Die Angreifer, die Revolut getäuscht haben, fordern nun 6.000 XMR

Laut den Hackern, die exklusiv mit der „Financial Times“ (FT) sprachen, verlor Revolut keine Kundendaten, weil Hacker seine Server geknackt hätten. Die Angreifer hätten einfach danach gefragt. Eine Gruppe, die sich „iamnotavillain“ nannte, gab sich monatelang als italienische Strafverfolgungsbehörde aus und nutzte ein legitimes E-Mail-System der Regierung, um über Monate hinweg Unterlagen zu bestimmten Kryptowährungsnutzern anzufordern. Die Behauptungen der Hacker wurden gegenüber den FT-Reportern Tom Wilson, Laith Al-Khalaf und Amy Kazmin in „einer Reihe von Nachrichten“ geäußert. Revolut soll den Anfragen nachgekommen sein und Unterlagen übermittelt haben, darunter Reisepässe, Selfies und Transaktionsverläufe. Nun gibt die Gruppe an, über Daten von etwa 680 Personen zu verfügen, und fordert 6.000 Monero (XMR), was etwa 3 Millionen US-Dollar entspricht, während eine öffentliche Countdown-Uhr damit droht, diese Identitätsdaten an andere Kriminelle weiterzugeben.

Sie sind nicht eingedrungen. Sie haben gefragt

Der Datenklau bei Revolut gelang Berichten zufolge, weil die Angreifer angeblich das italienische Posta Elettronica Certificata-System (PEC) nutzten, ein zertifiziertes E-Mail-Netzwerk, das für rechtliche und behördliche Kommunikation verwendet wird. Nachrichten, die über den kompromittierten Kanal gesendet wurden, enthielten echte Authentifizierungsdaten der Domain, sodass Revolut E-Mails erhielt, die scheinbar von einer echten Regierungsbehörde stammten.

Das war der Haken. Die Authentifizierung konnte zwar nachweisen, dass eine E-Mail von der legitimen Domain stammte, aber sie konnte nicht beweisen, dass die Person hinter dem Konto tatsächlich ein befugter Beamter war. Anstatt die Sicherheitssysteme von Revolut zu überwinden, behaupten die Angreifer, den Prozess ausgenutzt zu haben, der für die Bearbeitung rechtmäßiger behördlicher Anfragen vorgesehen ist.

Die Opfer wurden zuvor ausgewählt

Es handelte sich nicht um einen zufälligen Datendiebstahl. Die Gruppe behauptet, sie habe mithilfe von On-Chain-Analysen Revolut-Nutzer mit umfangreicher Kryptowährungsaktivität identifiziert und anschließend namentlich Daten zu diesen Personen angefordert. Einem Bericht der FT zufolge umfasste die betroffene Gruppe etwa 680 Personen, die die Plattform in 31 Ländern nutzten, darunter viele in der Schweiz und in Frankreich.

Die Dateien enthielten angeblich Namen, Adressen, Telefonnummern, Konto-IDs, Ein- und Auszahlungen in Kryptowährungen, Fiat-Überweisungen, KYC-Dokumente und Verifizierungs-Selfies. Im Klartext: Die Gruppe sammelte nicht nur einfache Kontaktdaten. Sie stellte detaillierte Identitätsprofile von Personen zusammen, die sie für lohnende Ziele hielt.

Dann kam die Monero-Forderung

Am 16. September veröffentlichte „Iamnotavillain“ auf einer Website mit genau diesem Namen ein öffentliches Ultimatum, in dem 6.000 XMR – umgerechnet etwa 3 Millionen US-Dollar – innerhalb von 24 Stunden gefordert wurden; andernfalls würden die gestohlenen Dateien an andere kriminelle Gruppen verkauft werden. Zuvor war auf Telegram eine Forderung über 10.000 Bitcoin (BTC) im Umlauf, doch die Gruppe schob die Schuld für diese Zahl später einem Nachahmer oder ehemaligen Komplizen zu.

Für viele Beobachter macht der Wechsel zu Monero (XMR) im Zusammenhang mit einer Erpressungsforderung Sinn. Bitcoin-Transaktionen sind in einem öffentlichen Hauptbuch einsehbar, während XMR darauf ausgelegt ist, Transaktionsdetails zu verschleiern. Revolut teilte der Presse unterdessen mit, dass es zum Zeitpunkt des Erscheinens des Countdowns keine direkte Forderung von den Personen erhalten habe, die die Verantwortung übernommen hatten, wodurch der Countdown ebenso sehr eine öffentliche Druckkampagne wie eine Verhandlung darstellte.

Revolut betont, dass seine Systeme und Kundengelder nicht beeinträchtigt wurden. Die Kriminellen sind offenbar weder in das Kernnetzwerk des Unternehmens eingedrungen noch haben sie Kundenkonten leergeräumt. Der aktuelle Vorwurf lautet, dass sie Revolut angeblich durch scheinbar legitime offizielle Anfragen dazu überredet haben, Informationen herauszugeben.

Das macht die gestohlenen Daten jedoch nicht harmlos. Ein Reisepass, ein Selfie, die Wohnadresse, die Telefonnummer und der Transaktionsverlauf können Identitätsbetrug, das Zurücksetzen von Konten, gefälschte Supportanrufe und Folgeangriffe auf andere Finanzdienstleister ermöglichen. Die eigentliche Gefahr besteht nicht nur darin, was Revolut entwendet wurde, sondern auch darin, welche Möglichkeiten diese Dateien anderswo eröffnen könnten.

Das größere Problem ist der KYC-Vertrauenskanal

Revolut teilte TechCrunch am 12. September mit, dass das Unternehmen den Identitätsbetrug identifiziert, die Adresse gesperrt und die zuständige Behörde, die Strafverfolgungsbehörden sowie die Aufsichtsbehörden benachrichtigt habe. Die Ermittler untersuchen nun, wie ein legitimer Kommunikationskanal der Regierung Teil der Operation wurde.

Das wirft eine beunruhigende Frage auf, die über das Kryptowährungsunternehmen selbst hinausgeht. Wenn eine einzige kompromittierte behördliche E-Mail-Adresse monatelang überzeugende Informationsanfragen generieren konnte, haben möglicherweise auch andere Krypto-Institutionen ähnliche Nachrichten erhalten. Die Angreifer haben den Tresor nicht geknackt. Sie haben sich als Personen ausgegeben, die rechtlich befugt sind, dessen Öffnung zu verlangen.