Revolut Data Incident已经从Unauthorized Disclosure升级到涉嫌Extortion。
9月16日Financial Times报道，一个自称"iamnotavillain"的Group要求支付300万美元Monero，并威胁如果24小时内不Payment就出售Customer Confidential Data。
Reuters随后报道称，Revolut表示自己没有直接收到来自所谓Attacker的Demand。
目前报道显示至少680个Customer Account受到影响，泄露信息包括Identity Document和Transaction Record。
真正需要关注的不是Ransom金额。
而是Data Type。
Token被盗有时可以Freeze、Recover或者Replace。
Identity Leak做不到。
Crypto Transaction Data让Identity Leak更危险
Passport Scan已经非常Sensitive。
如果Passport Scan再和Crypto Balance或Transaction History绑定，Risk会明显提高。
Attacker可能知道：
User是谁、住在哪里、使用什么Financial Account、是否持有Crypto，甚至大致控制多少Value。
这为Targeted Phishing、SIM Swap、Impersonation、Account Takeover甚至Physical Coercion提供更高质量的信息。
Government Request Trust成为Attack Surface
此前报道显示，Fraudulent Information Request利用了真实Government Email Environment。
这暴露一个核心问题：
Authentication ≠ Authorization。
Trusted Domain只能说明Communication Channel看起来合法。
它不能单独证明某个人确实有权要求披露特定Customer Data。
为什么Attacker要求Monero？
据报Demand指定使用Monero。
Monero提供比Bitcoin、Ethereum更强的Transaction Privacy，因此常被希望降低Traceability的攻击者选择。
但这并不能证明Attacker身份，也不能证明Revolut已经Payment。
Revolut称Core System与Fund未被攻破
这不能写成"Revolut Wallet被Hack"。
Revolut表示Customer Fund没有受到影响，问题集中在Customer Information的不当Disclosure。
Security Classification必须准确。
Data Exfiltration和Wallet Compromise是完全不同的Risk State。
Why it matters
Crypto Security长期把注意力集中在Seed Phrase、Hardware Wallet和Smart-contract Audit。
但KYC Data本身也是Permanent Security Liability。
Password可以Reset，Private Key可以Rotate。
Identity和历史Transaction Pattern却很难真正"换掉"。
风险与反方观点
事件仍在Investigation。
Reuters明确报道Revolut表示没有直接收到Ransom Demand，因此Extortion Group自身的说法不能直接视为Fully Verified Fact。
不同Customer Exposure的数据范围也可能不同。
What to watch next
看Regulator / Law Enforcement进一步确认、Data是否真的Public、是否出现针对Affected User的Targeted Phishing，以及Revolut是否升级Government-request Verification Workflow。