리볼루트, 해커들에게 부유한 고객들의 여권·비트코인 거래 내역 넘겨

리볼루트는 사기성 정부 요청을 정당한 요청으로 처리한 뒤 고객들의 여권과 비트코인 거래 내역을 공개했다. 해당 기록에는 여권 사본, 운전면허증 사본, 본인 인증 셀카가 포함됐을 수 있다. 이름, 생년월일, 직업, 자택 주소, 전화번호, IBAN, 계좌 명세서도 공개됐을 수 있다. 출금 기록과 전체 거래 내역도 공개됐을 수 있다. 사기성 요청은 실제 정부 기관의 도메인 인프라 내부에 있는 무단 사용 메일함에서 발송됐다. 해당 메일함은 유효한 인증 자격 증명을 사용했다. SPF, DKIM, DMARC 인증을 통과했다. 리볼루트는 기록을 공개한 뒤 해당 기관에 연락했다. 리볼루트는 이 요청이 사기였다고 결론 내렸다. 리볼루트는 해당 주소를 차단하고 고객과 규제당국에 통보하기 시작했다. 리볼루트는 해당 기관을 특정하지 않았다. 리볼루트는 영향을 받은 고객이 몇 명인지 공개하지 않았다. ZachXBT는 공개 범위가 제한적이었던 것으로 보인다고 말했다. ZachXBT는 고액자산가 고객을 겨냥했을 수 있다고 말했다. 고객 자금이 도난당했다는 보고는 나오지 않았다. 리볼루트의 통지에는 비밀번호, 카드 비밀번호, 암호화폐 개인 키가 포함되지 않았다. 노출된 정보로 인해 인증된 신원과 거주지 주소를 암호화폐 활동과 연결할 수 있었다. 마크 젤러는 이번 공개가 리볼루트가 계정 폐쇄를 위협하며 추가 정보를 요구한 뒤 이뤄졌다고 말했다. 젤러는 리볼루트가 공격자들을 대신해 일했다고 비난했다. 전 마운트곡스 최고경영자 마크 카르펠레스는 해당 기관을 특정하면 다른 은행과 거래소가 같은 메일함에서 요청을 받았는지 확인하는 데 도움이 될 수 있다고 주장했다. 리볼루트는 인증 결과를 근거로 해당 요청이 진짜 정부 당국에서 온 것이라고 믿었다고 말했다. 리볼루트는 정부의 정보 요청에 이메일 외부의 확인이 필요한지 밝히지 않았다. 리볼루트는 고객 기록을 공개한 뒤에야 해당 기관에 연락한 이유를 밝히지 않았다. 리볼루트는 사기를 발견한 뒤 이 절차를 변경했는지도 밝히지 않았다.