Revolut 因伪造政府请求泄露客户数据，引发对高净值用户隐私安全的担忧
金融科技公司 Revolut 向部分客户通报称，其护照、家庭住址及完整的比特币（BTC）交易历史在一份伪造的政府请求通过内部审核后被非法第三方获取。
事件核心要点
1. 身份与交易数据泄露： Revolut 披露了客户的身份证件和比特币交易记录，原因是公司将一份欺诈性的政府请求误认为真实有效。
2. 资金安全与监管通报： 公司表示客户资金安全无虞，且已向监管机构报告。但截至目前，Revolut 尚未披露被冒充的机构名称以及受影响的具体客户数量。
3. 攻击目标指向高净值人群： 调查人员指出，此次数据泄露的范围看似有限，主要瞄准的是高净值账户持有者。
Revolut 通知详情：比特币暴露风险
银行于 9 月 11 日晚向受影响的用户发送了电子邮件。随后几小时内，链上调查专家 ZachXBT 在其 Telegram 频道上对此事进行了标记和分析。
邮件内容显示，该非法请求来自一个伪装成官方政府机构域名的账户，并携带了真实的域名认证凭证。Revolut 基于“合理相信请求为真实”的原则执行了该操作。
泄露的记录范围广泛，包括：
- 全名、出生日期、职业、家庭住址
- 电子邮件地址、电话号码
- 护照或驾照副本
- 开户时拍摄的人脸自拍照
- 包含 IBAN 的账户对账单、开户日期及钱包参考号
- 提款记录及完整的交易历史（涵盖比特币交易）
Revolut 随后联系相关机构以验证该请求的真实性，此举同时也提醒了该机构其域名下存在未经授权账户的问题。公司强调，客户资金保持安全，没有任何密码被盗。尽管监管机构已获知此事，但公司仍未公布受影响的确切人数。
ZachXBT 与 Karpelès 施压 Revolut
ZachXBT 表示，此次事件的影响范围可能有限，且似乎专门针对高净值用户。随后，他发布截图显示，在他检查 Revolut 是否在 X（原 Twitter）平台上公开发布声明后，其两个官方账号均将其屏蔽。
前 Mt. Gox 首席执行官 Mark Karpelès 表示，他收到了主题为“关于您 Revolut 账户的紧急安全更新”的警告邮件，并公开了其中的长篇摘录。他认为，Revolut 或被冒充的机构应公开涉事机构名称，以便其他银行和交易所能够检索其法律请求日志，查找是否存在发往同一邮箱的请求。一名 Revolut 支持账号回复称，公司高度重视隐私保护。
比特币记录加深定向追踪风险
虽然公共区块链可以显示币款的流向，但其本身不包含护照扫描件、职业信息或街道地址。将经过验证的身份信息与完整的交易历史相结合，使得原本常规的合规文件变成了揭示“谁持有什么资产”以及“他们夜间居所何在”的详细地图。
Revolut 此前也曾陷入数据纠纷。立陶宛数据保护监管机构曾记录，2022 年 9 月发生了一起针对员工的社会工程学攻击，导致 50,150 名 Revolut 客户受到影响。此外，该公司还否认了 2026 年 7 月论坛上一则声称有 7500 万条其记录在售的消息，告知研究人员该数据集可能是伪造的。
