افشای اطلاعات رولوت با یک ترفند ساده اما بیسابقه اتفاق افتاد: این نئوبانک در پاسخ به یک درخواست جعلی، هویت و سوابق مالی بخشی از مشتریانش را — از جمله تاریخچهٔ تراکنشهای بیت کوین — تحویل داد. نکتهٔ کلیدی اینجاست که ایمیل درخواست از یک حساب غیرمجاز ولی روی دامنهٔ رسمی یک نهاد دولتی ارسال شده بود و بررسی صحت دامنه را با موفقیت پشت سر گذاشت.
افشای اطلاعات رولوت دقیقاً چگونه انجام شد؟
در سازوکار عادی، وقتی یک نهاد دولتی از مؤسسهٔ مالی اطلاعات مشتری میخواهد، اولین لایهٔ اعتماد همان دامنهٔ فرستنده است. اگر ایمیل از دامنهٔ رسمی بیاید و رکوردهای احراز دامنه معتبر باشند، درخواست «واقعی» فرض میشود. مهاجم دقیقاً همین لایه را دور نزد؛ بلکه از داخل آن عمل کرد.
همین جزئیات، ماجرا را از فیشینگ کلاسیک جدا میکند. در فیشینگ معمولی آدرس فرستنده شبیهسازی و کمی دستکاری میشود و ابزارهای امنیتی معمولاً آن را میگیرند. اینجا آدرس واقعی بود و هیچ هشدار فنی فعال نشد. اصول کلی مقابله با این دست حملهها را پیشتر در راهکارهای محافظت از دارایی در برابر حملات هدفمند جمع کردهایم.
چه اطلاعاتی از دست رفت؟
- نام کامل، تاریخ تولد و شغل
- آدرس پستی، ایمیل و شمارهٔ تلفن
- کپی پاسپورت و گواهینامهٔ رانندگی
- سلفیهای ثبتشده در فرایند احراز هویت
- تاریخچهٔ تراکنشهای بیت کوین مربوط به حساب
ترکیب این اقلام است که خطرناک میشود، نه تکتکشان. مدارک هویتی بهتنهایی برای کلاهبرداری کافی نیست، اما وقتی کنار سابقهٔ تراکنش رمزارز بنشیند، مهاجم میفهمد چه کسی و چقدر دارایی دارد. همین دقیقاً پیشنیاز حملهٔ مهندسی اجتماعی هدفمند است. یکی از پژوهشگران امنیتی هم گفته دامنهٔ حمله احتمالاً محدود بوده و کاربران پرسرمایه را هدف گرفته است.
بخش سوابق تراکنش، همان نقطهای است که خیلیها دربارهٔ آن اشتباه میکنند: تصور رایج این است که فعالیت روی بلاک چین ناشناس میماند، در حالی که بهمحض اتصال یک آدرس به هویت احرازشده، آن فرض فرو میریزد. این موضوع را با جزئیات در بررسی میزان ردیابیپذیری تراکنشهای رمزارزی توضیح دادهایم.
این ماجرا برای کاربر چه درسی دارد؟
اول اینکه این رخداد هک نبوده. شرکت تأکید کرده هیچ نفوذی به سیستمهایش رخ نداده و هیچ وجهی برداشت نشده است؛ دادهها از مسیر یک فرایند مجاز اما فریبخورده بیرون رفتهاند. تفاوت مهم است، چون راهحلش هم فرق میکند: رمز عبور عوض کردن اینجا کمکی نمیکند.
دوم اینکه احراز هویت را نمیشود حذف کرد؛ الزام قانونی هر پلتفرم قانونی است و منطقش را در راهنمای احراز هویت در صرافی ارز دیجیتال توضیح دادهایم. کاری که از دست کاربر برمیآید، کاهش سطح مواجهه است: پخشنکردن کل دارایی روی یک پلتفرم، جدیگرفتن لایههای احراز هویت دومرحلهای و انتقال بخش بلندمدت دارایی به کیف پول شخصی، همانطور که در راهنمای افزایش امنیت کیف پول دیجیتال آمده است.
سوم اینکه اگر گمان میکنید اطلاعاتتان در چنین رخدادی بوده، مقام ناظر حفاظت از داده در بریتانیا مرجع رسمی پیگیری است و راهنمای گامبهگام آن در وبسایت رسمی ادارهٔ کمیسر اطلاعات منتشر شده است. در میانمدت هم راهکارهایی مثل هویت غیرمتمرکز روی بلاک چین دقیقاً برای کمکردن همین وابستگی به انبار متمرکز مدارک طراحی شدهاند.
جمعبندی
افشای اطلاعات رولوت نشان داد ضعیفترین حلقهٔ امنیت، لزوماً کد نیست؛ گاهی فرایند است. وقتی یک درخواست جعلی روی دامنهٔ واقعی دولتی بتواند مدارک هویتی و سوابق بیت کوین را بیرون بکشد، هیچ رمز عبوری کارایی ندارد. تعداد دقیق کاربران متأثر هنوز اعلام نشده است.
سوالات متداول
آیا رولوت هک شد؟
خیر. شرکت اعلام کرده هیچ نفوذی به سیستمهایش رخ نداده و هیچ وجهی برداشت نشده است؛ اطلاعات از مسیر پاسخ به یک درخواست جعلی بیرون رفته، نه از راه رخنهٔ فنی.
چرا سیستم ایمیل جعلی را تشخیص نداد؟
چون ایمیل از یک حساب غیرمجاز ولی روی دامنهٔ رسمی یک نهاد دولتی ارسال شده بود و بررسی صحت دامنه را پاس کرد؛ آدرس فرستنده شبیهسازیشده نبود.
لو رفتن سوابق تراکنش چه خطری دارد؟
ترکیب مدارک هویتی با تاریخچهٔ تراکنش نشان میدهد چه کسی چه حجمی از دارایی دارد و همین، پیشنیاز حملات مهندسی اجتماعی و اخاذی هدفمند است.
