Revolutがニセ政府メールに騙されてパスポートとビットコイン取引履歴を流出させた件について

今回何が起きたか

Revolutが偽の政府機関メールに騙されて、ユーザーのパスポート画像やビットコインを含む暗号資産の取引履歴を第三者に渡してしまった、という話が出てきました。

手口としては、本物の政府機関が使っているメールドメインから送られてきた情報開示請求に、Revolutのチームが応じてしまったというものです。ドメイン自体は本物なのに、リクエストは偽物だった。つまり何者かが政府機関のメールシステムそのものに侵入するか、あるいは内部の人間を使って正規の送信経路から偽のリクエストを投げてきた可能性がある。Revolut側は「限定的な件数のユーザーが対象」と言っていますが、こういう発表のときの「限定的」はたいていあとで修正されます。長くこの業界を見てきた感覚として、そう読んでいます。

なぜこれが暗号資産ユーザーにとって深刻なのか

銀行口座の取引履歴が漏れるのも困りますが、暗号資産の取引履歴が漏れるのはそれとは次元が違います。

銀行口座の残高が漏れても、すぐに現金を奪われるわけではありません。でも暗号資産の保有状況が分かれば、ターゲットとしての「価値」が特定される。2020年前後から世界各地で増えている、いわゆる「$5 wrench attack」、日本語で言えば物理的な強迫によって秘密鍵やシードフレーズを吐かせる手口の、最初のステップはほぼ例外なく「誰がどれだけ持っているか」の情報収集から始まります。

パスポートと取引履歴がセットで漏れているというのは、つまり「この人物は暗号資産を持っていて、本人確認も取れている」という完成度の高いターゲットリストが外部に渡ったということです。フィッシングの精度も格段に上がります。名前、顔写真、入出金の規模感、そういった情報が揃ったフィッシングメールは、受け取った本人でも一瞬迷うくらいのクオリティになります。

Revolutのセキュリティ体制への疑問

問題はRevolut側の対応プロセスにもあります。政府機関からの情報開示請求というのは、金融機関にとって日常的に来るものです。それに対応するための社内フローがあるはずで、本来であればメールのドメインだけではなく、担当者への直接確認や、リクエストの整合性チェックといった多重の検証ステップがあるべき場所です。

それがすり抜けたということは、フローそのものに穴があったか、あるいは内部で何らかの事情があったか、どちらかだと思っています。Revolutはここ数年でユーザー数を急拡大させてきた一方で、セキュリティや内部統制がそのスピードに追いついていなかった部分が今回可視化された、という見方もできます。

交取所や金融プラットフォームへの過信というリスク

2022年にFTXが崩壊したとき、多くの人が「取引所に資産を預けっぱなしにするリスク」を学び直しました。ただそのとき痛感したのは、資産の喪失だけではなく、個人情報の問題も同時に抱えることになるということです。FTXのハックでユーザーデータが出回り、そのリストを使った詐欺やフィッシングが大量発生したのを覚えています。

今回のRevolut案件で自分が改めて思うのは、「使い勝手のいいプラットフォームほど、渡している情報の量も多い」という話です。KYCを通過した時点で、パスポートや住所、取引記録はすでにそのプラットフォームのサーバーに存在しています。そしてそのデータを守る能力が、ユーザーには事前に測りようがない。

Revolutは欧州でバンキングライセンスを持ち、規制されたプレイヤーという位置づけでした。それでも今回のことが起きた。規制があること、ライセンスがあること、それは最低限の信頼の根拠にはなりますが、「安全」とイコールではないというのが正直なところです。

今すぐできる自衛の話

仮にRevolut利用者であれば、フィッシングに対する警戒レベルを今すぐ上げておく必要があります。「あなたの口座に不審なアクセスがありました」「本人確認を再度お願いします」といった体裁のメールやSMSが来ても、リンクをクリックせずに公式アプリから直接確認する。今後数週間はこの手のソーシャルエンジニアリングが集中する可能性があると見ています。

また、使用していない取引所やフィンテックアプリのアカウントは、そのまま放置するより整理しておく方がいいです。使っていないアカウントでも、KYC情報は残っています。漏れるリスクだけが残っているという状態です。

市場への影響と現在の地合い

この件がビットコイン価格に直接的な影響を与えているかというと、現時点では限定的だと思っています。Fear & Greed Indexは61（Greed）で、前日の63からほぼ横ばい。日本円建てのビットコインはPPIの上振れを受けて1200万円を割り込んだという報道も出ていて、FOMCを前にした様子見ムードが強い局面です。セキュリティインシデントが市場を動かすとすれば、それが大手中央集権取引所のハックや出金停止に発展したときですが、今のところRevolut案件がそこまで波及するかは見えていません。

ただ、こういう小さいように見えるインシデントが積み重なると、機関投資家やより慎重なリテール層がKYCプラットフォームへの資産集中を減らす方向に動くことがあります。セルフカストディへの関心が静かに高まるタイミングでもあります。

相場全体としてはFOMC待ちで動きにくい時間帯です。こういう静かなタイミングほど、インフラ周りのリスクを点検するのに向いていると思っています。自分の資産がどこに、どんな形で預かられているかを把握しておくだけでも、いざというときの反応速度がまったく変わってきます。

取引の判断を自分でやり切る自信がない局面が続くなら、BingXのコピートレード機能で実績のあるトレーダーの動きをそのまま参照するのも一つの手です。自分のポジション管理が追いつかないときに使う選択肢として、頭の片隅に入れておいてもらえればと思います。そんな感じで見ています。