Revolut因一封假"政府"邮件泄露680名客户数据：护照、自拍照和完整比特币交易记录外流，黑客索要10,000 BTC——为什么KYC正成为加密行业最危险的"宝库"

2026年9月16日 — CryptoStockVN

没有任何服务器被入侵，没有任何私钥被盗，客户账户里没有一分钱流失。然而，拥有超过8,000万客户的欧洲最大数字银行Revolut，刚刚不得不承认：它亲手把约680名客户的护照复印件、身份验证自拍照、IBAN账号以及完整的比特币交易记录，交给了一个陌生人。原因是，对方使用一个位于真实政府机构域名下的邮箱发来"信息提供请求"，而Revolut的合规部门把它当成了合法的法律指令。

9月15日，事件升级到更严重的阶段：英国信息专员办公室（ICO）启动评估，英国金融行为监管局（FCA）表示"正在与公司沟通"，一个自称"Revolut Smilik"的团伙开始在网上逐份公开护照和自拍照，并威胁每天继续放出更多数据，直到Revolut支付10,000 BTC——按9月15日比特币约78,000美元的价格计算，约合7.8亿美元。本文按时间线还原事件，分析为什么"法律请求"是任何防火墙都挡不住的最大漏洞，并为加密用户——包括越南用户——总结教训：越南获批试点的交易所，正在收集的恰恰是这次泄露的同一类数据。

一、时间线：从含糊通知到680人和勒索令

680这个数字仅占Revolut客户总数的约0.00085%。但这不是一次大规模的随机泄露——据ZachXBT判断，被针对的名单集中于高净值、加密活动频繁的客户。就泄露的数据类型而言，680份"精挑细选"的档案，可能比6,800万个普通邮箱地址危险得多。

二、哪些数据离开了Revolut？

Revolut的通知函列出了四类可能被泄露的信息。把它们放在一起，就是任何攻击者梦寐以求的"完整档案"：

• 身份信息：姓名、出生日期、职业。
• 联系方式：邮寄地址、电子邮箱、电话号码。
• KYC证件：护照或驾照复印件，以及开户时拍摄的验证自拍照。
• 财务记录：账户对账单、IBAN账号、提款记录以及包括比特币活动在内的完整交易历史。

Revolut强调，用于将自拍照与证件比对的生物识别数据（biometric telemetry）没有被共享。但这并不能降低事件的严重性：攻击者不需要Revolut的人脸识别算法——他们已经拿到了本人的脸、本人的护照和本人的家庭住址。

这起事件与普通银行数据泄露的根本不同，在于真实身份与比特币记录的结合。比特币交易在区块链上公开但匿名，保护力量恰恰在于没人知道哪个地址属于谁。当一家银行把客户的姓名、面部照片、家庭住址与其BTC提款记录绑定在一起，这层保护便荡然无存。不法分子如今可以追踪客户提币到的地址、估算当前余额，并准确知道该去谁家。

三、漏洞不在代码里："法律请求"是一扇合法的后门

每家银行、交易所和托管钱包都设有一个专门回应主管部门请求的部门：法院、警方、税务机关、反洗钱单位。这个部门的设计初衷就是配合，因为拒绝或拖延可能被视为妨碍调查。而这正是攻击者瞄准的点。

据Revolut说明，伪造邮件带有有效的域名认证凭证——也就是说，这不是"看起来像"的邮件，而是真正从该政府机构基础设施发出的邮件（账号被劫持、内部人员滥用，或账号创建流程存在漏洞）。对邮件过滤系统而言，这是一封完全干净的邮件；对合规人员而言，这是一份来自国家机关的公函。没有任何防火墙、双重认证或代码审计能拦住它——因为系统完全按照设计在运行。

