Revolut因伪造政府调取请求泄露用户Bitcoin(BTC)交易记录

ZachXBT曝光Revolut客户数据披露事件

金融科技公司Revolut在回应一份看似合法的政府信息调取请求时,可能已将部分客户个人数据交到了未授权第三方手中——链上调查员ZachXBT率先对这一披露事件发出警示。根据该调查员的描述,事件起点是一份发往Revolut的客户信息调取函:邮件显示的发件方为某政府机构,且使用了该机构的官方邮箱域名。由于邮件携带了有效的域名验证凭证,Revolut将其认定为真实请求,未能识破伪造痕迹,并据信已照常回复——发送方由此可能获得了覆盖部分用户群的档案文件。

泄露信息的范围相当广泛。可能受影响的记录包括客户的全名、出生日期、职业、住址、电子邮箱和电话号码,以及护照或驾照的复印件、身份验证环节留存的自拍照片、账户对账单、IBAN信息、提现记录,还有涵盖Bitcoin (BTC) 转账在内的完整交易历史。在发送给受影响客户的安全通知中,Revolut表示,生物识别面部遥测数据未在此次事件中被触及。

从目前披露的情况看,事件规模尚属可控,但风险画像并不让人安心。ZachXBT指出,持有大额余额的用户可能正是被精准锁定的目标,因为一份完整的交易历史能让攻击者清楚掌握受害者在链上的全部身家。近几日已有数名Revolut用户收到与此事件相关的安全通知,说明公司的预警名单仍在逐一排查之中。值得注意的是,这并非传统意义上的黑客攻击——没有任何关于Revolut核心系统被入侵的报告。真正的问题出在流程环节:一封精心炮制的社工邮件通过了身份验证检查,让合规级的身份档案库一夜之间变成了精准打击的目标清单。

100万日元USDC问答走红网络

另一则故事则展示了柜台另一端的披露要求能走多远。9月10日,X平台用户@fishing_kiyogon发布了一段加密货币持有人与日本税务部门之间围绕一笔价值100万日元USDC转账的情景再现对话,短短两天内,这篇 爆红的X帖文 累计获得约700万次曝光,浏览量突破690万次,回复数超过500条。

爆红的X帖文https://x.com/fishing_kiyogon/status/2097878117281038752?s=20

对话中,税务人员首先追问这100万日元的USDC被转去了哪里。发帖人解释称,他把资金转到了自己拥有的另一个钱包。追问随后在越来越站不住脚的理由中推进——他想换个钱包、他想更换资金托管地、他出于“以防万一”才转的账。喜剧高潮出现在税务人员要求提供目的地的“地址”时:发帖人念出了自己的0x开头钱包地址,对方却回应说要“东京或埼玉那样的地址”——双方在基本术语上的认知鸿沟暴露无遗。

这段对话究竟是真实稽查的还原还是虚构创作,目前尚无定论,但它的确忠实复刻了加密税务问询的实际展开方式。日本现行制度将加密货币收益归类为杂项所得,适用综合课税:国税与地方税合计最高可达55%,币币兑换本身就是应税事件,且亏损不得结转弥补。业内人士指出,通用型税务师和官员往往不熟悉行业术语,因此加密企业通常会提前与顾问一起准备说明材料。帖文下的反应呈现两极:有人感同身受——越解释,隔阂反而越大;也有用户反驳称,如今如此不了解行业的官员已属罕见。这一事件出现的时机,正值日本用户对自托管兴趣持续升温——市场对硬件钱包和 移动端钱包 方案的稳定需求便是明证,持有人借此可以用自己的记录来回答此类问询。 希望实时跟踪行情的读者，可在Bybit查看现货与合约的实时价格。

自托管为何不断赢得拥趸

把两件事放在一起看,它们从相反方向戳中了同一个痛点。Revolut事件表明,托管机构的KYC档案——证件、自拍、提现日志、BTC历史——在伪造的官方请求突破验证防线时,本身就是一处攻击面。而那场走红的日本问答,正如上文的原始帖文所记录的那样,显示出税务部门在弄清0x地址为何物之前,就已经在索要信息披露。COINOTAG的判断是:这种双向摩擦正在持续强化自托管基础设施以及为持有人直接掌控而设计的稳定币结算网络的吸引力——从Tether的 Stable 到Circle的 Arc区块链 ——而 Bitcoin极大主义 所主张的自主主权路径,早在这些头条出现之前就已经预见了这一迁移方向。