Хакеры требуют $3 млн в Monero от Revolut за украденные данные клиентов

Криминальная группа под названием iamnotavillain выставила Revolut ультиматум на 24 часа: заплатить 6 000 XMR, около $3 млн, или получить публикацию украденных документов клиентов. Компания заявила, что прямого контакта с вымогателями не получала.

Ультиматум на 24 часа и конкуренты за выкуп

Требование опубликовали в среду на отдельном сайте iamnotavillain.xyz, который злоумышленники создали специально для этой цели. Сайт требует ровно "6,000 XMR / $3,000,000" и предупреждает, что после дедлайна данные сотен клиентов продадут другим преступникам.

"Все данные будут проданы, и кровь будет на ваших руках."

- из требования группы iamnotavillain, приведенного в расследовании Financial Times

Ситуацию усложняет то, что на роль похитителя претендует не одна группа. Ранее о причастности заявляла группировка "Revolut Smilik", которая требовала 10 000 Bitcoin, тогда около $780 млн, то есть в сотни раз больше нынешнего требования в Monero. Сама iamnotavillain публично оспорила эту заявку, обвинив бывшего сообщника в том, что тот получил лишь небольшой образец данных, прежде чем приписать себе весь взлом. Третий след добавили исследователи Dark Web Informer, которые нашли еще один сайт, revoloot.lol, связанный с отдельным претендентом на авторство атаки.

Revolut, британский необанк, позволяет покупать, хранить и торговать криптовалютой прямо в приложении. Именно поэтому в компании накопились данные, связывающие личность клиента с конкретными кошельками и объемом активов на них, и именно эти записи стали добычей злоумышленников.

Как злоумышленники выбирали жертв

Главное отличие этого взлома заключается в методе отбора пострадавших. Вместо того чтобы рассылать требование наугад всем клиентам из украденной базы, iamnotavillain сообщила FT, что сначала провела анализ блокчейна. Публичная история транзакций в сочетании с данными верификации позволяет оценить состояние владельца кошелька без доступа к паролю или приватному ключу. Блокчейн по замыслу прозрачен, и любой может увидеть баланс и движение средств на адресе. Главным барьером для злоумышленника остается только связь этого адреса с конкретным человеком.

Отобрав клиентов Revolut, чья ончейн-активность указывала на существенные криптоактивы, хакеры начали атаковать именно эти аккаунты. Такой подход отличает взлом от типичной утечки данных, когда преступники просто выкладывают всю базу без фильтрации по платежеспособности жертв. Monero тут тоже выбрали не случайно, ведь приватная монета скрывает отправителя, получателя и сумму транзакции с помощью кольцевых подписей, поэтому отследить выплату почти невозможно.

Утечка произошла из-за поддельного государственного запроса

Данные Revolut передала добровольно, ответив на запросы, которые пришли с реального почтового домена государственного органа и имели действительную аутентификацию. В компании это назвали "изощренной внешней схемой выдачи себя за другое лицо". По версии FT, запросы поступали через скомпрометированную почтовую систему итальянского госоргана на протяжении нескольких месяцев, а не разово.

Объем украденного впечатляет масштабом:

• имена, даты рождения, профессии и домашние адреса клиентов
• копии паспортов и водительских удостоверений вместе с селфи для верификации
• выписки со счетов с IBAN и адресами кошельков
• история снятий средств и полные транзакционные записи

Итальянская Национальная антимафиозная и антитеррористическая дирекция расширила расследование, поскольку проникновение касается государственного учреждения. Прокуроры Реджо-Калабрии открыли дело о несанкционированном доступе к компьютерной системе и выясняют, был ли почтовый аккаунт взломан или подменен. Регулятор по защите данных Италии параллельно попросил банки срочно проверить безопасность собственных систем доступа, а заодно выясняет, причастны ли к истории другие финансовые учреждения. Поскольку Италия входит в ЕС, утечка персональных данных такого масштаба подпадает под GDPR, а это открывает путь к отдельному расследованию и штрафам для стороны, не уберегшей канал передачи данных.

Эта история вновь подняла давний вопрос: насколько безопасно необанки хранят в одном месте паспортные данные, селфи для верификации и полную финансовую историю клиентов.

Реакция Revolut и риски для владельцев крипты

Revolut вечером в среду заявила, что "не получала прямого контакта или требования от лиц или группы, которые делают эти заявления". Компания называет число пострадавших клиентов "ограниченным", утверждает, что средства и системы не пострадали, и отказалась назвать орган, чью почту взломали.

Блокчейн-исследователь ZachXBT, первым распространивший сообщение для клиентов, описал взлом как направленный на пользователей с высоким состоянием, что совпадает с версией самих злоумышленников о методе отбора. Сочетание подтвержденной личности, домашнего адреса и доказанных криптоактивов формирует профиль, который в последнее время стоит за ростом так называемых wrench-атак, физического принуждения владельцев криптовалюты отдать доступ к кошелькам под угрозой насилия.

Крупнейшие криптобиржи, включая Binance, Coinbase и Kraken, уже убрали Monero из листинга из-за его анонимности, хотя большинство выкупов до сих пор просят в Bitcoin как более удобной для быстрого перевода монете. Для клиентов Revolut все это означает, что даже косвенная связь кошелька с аккаунтом способна превратить криптоактивы в мишень для шантажа, а не только в объект кражи.