Revolut遭假政府邮件诈骗致客户护照及比特币交易记录泄露

英國數位銀行 Revolut 因一封偽裝成政府機關的電子郵件，洩漏大量顧客護照、住址與比特幣交易紀錄，涉及範圍可能針對高資產使用者。事件凸顯 AI 時代身份驗證系統的新弱點與資料最小化原則的迫切性。

（前情提要：獲英國銀行牌照後，Revolut 推狗狗幣主題加密貨幣金融卡：換匯零手續費、涵蓋全球 Visa 與 Mastercard）

（背景補充：幣圈最強偵探，ZachXBT 如何智破 2.43 億美元加密盜竊案？）

英國數位銀行巨頭 Revolut 在 9 月 12 日爆出資安風波，CoinDesk 取得 Revolut 傳送給受影響使用者的通知信後揭露，一封偽造政府機關的郵件騙過內部安全檢查，導致大批顧客的護照、自拍照、住址、聯絡資訊與完整比特幣交易紀錄遭到洩漏。Revolut 事後確認這是一樁詐騙，並迅速封鎖來源，但事件仍引發外界對數位銀行資料安全與 AI 時代身份驗證漏洞的擔憂。

假政府郵件如何騙過安全檢查 根據 Revolut 傳送給受影響使用者的通知信，這封詐騙郵件出現於 9 月 11 日（週五）晚間，寄件者偽裝成合法政府機關，並附有能透過 Revolut 內部驗證流程的憑證與檔案。系統在確認「授權合法」後，自動將顧客資料交付給對方。

問題出在「授權機制」而非防火牆：一旦請求透過內部檢查，詐騙者就能取得 Revolut 為滿足 KYC（認識你的客戶）與合規要求而儲存的敏感資料。這代表攻擊者不需入侵資料庫，只要偽造一封「看起來像政府」的郵件就能合法取走資料。

洩漏資料有多敏感？比特幣地址直接「實名化」

此次洩漏的資料專案相當全面，包含： 身分證明檔案：護照、駕照 生物辨識：KYC 驗證用自拍照 個人資訊：姓名、出生日期、職業、住址、電子郵件、手機號碼、IBAN 財務紀錄：帳戶明細、提款紀錄、完整交易歷史 加密貨幣活動：所有比特幣（BTC）交易紀錄 其中最受關注的是比特幣交易紀錄與現實身份的對應。比特幣區塊鏈上的交易本來是「偽匿名」的，每個地址只是一串字元，但一旦金融中介機構（如 Revolut）將顧客的身份資料與鏈上活動關聯，就能形成一份「真實人物 → 鏈上地址」的對照表。這類洩漏會直接暴露顧客的加密貨幣持倉與交易軌跡。

知名鏈上偵探 ZachXBT 在 Telegram 頻道中指出，此次事件規模似乎有限，且可能專門針對高資產使用者。他同時強調，這類洩漏讓原本在鏈上保持匿名的比特幣使用者直接「實名化」，風險不僅限於個人隱私，還可能牽涉到財產安全與人身安全。

後續觀察 Revolut 尚未公布受影響使用者的確切人數，也未說明詐騙者來自哪個國家、使用哪個政府機關的身份偽裝。事件已通報主管機關，但監管後續仍有待觀察。

這起事件在臺灣市場也有警示意義：數位銀行與加密貨幣平台普遍要求 KYC，顧客的護照、住址與交易紀錄集中儲存在單一資料庫中。一旦授權機制被騙，洩漏規模可能相當驚人。使用者在享受便利的同時，也必須認知到「鏈上匿名 ≠ 真實匿名」，只要任何一環的中介機構被攻破，鏈上活動就可能被追溯。