Revolut尚未回答的三个问题，其答案将决定公司在ICO面前的过错程度：

1. 被冒充的是哪个机构？Recorded Future News称，在Telegram流传的勒索材料指向一个意大利域名，但Revolut未予确认，意大利当局也未回应。关于攻击者数月来使用伪造的"欧洲调查令"（EIO）文件的说法，目前仍只是线索。
2. 多少请求得到了回复，历时多久？680份档案很可能不在同一封邮件里。如果攻击者分散发送了几十个请求且全部得到回复，那问题就不是某个员工疏忽，而是流程缺乏交叉核验环节（通过公开电话回拨机构、核对案件编号、验证数字签名）。
3. 由哪个法律实体执行？Revolut的欧洲银行牌照属于立陶宛的Revolut Bank UAB，受欧洲央行和立陶宛央行监管。如果数据是从维尔纽斯的法律请求处理台流出的，那么除英国ICO外，立陶宛数据保护机构和欧洲央行也都拥有管辖权。

这类攻击在安全圈有专门的名称："伪造紧急数据请求"（fraudulent emergency data request）。2021至2023年间，它曾打击过Apple、Meta、Discord等多家大型平台，主要用于获取IP地址和电话号码。Revolut案的新意在于目标：不是简单的身份数据，而是高净值加密资产持有者的完整KYC档案——也就是为后续价值高得多的攻击做准备。

四、10,000 BTC：荒谬的数字与真正的信息

向一家估值数百亿美元的公司索要10,000 BTC（约7.8亿美元），按勒索者的逻辑似乎"合理"，但几乎肯定不会得到满足：向已掌握数据的人付赎金并不能收回数据，只会证明Revolut是值得再次攻击的目标。City AM称双方尚无直接接触，Revolut也未确认任何谈判。

这个数字更应被解读为发给680名受害者的信息，而非发给Revolut的："你们的数据将被逐日公开"。对加密资产持有者而言，护照+自拍照+住址+比特币记录被公开的现实后果包括：

• 物理攻击（"5美元扳手攻击"）：当不法分子知道你有多少BTC、住在哪里，再强的密码也毫无意义。2025至2026年，法国、西班牙和美国已发生多起绑架、胁迫钱包持有者的案件。
• SIM卡劫持（SIM swap）：有了电话号码、出生日期、住址和护照照片，攻击者有足够材料说服运营商补发SIM卡，进而绕过其他交易所的OTP验证。
• 情境化钓鱼（contextual phishing）：一封"来自Revolut"、准确提到你提取BTC的金额和日期的邮件，可信度是普通钓鱼邮件的许多倍。
• 冒名开户：护照+自拍照就是一套完整的KYC材料，可用于在其他交易所以受害者名义开户，用于洗钱或信用借贷。

五、Revolut面临的法律风险：GDPR、美国牌照与"注意义务"之问

根据英国GDPR，ICO最高可处以1,750万英镑或全球营收4%的罚款，以较高者为准。但罚款并非最大的风险。更值得担忧的有三点：

• 时机。事件发生在OCC有条件批准Revolut美国银行牌照仅一周多之后。FDIC和美联储——剩下的两道关卡——对操作风险管理能力的审查极为严格。一个被邮件骗过的合规流程，很难出现在比这更糟的时间点。
• 民事责任。如果任何受害者因数据泄露遭到人身攻击或财产损失，"Revolut在核验请求时是否尽到了足够的注意义务"这一问题将被摆到法庭上，而不仅仅是摆在ICO面前。
• 最有价值客户群的信任。高净值加密客户正是为Revolut贡献最高交易手续费的群体，也是一旦感到自身身份被轻视就最容易流失的群体。

有一点需要对Revolut公平：公司在发现后封锁了该邮箱地址，通报了被冒充的机构、警方、数据保护机构和金融监管机构，并直接联系了每一位客户。这种响应速度远好于行业标准。问题出在更早的环节——那个本应有人发问"为什么一个政府机构需要680个人的自拍照和比特币记录？"的环节。

六、更大的图景：KYC正在成为全行业必须守护的"宝库"

Revolut事件并非孤例。同一周，Swiss Bitcoin Pay遭遇独立的网络攻击导致用户数据泄露；9月11日，IDScan确认1.53亿份驾照数据在暗网泄露；9月15日，欧盟《网络弹性法案》（Cyber Resilience Act）正式生效，要求加密钱包开发者在24小时内报告漏洞。

