Revolut确认数据泄露：护照及比特币交易记录 reportedly 暴露于第三方
金融科技公司Revolut已确认发生数据泄露事件，导致客户护照、身份证明文件及财务记录（据报道包括比特币交易历史）被一名伪装成政府机构的不法第三方获取。该公司表示，泄露原因是收到了一封来自合法政府邮箱域名的欺诈性请求。这一事件的影响正在加密货币领域最注重隐私的圈子中迅速蔓延。
披露细节与影响范围
2026年9月12日，Revolut向媒体证实，在收到看似来自真实政府机构的邮件后，其发布了客户信息。此次事件并未涉及防火墙被突破或密码被破解的情况，而是攻击者通过极具说服力的手段诱导了操作。Revolut强调，其系统安全和客户资金未受影响。这一区分至关重要：这是一次数据披露事件，而非钱包资金被盗。鉴于该公司近期积极扩大其在加密领域的布局，包括推出EURR稳定币，财务记录的暴露显得尤为敏感。
泄露数据的具体内容
经查阅的客户通知列出了一系列深层身份信息，包括出生日期、邮政和电子邮件地址、电话号码以及护照或驾驶执照的副本。通知还指出，验证自拍照、账户对账单和交易历史可能也在其中。但需注意的是，这些类别被标记为“可能受到影响”，而非所有客户的这些信息都被普遍暴露。
关于比特币方面的细节来源于Decrypt的报道。该报道指出，通知中描述的财务记录包括IBAN号码、钱包参考号、提款记录以及完整的交易历史，其中包括比特币交易。然而，这一具体细节尚未根据原始通知进行独立核实。
需要明确的是，目前没有证据表明比特币资金、私钥、密码或账户访问权限遭到破坏。泄露的是信息，即那些能让他人了解你身份及资产状况的信息，而非直接的资产控制权。
伪造政府请求如何打开缺口
核心指控基于单一机制：请求是伪造的。Revolut表示，欺诈性消息来自合法的政府机构邮箱域名，这使其具有足够的说服力以被执行。除此之外，情况描述较为简略。Revolut未指明被冒充的当局、管辖区域、请求渠道或其验证流程如何处理该要求。这些程序性细节不应被随意假设。
一种未经证实的理论认为，有效的域名认证凭证解释了为何Revolut执行了该请求。Decrypt描述了这种可能性，但据未经确认的报道，电子邮件头文件、认证结果和技术事后分析报告从未公开。此处提供有用的背景知识：SPF、DKIM和DMARC等电子邮件认证标准用于验证消息是否真正来自其声称的域名。但通过检查仅证明邮件来源，并不能说明发送者是否有权利要求客户记录。这是两个独立的决策过程，混淆二者正是身份冒充诈骗得手的原因。
尚待厘清的问题
Revotal告诉媒体，少量客户受到影响并已直接联系，但拒绝透露确切人数、涉及的政府机构或泄露是否局限于特定市场。公司表示已封锁相关邮箱地址并通知了相关的政府机构、执法部门和监管机构，但未指明具体对象，目前也未建立任何监管调查、执法行动或罚款。
据未经确认的报道，链上调查员ZachXBT评估认为该事件针对高净值用户，此评估被媒体归因于他。由于未获取原始调查帖子或目标证据，应将其视为线索而非既定事实。
潜在后果显而易见：对于护照和资产可能落入错误之手的人来说，存在身份盗窃和金融隐私风险。这些是风险，而非已观察到的结果。目前尚未确认与此泄露事件相关的欺诈、资金盗窃或人身伤害。
行业反响与市场反应
对于加密用户而言，此次泄露重燃了对强制性身份收集的不满。Aave Chan Initiative创始人Marc Zeller表示其数据遭泄露，并利用此次机会抨击KYC（了解你的客户）数据保留实践。他在社交媒体上写道：“醒来发现我的数据被@Revolut泄露。这是一个尖锐的提醒，说明KYC并未带来实质性的好处，反而将许多人置于危险之中。”
他的观点是一种鲜明的意见，而非法医结论。但这在市场本就对托管和披露风险感到不安的背景下产生了共鸣，近期如Blockstream拒绝为Liquid比特币黑客事件支付赎金，以及SEC据报道搁置加密框架会议等故事中也体现了类似主题。
比特币本身几乎没有波动。该资产交易价格接近77,338美元，当日下跌约0.5%，未出现与该事件直接相关的价格反应。这个故事关乎数据，而非价格。
因此，悬在行业上空的核心问题是：如果一家资源充足的金融科技公司可以通过一封看似可信的邮件就被社会工程学操控，从而交出护照和交易历史，那么究竟是谁在保护KYC规则强制每个人提交的身份数据？
免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。做出决策前请务必自行研究。
