Revolut遭伪造政府域名邮件骗取客户数据：护照、自拍与完整比特币交易记录外泄

客户通知所列外泄数据分为四类：身份信息（姓名、出生日期、职业）、联系信息（住址、邮箱、电话）、验证记录（护照或驾照影像及开户时的人脸验证自拍）、财务记录（IBAN、账户状态、开户日期、比特币钱包参考号、提现记录及含比特币活动的完整交易历史）。Revolut说明密码、登录凭据与人脸识别生物特征模板未外泄，客户资金未发生移动。

事件于9月12日由前Mt.Gox首席执行官Mark Karpelès公开客户通知书后扩散，链上调查者ZachXBT随即指出该事件规模可能有限且似针对高净值账户。Revolut称仅涉及“有限数量”客户并逐一通知，因警方调查未披露被冒用的机构名称，亦未公布具体受影响人数。上述关于目标范围的判断来自调查者，尚未获企业确认。

该案的合规警示在于，以伪造紧急数据请求骗取企业披露的手法此前已针对苹果、Meta、Discord等公司使用，FBI曾于2024年11月警告该模式正向金融业转移。由于域名认证只能证明邮件发自该域服务器、无法证明发件人权限，企业在响应执法与政府信息披露请求时，需建立独立于邮件通道的回拨核验与多级审批机制。