事件并非系统遭入侵，却再次暴露 KYC 数据在加密用户群体中的风险。

撰文：Boaz Sobrado，Forbes

编译：AididiaoJP，Foresight News

英国金融科技公司 Revolut 确认，近日因误信一封伪装成政府调取请求的邮件，向冒充政府人员的第三方提交了部分客户的身份资料和交易记录。该事件并非系统被攻破，也无证据显示客户账户遭他人登录；Revolut 是在「政府调取」流程中主动发出资料。

自 2026 年 9 月 11 日前后起，受影响客户陆续收到通知。前 Mt.Gox 首席执行官 Mark Karpelès 公开了其收到的邮件，主题为「关于你 Revolut 账户的紧急安全更新」。链上调查人员 ZachXBT 随后在 Telegram 频道转发相关内容，并称受影响范围似乎有限，目标更像高净值用户。

据披露，涉事邮件发件箱建立在一家真实政府机构的域名下，并持有有效域名认证凭证，顺利通过 SPF、DKIM 和 DMARC 校验。对银行及持牌支付机构而言，这些技术校验通常用于判断邮件是否确由该机构发出。Revolut 因此将其视为正规执法或监管调取请求，并提交了资料。公司随后向该政府机构核验时才发现，该邮箱并非授权人员所有或使用。

Revolut 随即在内部封锁该地址，并通报相关政府机构、警方以及数据保护与金融监管部门，同时向受影响客户发出通知。发言人对媒体表示，这是一起「复杂的外部冒充诈骗」，并强调「Revolut 系统和客户资金未受影响」。公司未披露被冒用的机构名称，也未公布确切受影响人数及市场范围，仅称「有限客户」已直接收到联系。

通知列明的可能外泄信息远较一般密码泄露完整。身份信息包括全名、出生日期、职业；联系方式包括住址、电子邮箱和电话；证件信息包括护照或驾照复印件，以及开户时提交的人脸验证自拍。公司特别说明，用于比对的生物识别模板（facial telemetry）未交出，但自拍原图在列。财务信息包括账户对账单、IBAN、账户状态、开户日期、内部钱包参考号，以及完整交易流水，其中明确包含比特币买卖和提现记录。目前没有迹象显示私钥、登录密码、卡片 PIN 或账户余额被一并提交，也暂无公开的资金被盗报告。

对加密用户而言，这组数据的危险不在于资金会立即被转走，而在于链上活动可能与真实身份被直接关联。护照照片、住址、IBAN，再叠加完整进出记录和钱包参考号，足以用于定向钓鱼、冒充客服实施账户恢复，或从真实姓名反向进行链上分析。ZachXBT 提醒，泄露名单和住址过去曾与线下针对持币者的侵害事件联系在一起。

Revolut 将此次事件定性为外部冒充，而非生产系统入侵。根据现有公开材料，攻击者利用的是金融机构必须响应政府调取这一制度入口：邮箱落在真实域名上，认证校验通过，内部审核便按真实请求处理。Karpelès 等人公开呼吁公司或被冒用机构公布机构名称，以便其他银行和交易所回头排查同一邮箱。截至发稿，尚无相关方点名。

需要区分的是，Revolut 过往几起事件与本次不同。2022 年，立陶宛数据保护机构曾记录约 5.015 万名客户因针对员工的社会工程攻击受影响；2026 年 7 月，有黑市声称出售 7500 万条 Revolut 记录，公司内部核查后认为更可能系伪造；同年 2 月，公司曾就一名前雇员涉嫌以 KYC 数据勒索向执法部门报案。这些均与本次「假政府邮件调取」并非同一事件。

对已收到通知的客户而言，最现实的风险是二次诈骗。掌握护照照片、住址和交易明细后，不法分子很容易再发送一封「官方善后」邮件，或致电要求提供验证码、恢复助记词，或将加密货币转入所谓「安全钱包」。Revolut 的建议仍是：仅通过 App 内聊天沟通，不点击陌生链接，不接听突然打来、开口即提及此次泄露的电话。

仍有若干问题待厘清：具体多少人被提交资料、涉及哪个国家的哪家机构、请求于哪一天进入、资料于哪一天发出、同一邮箱是否曾向其他持牌机构发起请求，以及第三方获取资料后是否继续使用。这些空白若不能补齐，其他平台将难以进行针对性排查。

此次事件再次将老问题摆上台面：监管要求平台收集护照、自拍和完整交易史，而一旦这些档案被具有「合法外观」的请求骗走，其伤害往往比一次普通撞库更难收场。系统未被攻破，资金仍在账上，但客户被实名绑定至比特币流水的那一层信息，已经流出。