Os invasores que enganaram a Revolut agora exigem 6.000 XMR

De acordo com os hackers, que falaram em exclusivo com o Financial Times (FT), a Revolut não perdeu dados de clientes porque os hackers invadiram seus servidores. Os invasores simplesmente os solicitaram. Passando-se por autoridades italianas durante meses e utilizando um sistema de e-mail governamental legítimo, um grupo que se autodenomina “iamnotavillain” passou meses solicitando arquivos sobre usuários específicos de criptomoedas.

As alegações dos hackers foram feitas aos repórteres do FT Tom Wilson, Laith Al-Khalaf e Amy Kazmin por meio de “uma série de mensagens”. A Revolut teria atendido às solicitações, enviando registros que incluíam passaportes, selfies e históricos de transações. Agora, o grupo afirma ter dados de cerca de 680 pessoas e exige 6.000 monero (XMR), o equivalente a aproximadamente US$ 3 milhões, enquanto um relógio de contagem regressiva público ameaça entregar esses arquivos de identidade a outros criminosos.

Eles não invadiram o sistema. Eles pediram

A violação de dados da Revolut teria ocorrido porque os invasores supostamente utilizaram o sistema italiano Posta Elettronica Certificata (PEC), uma rede de e-mail certificado usada para comunicações jurídicas e governamentais. As mensagens enviadas por meio do canal comprometido continham credenciais genuínas de autenticação de domínio, de modo que a Revolut recebeu e-mails que pareciam ter vindo de uma autoridade governamental real.

Essa era a armadilha. A autenticação podia mostrar que um e-mail vinha de um domínio legítimo, mas não podia provar que a pessoa por trás da conta era, de fato, um funcionário autorizado. Em vez de burlar os sistemas de segurança da Revolut, os invasores afirmam ter explorado o processo projetado para lidar com solicitações governamentais legítimas.

As vítimas foram escolhidas primeiro

Não se tratou de uma coleta aleatória de dados. O grupo afirma ter usado análise on-chain para identificar usuários da Revolut com atividade substancial em criptomoedas e, em seguida, solicitou registros dessas pessoas por nome. A reportagem do FT citou que o grupo afetado era de cerca de 680 pessoas que utilizavam a plataforma em 31 países, com muitas delas na Suíça e na França.

Os arquivos supostamente incluíam nomes, endereços, números de telefone, IDs de conta, depósitos e saques de criptomoedas, transferências em moeda fiduciária, documentos de KYC e selfies de verificação. Em linguagem simples, o grupo não estava coletando informações básicas de contato. Estava montando pacotes detalhados de identidade sobre pessoas que considerava que valia a pena ter como alvo.

Então veio a exigência de Monero

Em 16 de setembro, o Iamnotavillain postou um ultimato público em um site com esse mesmo nome, exigindo 6.000 XMR — o que equivalia a cerca de US$ 3 milhões — em até 24 horas; caso contrário, os arquivos roubados seriam vendidos a outros grupos criminosos. Uma exigência anterior de 10.000 bitcoins (BTC) circulou no Telegram, mas o grupo posteriormente atribuiu esse valor a um impostor ou ex-colaborador.

Para muitos observadores, a mudança para o Monero (XMR) faz sentido para uma exigência de extorsão. As transações de bitcoin são visíveis em um livro-razão público, enquanto o XMR foi projetado para ocultar os detalhes das transações. A Revolut, por sua vez, informou à imprensa que não havia recebido nenhuma exigência direta das pessoas que assumiram a responsabilidade quando a contagem regressiva apareceu, tornando o relógio tanto uma campanha de pressão pública quanto uma negociação.

A Revolut afirma que seus sistemas e os fundos dos clientes não foram afetados. Aparentemente, os criminosos não invadiram a rede central da empresa nem esvaziaram as contas dos clientes. A alegação em questão é que eles teriam persuadido a Revolut a entregar informações por meio do que pareciam ser solicitações oficiais legítimas.

Isso não torna os registros roubados inofensivos. Um passaporte, uma selfie, endereço residencial, número de telefone e histórico de transações podem facilitar a falsificação de identidade, redefinições de conta, chamadas falsas para o suporte e ataques subsequentes contra outros serviços financeiros. O verdadeiro perigo não é apenas o que foi roubado da Revolut, mas o que esses arquivos poderiam revelar em outros lugares.

O problema maior é o canal de confiança KYC

A Revolut informou ao Techcrunch em 12 de setembro que havia identificado o golpe de suplantação de identidade, bloqueado o endereço e notificado a agência competente, as autoridades policiais e os órgãos reguladores. Os investigadores estão agora analisando como um canal legítimo de comunicação governamental se tornou parte da operação.

Isso levanta uma questão incômoda que vai além da própria empresa de moeda digital. Se uma caixa de correio governamental comprometida pôde gerar meses de solicitações de informações convincentes, outras instituições de criptomoedas podem ter recebido mensagens semelhantes. Os invasores não arrombaram o cofre. Eles se fizeram passar pelas pessoas legalmente autorizadas a solicitar sua abertura.