прошло проверку подлинности — и его исполнили как рутинный юридический запрос. Revolut подтвердил инцидент сам.
Итого у нас на лицо профессиональное и хорошо подготовленное мошенничество:
неавторизованная сторона использовала легитимный домен госведомства, чтобы отправить поддельные запросы на данные пользователей.
Так это описал банк, добавив, что его системы и деньги клиентов не тронуты. Вот только украли не деньги, а личности пользователей целиком.
Приём не новый и хорошо отработанный: тем же поддельным госзапросом ещё в 2021–22 гг вытаскивали данные у Apple, Meta и Discord, а ФБР предупреждало о дыре в 2024-м. За годы её так и не закрыли — ведь доверие к «государственному» письму удобно и реальным властям.
Работает схема просто: мошенники получают доступ к почте настоящего ведомства (иногда — взломав ящик реального полицейского управления) либо подделывают отправку так, чтобы письмо прошло доменную проверку подлинности. Для банка запрос выглядит легитимным, и фальшивку с ходу не отличить.
📷 Что именно утекло
Весь набор KYC: ФИО, дата рождения, домашний адрес, телефон, копии паспортов и прав, селфи для верификации, номер счёта (IBAN), выписки — и вся история операций, включая 🤑 транзакции.
По оценке ончейн-следователя ZachXBT, удар точечный, ведь «повезло» не всем, а только состоятельным клиентам, около 680 человек итого. Пострадавших не так много, но по каждому собран full house🃏.
💵 Выкуп в 10 000 BTC
Группа, назвавшаяся «Revolut Smilik», требует 10 000 BTC (~$780 млн по текущему курсу) и грозит сливать по клиенту в день, пока банк не заплатит. Только сумму озвучили сами атакующие — ни Revolut, ни полиция её не подтверждали.
И, на мой вкус, это блеф: 10 000 BTC полностью прослеживаются в блокчейне, обналичить их почти нереально, а платить $780 млн за 680 записей не станет ни один банк.
💀 Готовый список целей
Самое опасное — не выкуп. Утечка связала биткоин-кошельки с домашними адресами, селфи и размером капитала, то есть дала готовые координаты тем, кто выбивает ключи от крипты силой (см наш пост выше).
Просто освежим, что за 2025-й число таких физических атак на держателей выросло на 75%:
72 случая и $41 млн потерь по данным CertiK. Сооснователя Ledger Давида Балланда похитили прямо из дома, итальянского инвестора удерживали 17 дней ради BTC на сумму $28 млн.
• • • • • • • • • •
Ключевая проблема, как вы уже поняли, не в размере выкупа, а в том, что банк отдал всё добровольно — по одному письму с правильного домена.
И держать монеты в самокастоди тут не спасает: паспорт и селфи лежат не на твоём кошельке, а в банке.
Обязательный KYC превратил каждую регулируемую площадку в хранилище персональных данных — а любое хранилище рано или поздно вскрывают. И даже, как видите, не техникой, а социальной инженерией.
Будьте аккуратны, в очередной раз без прочтения проставляя ✅ «согласен на обработку персональных данных»
❝[Консенсус Тьюринга]❞ | 💬 Чат | 🔄 Проверенная обменка