整体格局是：全球反洗钱法规迫使所有金融机构——包括加密交易所——收集并保存多年客户的身份证件、面部照片和交易历史。结果是全球散布着成千上万个庞大的KYC数据库，每一个都是目标，每一个都为主管部门留有一扇"合法之门"。有权提出请求的机构越多，可被冒充的域名就越多。

加密行业曾就"最小化KYC"和身份"零知识证明"（zero-knowledge proof）展开讨论——允许你证明自己年满18岁或不在制裁名单上，而无需提交护照复印件。Revolut事件是自2020年Ledger泄露事件以来支持这一方向的最有力论据：没有被收集的数据，就是无法被泄露的数据。

七、对越南的启示：试点交易所、《个人数据保护法》与用户

越南正处于建设受监管加密资产市场的初期：根据第05/2025/NQ-CP号决议的试点机制，获批交易所必须执行完整KYC；而自2026年1月1日起生效的《个人数据保护法》则对数据处理机构规定了义务和处罚。Revolut事件表明，有三件事应当从一开始就设计好，而不是事后补救：

1. 主管部门请求的核验流程必须是双向的：通过正式渠道接收公函、通过公开电话回拨、核对文件编号——绝不能仅凭邮件域名就回复，哪怕该域名是".gov.vn"。
2. 将KYC数据库与交易数据分离，并限制同时调取两者的权限。Revolut事件最大的危险，在于身份和比特币记录被作为一整套同时导出。
3. 快速透明地通知受影响客户——Revolut从通知函到公开确认用了不到两天。这是越南用户应当向国内交易所要求的标准。

对个人用户而言，无论使用Revolut还是任何交易所，几条简单的防护原则：不要把同一个电话号码同时用于银行和所有加密交易所；设置SIM卡PIN码并要求运营商禁止电话办理换卡；使用硬件安全密钥而非短信OTP；非必要不要把大额资产放在与真实身份绑定的地方；把任何提及你具体交易的邮件都视为可疑，直到通过官方应用核实为止。

结论

Revolut并没有在通常意义上"被黑"，而这或许才是最可怕之处。一个恪尽职守——配合主管部门——的合规部门，成了680名加密富裕客户最敏感数据外流的通道，只因为没有人反过来提出疑问。10,000 BTC的赎金几乎肯定不会支付，ICO可能罚款也可能不罚，美国银行牌照可能延迟几个月。但对于那680个护照、面孔和比特币钱包被并排放在Telegram上的人来说，损害没有结束的日期。

最大的教训不只属于Revolut，而属于整个正在数字化的金融体系：当每家机构都被要求必须知道自己的客户是谁时，最重要的问题就变成了——谁有权来问，以及如何确认提问者是真的。

免责声明：本文仅供信息与分析之用，不构成投资、法律或个人安全建议。数据汇总自截至2026年9月15日（英国时间）的公开来源；事件仍在发展中，部分细节（被冒充的机构、请求数量、勒索团伙身份）尚未获得独立核实。比特币价格波动剧烈；10,000 BTC ≈ 7.8亿美元的换算基于9月15日约78,000美元的价格。读者在做出任何决定前应自行研究并权衡风险。

参考来源：The Crypto Times（2026年9月15日）——"Revolut Data Breach Hits 680 Customers, UK Opens Probe as Hackers Demand 10,000 Bitcoin"；Help Net Security（9月14日）——"What we know about the Revolut data breach so far"；The Register（9月14日）——"Revolut falls for fake government requests, hands over customer data"；《金融时报》与City AM（9月15日）；路透社与TechCrunch（9月12日）——Revolut的确认声明；RTÉ、El Español、Profit.ro（9月15日）——各国数据；Recorded Future News——意大利域名假说；彭博社与Banking Dive（9月3日）——OCC有条件批准；KuCoin每日市场报告（9月15日）——市场价格。