Revolut、偽造された政府要請に応じてユーザーデータを提供した疑い
TREE NEWS 報道： オンチェーン調査官のZachXBTは、英国拠点のデジタルバンキングおよび暗号資産プラットフォームであるRevolutが、詐欺的な政府情報提供要請を正当なものと誤って扱い、要求者に一部のユーザーデータを提供した可能性があると警告を発した。漏洩した可能性のある情報には、身元確認情報や連絡先情報、身分証明書のコピー、本人確認用の自撮り写真が含まれており、富裕層ユーザーが特に標的にされた形跡があるという。
ソーシャルエンジニアリング攻撃の仕組み
もし確認されれば、この事件は技術的な脆弱性ではなく、典型的なソーシャルエンジニアリングによる侵害である。攻撃者は政府機関を装ってデータ開示手続きを引き起こし、プラットフォームの内部検証管理は偽造された要請を本物の法的命令と区別できなかった。暗号資産ネイティブのユーザーにとって、この漏洩は特に危険である。身分証明書と自撮り写真はSIMスワップ攻撃、アカウント乗っ取り、そして取引所アカウントとセルフカストディウォレットの両方を空にしかねない標的型フィッシングの原材料となる。
富裕層の暗号資産ユーザーが主要な標的となる理由
富裕層顧客に焦点が当てられたという報告は示唆に富む。多額の残高を持つ暗号資産保有者は、取引が不可逆であり、資産が数分以内に国境を越えて移動できるため、組織犯罪にとって魅力的である。漏洩したパスポートのスキャンと電話番号およびメールアドレスが組み合わされば、攻撃者は通信事業者やカスタマーサポート窓口に対して被害者になりすますために必要なすべてを手に入れる。KYCデータと暗号資産エクスポージャーの組み合わせは、ハードウェアウォレットでは完全に軽減できない単一障害点を生み出す。
規制および業界への影響
- AML/KYCデータの保管は今やシステミックリスクである。中央集権型プラットフォームは個人データの巨大なハニーポットを抱えている。英国、EU、米国の規制当局は、企業が法執行機関の要請をどのように認証するかを精査する可能性が高い。
- 法的要請の検証には強化が必要である。プラットフォームは、顧客記録の開示に際して、暗号学的検証、コールバック手続き、複数人による承認を採用すべきである。
- ユーザーの責任に関する疑問は強まるだろう。プラットフォームが資産盗難につながるデータを漏洩した場合、プラットフォームの過失とユーザーの責任の境界線は、裁判所や金融オンブズマンによって試されることになる。
- 風評被害はセルフカストディの採用を加速させる可能性がある。このような事件は、中央集権型仲介業者に身元データを保有させること自体がリスクであるという主張を強化する。
今後の展望
暗号資産業界は長年、秘密鍵とスマートコントラクトの強化に努めてきたが、最も弱いリンクは依然として運用面にある。偽造されたメールや電話一本である。銀行や取引所に対し、政府のデータ要請に関する透明性レポートの公開、ゼロ知識または選択的開示のIDシステムの採用、データ侵害責任に対する保険の提供を求める圧力が高まるだろう。ユーザーにとっての実践的な教訓は即座に行動することである。どのプラットフォームが保有するKYCデータも最終的には漏洩し得ると想定し、ハードウェアベースの二要素認証を有効にし、金融アカウントには専用の電話番号を使用し、身元の露出と資産の保管を分離することを検討すべきである。法的要請の検証がオンチェーンセキュリティと同じくらい厳格になるまで、ソーシャルエンジニアリングは暗号資産において最も収益性の高い攻撃ベクトルの一つであり続けるだろう。
