Revolut近日向部分客户发出通知称，公司此前根据一份看似来自政府机构的正式请求，向未授权发送方披露了客户身份资料、账户信息及交易记录，其中包括比特币交易历史。现有披露未显示公司系统遭入侵，也没有证据表明客户资金已被转走。
伪造请求使用官方域名发出
根据客户通知，这封邮件并非仿冒相似地址，而是直接通过某政府机构的官方邮箱域名发出，并带有有效的域名认证信息。Revolut称，正因其在形式上符合正式来函特征，公司才在“合理相信请求真实”的情况下完成了资料提供。
通知没有说明涉事机构名称，也未披露未授权发送方如何取得该邮箱域名下账户的使用权限。请求发出时间、资料披露时间，以及事件影响范围，目前也都没有公开。
ZachXBT表示，事件看起来规模有限，且可能针对高净值用户。但这一说法尚未获得 Revolut 公告材料确认，受影响客户总数也未披露。
已披露资料包含身份信息与交易记录
Revolut列出的资料范围包括：
- 客户姓名、出生日期和职业
- 邮寄地址、邮箱地址和电话号码
- 护照或驾照副本，以及身份核验自拍照
除身份资料外，披露内容还包括账户对账单、IBAN、账户状态、开户日期，以及与比特币钱包相关的参考编号。通知还提到，提款记录和完整交易历史也在提供范围内，其中包含比特币交易记录。
Revolut特别说明，此次不涉及面部生物识别遥测数据。现有材料也没有显示私钥、账户密码或完整银行卡信息被一并泄露。不过，对加密用户而言，比特币交易记录与实名身份资料被放在同一批数据中披露，意味着个人资金活动可能被更完整地对应到具体身份。
受影响客户面临身份盗用风险
英国信息专员办公室对个人数据泄露的常见风险包括身份盗用、欺诈和财务损失。但就这起事件而言，现有公开材料尚未显示相关资料已被进一步滥用。
如果同一名客户的身份证件、联系方式和交易记录同时被披露，接收方理论上可以拼接出更完整的个人财务画像。尤其是账户流水与比特币交易记录并列出现时，相关资料对加密资产持有者更为敏感。
英国监管指引要求，机构在知悉某些个人数据泄露事件后，应在可行情况下于 72 小时内上报，并在高风险情形下尽快通知受影响个人。不过，现有截图未说明 Revolut是否已向监管机构报备，也未披露公司最早何时发现该未授权请求。
事件发生时Revolut正扩展加密业务
这起事件发生之际，Revolut仍在推进银行与数字资产业务扩张。公司8月曾宣布，面向丹麦、波兰和葡萄牙部分客户推出欧元稳定币 EURR，后续还计划扩大欧洲覆盖范围。
此外，Revolut本月早些时候还获得美国货币监理署有条件批准，筹备设立一家美国银行。按此前披露，该项目仍需存款保险、联储及最终监管批准后方可开业。
补充信息：目前没有信息显示这起资料泄露与其稳定币发行或美国银行申请存在直接关联。Revolut在8月曾表示，公司全球客户数已超过 8000 万，但这一数字并不代表此次事件的实际受影响人数。
