Revolut đã thông báo tới một số khách hàng rằng hộ chiếu, địa chỉ nhà riêng và toàn bộ lịch sử giao dịch Bitcoin (btc) của họ đã bị chuyển tới một bên thứ ba trái phép, sau khi ngân hàng này xử lý nhầm một yêu cầu giả mạo mang danh cơ quan nhà nước như văn bản chính thức.
Các điểm chính:
- Revolut đã cung cấp giấy tờ định danh và lịch sử giao dịch Bitcoin của khách hàng sau khi coi một yêu cầu giả mạo từ “cơ quan nhà nước” là hợp lệ.
- Công ty khẳng định tiền của khách hàng vẫn an toàn và cơ quan quản lý đã được thông báo, nhưng không nêu tên cơ quan bị mạo danh hay số lượng khách hàng bị ảnh hưởng.
- Các nhà điều tra nhận định vụ rò rỉ có quy mô hạn chế, nhiều khả năng nhắm vào nhóm khách hàng giá trị tài sản lớn.
Thông báo của Revolut nêu rõ mức độ lộ dữ liệu Bitcoin
Ngân hàng đã gửi email cho những người dùng bị ảnh hưởng vào cuối ngày 11/9. Vài giờ sau, nhà điều tra on-chain ZachXBT đã đăng tải nội dung thông báo này trên kênh Telegram của mình. Theo email, yêu cầu dữ liệu được gửi từ một tài khoản trái phép nhưng được tạo bên trong tên miền chính thức của một cơ quan nhà nước, sử dụng đầy đủ thông tin xác thực tên miền hợp lệ. Revolut cho biết họ đã xử lý yêu cầu với “niềm tin hợp lý” rằng đây là văn bản thật.
Hồ sơ bị chia sẻ bao gồm họ tên đầy đủ, ngày sinh, nghề nghiệp, địa chỉ cư trú, địa chỉ email, số điện thoại, bản scan hộ chiếu hoặc bằng lái xe, cùng với ảnh selfie được chụp khi khách hàng mở tài khoản.
Ngoài ra, sao kê tài khoản kèm IBAN, ngày mở, số tham chiếu ví cũng bị gửi đi, cùng với dữ liệu rút tiền và lịch sử giao dịch đầy đủ, trong đó có các giao dịch Bitcoin.
Sau đó, Revolut đã liên hệ trực tiếp với cơ quan nhà nước bị mạo danh để xác minh yêu cầu, qua đó cảnh báo cho phía cơ quan rằng đang tồn tại một tài khoản trái phép trong tên miền của họ. Revolut cho hay tiền của khách hàng không bị ảnh hưởng và không có mật khẩu nào bị lộ. Các cơ quan quản lý đã được thông báo, song công ty vẫn chưa công bố số lượng người dùng liên quan.
Bài liên quan: Ethereum đối mặt “tường cung” 2.800 USD khi dòng tiền ETF tăng lên 216 triệu USD
ZachXBT và Karpelès gây sức ép với Revolut
ZachXBT nhận định số lượng nạn nhân có thể không lớn và vụ việc dường như nhắm chủ yếu vào những khách hàng sở hữu tài sản lớn. Anh sau đó công bố ảnh chụp màn hình cho thấy cả hai tài khoản Revolut trên mạng X đều đã chặn mình, sau khi anh kiểm tra xem công ty có ra thông báo công khai hay không.
Mark Karpelès, cựu CEO sàn Mt. Gox, cho biết ông cũng nhận được email cảnh báo với tiêu đề “Urgent security update about your Revolut account” (Cập nhật bảo mật khẩn cấp về tài khoản Revolut của bạn) và đã đăng lại những đoạn trích dài trong thư.
Karpelès cho rằng Revolut hoặc cơ quan bị mạo danh cần công bố tên cơ quan đó, để các ngân hàng và sàn giao dịch khác có thể rà soát lại hồ sơ yêu cầu pháp lý xem liệu họ có từng nhận email từ cùng địa chỉ hay không. Một tài khoản hỗ trợ khách hàng của Revolut phản hồi rằng công ty “coi trọng nghiêm túc” vấn đề quyền riêng tư.
Lộ lịch sử Bitcoin làm gia tăng rủi ro bị nhắm mục tiêu
Dữ liệu trên blockchain công khai chỉ cho thấy dòng dịch chuyển của coin, chứ không chứa bản scan hộ chiếu, nghề nghiệp hay địa chỉ nhà. Khi ghép một danh tính đã được xác minh với toàn bộ lịch sử giao dịch, hồ sơ tuân thủ thông thường sẽ biến thành bản đồ chi tiết cho thấy ai đang nắm giữ bao nhiêu tài sản, và họ ngủ ở đâu mỗi đêm.
Revolut từng gặp rắc rối với dữ liệu trước đây. Cơ quan bảo vệ dữ liệu Lithuania ghi nhận 50.150 khách hàng Revolut bị ảnh hưởng trong một vụ tấn công “kỹ nghệ xã hội” nhắm vào nhân viên vào tháng 9/2022. Công ty này cũng từng bác bỏ một bài đăng trên diễn đàn vào tháng 7/2026, trong đó tuyên bố 75 triệu bản ghi dữ liệu Revolut đang được rao bán. Revolut khi đó nói với các nhà nghiên cứu rằng bộ dữ liệu này “nhiều khả năng là bịa đặt”.
Đọc tiếp: Jensen Huang của Nvidia nói các hãng an ninh mạng được hưởng lợi từ làn sóng lo sợ rủi ro AI
