Revolut legt Bitcoin-Aktivität und Pässe nach gefälschter Regierungsanfrage offen

Die Digitalbank übergab sensible Kundendaten einschließlich Pässen, Selfies, Wohnadressen und Bitcoin-Transaktionsdetails, nachdem sie eine betrügerische Regierungsanfrage als legitim behandelte, obwohl keine Gelder gestohlen wurden.

Revolut, die in London ansässige Digitalbank mit über 40 Millionen Nutzern weltweit, hat eine erhebliche Datenpanne bestätigt, nachdem sie Opfer eines ausgeklügelten Social-Engineering-Angriffs wurde. Das Unternehmen verarbeitete fälschlicherweise eine scheinbar legitime staatliche Datenanfrage und übergab hochsensible Kundeninformationen an Betrüger, die sich als Strafverfolgungsbeamte ausgaben.

Die offengelegten Daten umfassen Passkopien, Selfie-Verifizierungsfotos, Wohnadressen und, kritisch für Krypto-Nutzer, detaillierte Aufzeichnungen über Bitcoin-Aktivitäten auf der Plattform. Die Panne betrifft eine nicht genannte Anzahl von Kunden, obwohl Revolut betont hat, dass während des Vorfalls keine Kundengelder kompromittiert oder gestohlen wurden. Das Unternehmen entdeckte die betrügerische Anfrage, nachdem die Daten bereits übermittelt worden waren.

Diese Panne verdeutlicht eine wachsende Schwachstelle im Krypto- und Fintech-Ökosystem: die Ausnutzung rechtlicher Datenanfrageprozesse. Finanzinstitute sind gesetzlich verpflichtet, auf Regierungs- und Strafverfolgungsanfragen zu reagieren, was einen potenziellen Angriffsvektor schafft, wenn Kriminelle sich erfolgreich als Behörden ausgeben. Die Aufnahme von Bitcoin-Transaktionsdaten ist besonders besorgniserregend, da sie gezielte Phishing-Kampagnen oder physische Sicherheitsbedrohungen gegen Kunden ermöglichen könnte, von denen bekannt ist, dass sie Kryptowährungen besitzen.

Revolut hat weder den spezifischen Mechanismus offengelegt, den die Angreifer zur Authentifizierung ihrer gefälschten Anfrage verwendeten, noch die Gerichtsbarkeit, die sie vorgaben zu vertreten. Branchenexperten vermuten, dass die Angreifer wahrscheinlich offiziellen Briefkopf fälschten, kompromittierte Regierungs-E-Mail-Adressen verwendeten oder Lücken in den Verifizierungsverfahren ausnutzten, die Banken zur Authentifizierung von Strafverfolgungsanfragen verwenden. Die erforderliche Raffinesse deutet auf eine organisierte kriminelle Operation hin, anstatt auf opportunistische Hacker.

Für betroffene Kunden schafft die Offenlegung von Passdaten in Kombination mit Kryptowährungsaktivitäten mehrere Risiken. Identitätsdiebstahl wird mit verifizierten Identitätsdokumenten einfacher, während das Wissen über Bitcoin-Bestände Personen zu Zielen für SIM-Swap-Angriffe, Phishing-Versuche oder sogar physische Bedrohungen macht. Sicherheitsforscher empfehlen betroffenen Nutzern, zusätzliche Authentifizierungsebenen zu aktivieren, Kreditauskünfte zu überwachen und in Betracht zu ziehen, Adressen zu ändern, die mit hochwertigen Krypto-Beständen verbunden sind.

Der Vorfall kommt zu einem sensiblen Zeitpunkt für Revolut, das Banklizenzen in mehreren Jurisdiktionen anstrebt und einer verstärkten behördlichen Kontrolle über sein schnelles Wachstum und seine Compliance-Praktiken ausgesetzt ist. Das Unternehmen verarbeitet jährlich Milliarden an Krypto-Transaktionen und positioniert sich als Brücke zwischen traditionellem Banking und digitalen Vermögenswerten. Diese Panne könnte Regulierungsbehörden dazu veranlassen, zu untersuchen, wie Fintech-Unternehmen Regierungsdatenanfragen verifizieren und darauf reagieren.

Revolut erklärte, dass es den Vorfall den zuständigen Datenschutzbehörden und Strafverfolgungsbehörden gemeldet hat und zusätzliche Verifizierungsschritte für zukünftige Regierungsanfragen implementiert. Das Unternehmen benachrichtigt betroffene Kunden direkt und bietet Kreditüberwachungsdienste an. Branchenbeobachter stellen fest, dass ähnliche Social-Engineering-Angriffe, die auf den Datenanfrageprozess abzielen, andere Finanzinstitute betroffen haben, was darauf hindeutet, dass dies möglicherweise einen aufkommenden Bedrohungsvektor im gesamten Sektor darstellt und nicht einen isolierten Vorfall bei einem Unternehmen.