Revolut Veri Sızıntısı Bitcoin (BTC) İşlem Kayıtlarını Açığa Çıkardı

ZachXBT, Revolut Müşteri Verilerinin İfşa Edildiğini Duyurdu

Fintech devi Revolut'un, kendisine meşru bir devlet kayıt talebiymiş gibi gelen bir yazışmaya yanıt vermesi sonucunda bir kısım müşterisine ait kişisel verilerin yetkisiz üçüncü taraflara ulaşmış olabileceği ortaya çıktı. İfşayı gündeme getiren isim, zincir üstü araştırmacı (on-chain investigator) ZachXBT oldu. Araştırmacının aktardığına göre olay, Revolut'a bir devlet kurumundan geliyormuş gibi görünen ve kurumun resmi e-posta alan adını taşıyan bir müşteri bilgi talebiyle başladı. Mesaj geçerli alan adı doğrulama bilgileri içerdiği için şirket yazışmayı gerçek sandı; sahteciliği tespit edemedi ve talebe yanıt verdi — bu da gönderene kullanıcı tabanının bir bölümünü kapsayan dosyalara erişim kapısı aralamış oldu.

İfşa edilen malzemenin kapsamı geniş. Etkilenmiş olabilecek kayıtlar arasında müşterilerin tam adları, doğum tarihleri, meslekleri, ev adresleri, e-posta adresleri ve telefon numaralarının yanı sıra pasaport veya ehliyet kopyaları, kimlik doğrulama süreçlerinde çekilen selfie görüntüleri, hesap ekstreleri, IBAN bilgileri, para çekme kayıtları ve Bitcoin (BTC) transferlerini de içeren kapsamlı işlem geçmişleri yer alıyor.

Revolut, etkilenen müşterilere gönderdiği güvenlik bildiriminde biyometrik yüz telemetri verilerinin olaydan etkilenmediğini belirtti.

Bugün itibarıyla kapsam sınırlı görünse de risk profili rahatsız edici. ZachXBT, yüksek bakiyeli kullanıcıların asıl hedef olmuş olabileceğine dikkat çekiyor; çünkü eksiksiz bir işlem geçmişi, saldırgana kurbanın zincir üstünde tam olarak ne kadar var olduğunu söylüyor. Son günlerde birden fazla Revolut kullanıcısı olayla bağlantılı güvenlik bildirimleri aldığı için şirketin uyarı listesini hâlâ taradığı anlaşılıyor. Dikkat çekici olan, bunun geleneksel anlamda bir siber saldırı olmaması: Revolut'un çekirdek sistemlerinde bir ihlal rapor edilmedi. Asıl zafiyet prosedüreldi — özenle hazırlanmış bir sosyal mühendislik e-postası, kimlik doğrulama kontrolünü geçmeyi başardı ve uyum amaçlı kimlik arşivlerini bir hedefleme veri setine dönüştürdü.

1 Milyon Yenlik USDC Sorusu Viral Oldu

Ayrı bir gelişme ise tezgahın öteki ucunda ifşa taleplerinin ne kadar ileri gidebileceğini gösteriyor. 10 Eylül'de X platformunda @fishing_kiyogon kullanıcı adıyla paylaşılan bir gönderi, kripto sahibi ile Japonya vergi dairesi arasında 1 milyon yen değerindeki bir USDC transferi üzerinden geçen diyalogun yeniden canlandırmasını yayımladı. İki gün içinde viral X gönderisi yaklaşık 7 milyon gösterim biriktirdi; 6,9 milyon görüntülemeyi aşarak 500'den fazla yanıtlamayı da beraberinde getirdi. Yazışmada vergi görevlisi önce 1 milyon yenlik USDC'nin nereye gönderildiğini soruyor. Paylaşımı yapan kişi, parayı kendisine ait bir diğer cüzdana taşıdığını açıklıyor. Sorgu giderek zayıflayan gerekçelerle sürüyor: cüzdan değiştirmek istemiş, fonları farklı bir yerde yönetmek istemiş, ama en çok 'hazırlıklı olmak için' taşımış. Komik doruk noktası, görevlinin varış 'adresini' istemesiyle geliyor — kişi 0x ile başlayan cüzdan adresini okuyor, görevlisi ise 'Tokyo ya da Saitama gibi bir adres' istediğini söyleyerek iki taraf arasındaki temel terminoloji boşluğunu gözler önüne seriyor. Diyaloğun gerçek bir denetimi mi yoksa kurguyu mu yansıttığı belirsiz, ama kripto vergi sorularının nasıl işlediğinin sadık bir yeniden canlandırması olarak okunuyor. Japonya halen kripto kazalarını gelir vergisi beyanname birleşik vergilendirmesi altında 'diğer kazançlar' olarak sınıflandırıyor: ulusal ve yerel vergiler birleştiğinde oran yüzde 55'e kadar çıkıyor, kripto-kripto takasları başlı başına vergiye tabi olay sayılıyor ve zararlar ileriye taşınamıyor. Sektör temsilcileri, genel muhasebecilerin ve görevlilerin sık sık sektör terminolojisine hâkim olmadığını, bu yüzden kripto şirketlerinin danışmanlarıyla önceden bilgilendirme materyalleri hazırladığını belirtiyor.

viral X gönderisihttps://x.com/fishing_kiyogon/status/2097878117281038752?s=20

Gönderi altındaki tepkiler, 'ne kadar açıklarsan uçurum o kadar büyür' diyen empati dolu yorumlardan, bugün bu kadar bilgisiz görevlilerin nadir olduğunu savunan kullanıcıların itirazlarına kadar geniş bir yelpazeye yayıldı. Olay, Japonların kendi kendine saklama (self-custody) ilgisinin arttığı bir döneme denk geldi; bu ilgi, kullanıcıların kendi kayıtlarıyla bu tür soruları yanıtlayabildiği donanım ve mobil cüzdan seçeneklerindeki istikrarlı talepte görülüyor. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Bybit üzerinden canlı takip edebilir.

Kendi Kendine Saklama Neden Sürekli Yeni Kullanıcı Kazanıyor?

İki olay bir araya geldiğinde aynı basınç noktasının iki karşıt yönden haritası çıkıyor. Revolut vakası, bir saklayıcının (custodian) KYC arşivinin — kimlik belgeleri, selfieler, çekim kayıtları, BTC işlem geçmişleri — sahte resmi bir talep doğrulama filtrelerini geçtiğinde başlı başına bir saldırı yüzeyine dönüştüğünü gösteriyor. Yukarıda incelediğimiz birincil gönderide belgelenen viral Japon yazışması ise vergi otoritelerinin bir 0x adresinin ne olduğunu bile kavramadan ifşa talep edebildiğini ortaya koyuyor. COINOTAG'daki okumamız şu: bu çifte sürtünme, kendi kendine saklama altyapısına ve doğrudan kullanıcı kontrolüne kurulu stablecoin mutabakat hatlarına olan ilgiyi istikrarlı biçimde tazeliyor — Tether'ın Stable altyapısından Circle'ın Arc blockchain ağına uzanan bu göç yolu, Bitcoin maksimalizmi tezinin kendi egemenlik (self-sovereign) vizyonuyla bu manşetlerden çok önce öngördüğü bir yol.