أعلنت منصة ريفولوت عن اختراق بيانات كبير كشف جوازات السفر وصور السيلفي والسجلات المالية، بعد أن انتحل محتالون صفة جهة حكومية باستخدام نطاق بريد إلكتروني مزيف لكنه يبدو موثوقًا. هذه الحادثة، التي تم الكشف عنها في 12 سبتمبر، أعادت فتح نقاش مهم في عالم التكنولوجيا المالية حول ما إذا كانت تقنية “التحقق بدون معرفة” (ZK KYC) يمكن أن تمنع مثل هذه الاختراقات مقارنة بالطريقة الحالية التي تعتمد عليها البنوك.
ملخص سريع
- ريفولوت تعرضت لاختراق بيانات بعد انتحال محتالين صفة جهة حكومية عبر بريد إلكتروني موثوق.
- البيانات المكشوفة شملت جوازات السفر والسيلفي والعناوين والمعاملات المالية.
- تقنية ZK KYC قد تكون الحل لتقليل مخاطر تسريب البيانات الشخصية.
كيف حدث الاختراق؟
لم يكن الاختراق بسبب اختراق سيرفرات أو سرقة قاعدة بيانات. بل جاء من طلب احتيالي مُصمم باحتراف بدا وكأنه طلب حقيقي من جهة حكومية كان من المفترض أن تثق بها ريفولوت. وفقًا للشركة، أرسل طرف غير مصرح له طلبات معلومات مزيفة باستخدام نطاق بريد إلكتروني حكومي حقيقي، وبما أن الرسالة كانت تحمل بيانات توثيق صحيحة للنطاق، تم تنفيذ الطلب باعتباره طلبًا حكوميًا موثوقًا. وصفت ريفولوت الحادثة بأنها “عملية انتحال خارجي متطورة”.
بعد اكتشاف العملية، قالت الشركة إنها حظرت عنوان المرسل وأبلغت الجهة الحكومية المعنية والجهات القانونية وهيئات حماية البيانات والجهات التنظيمية المالية. وأكد متحدث باسم ريفولوت أن أنظمة الشركة وأموال العملاء لم تتأثر.
ما هي البيانات التي تم كشفها؟
نطاق البيانات التي خرجت من أنظمة ريفولوت هو الجزء الأكثر إثارة للقلق لدى خبراء الأمن. تضمن الإشعار المرسل للعملاء المتأثرين تواريخ الميلاد والعناوين البريدية والإلكترونية وأرقام الهواتف والمهن ونسخًا من جوازات السفر أو رخص القيادة. ووفقًا لريفولوت، قد تشمل البيانات المكشوفة أيضًا صور سيلفي تم التقاطها للتحقق من الهوية وكشوفات الحساب وسجل المعاملات.
- أرقام الحسابات المصرفية الدولية (IBAN)
- سجلات السحب والمعاملات الكاملة
- معاملات البيتكوين
وأضاف زاك إكس بي تي، محقق الاحتيال في العملات الرقمية الذي نشر الحادثة أولاً، أن التسريب استهدف على ما يبدو مستخدمين من ذوي الثروات العالية. كما ادعى منشور على ريديت أن مجموعة تستهدف ريفولوت تسرب بيانات يُقال إنها تخص عملاء VIP وتطالب بدفع فدية. لم يتم التحقق من هذا الادعاء بشكل مستقل. ولم تفصح ريفولوت عن العدد الدقيق للعملاء المتأثرين.
المشكلة الحقيقية في إدارة التحقق المركزي
المشكلة الأساسية ليست أن ريفولوت تعرضت للخداع مرة واحدة. المشكلة أن طلبًا واحدًا تمت الموافقة عليه ضد ملف هوية كامل يمكن أن يسلم كل شيء في هذا الملف دفعة واحدة. تحتفظ البنوك وشركات التكنولوجيا المالية بجوازات السفر والسيلفي والسجلات المالية معًا لأن قواعد “اعرف عميلك” تتطلب تحديد هوية موثوقًا، لكن تجميع وثائق الهوية مع بيانات الحساب والمعاملات في مكان واحد يعني أن أي إفصاح خاطئ واحد يكشف أكثر بكثير مما يحتاجه الطالب فعلاً.
التشفير يحمي الملف أثناء تخزينه أو نقله عبر الشبكة، وضوابط الوصول تحدد من يُسمح له باستلامه. لكن لا أحد من هذين الإجراءين يحد من محتوى الملف نفسه بعد اجتياز الطلب لهذه الفحوصات. وعندما تتكرر هذه العملية عبر الشركاء وفرق المنتجات والأطراف الثالثة التي تحصل على نسخة لأغراض التحقق الخاصة بها، يزداد عدد الأماكن التي يمكن أن يتسرب منها ملف الهوية الكامل بسرعة.
هذا هو الضعف الهيكلي الذي كشفه اختراق ريفولوت: ليس خزنة مكسورة، بل باب يبدو موثوقًا فتح على كل شيء دفعة واحدة.
تقنية التحقق بدون معرفة كحل
يوجد نموذج بديل بالفعل، ويعمل من خلال الإجابة على سؤال أضيق من “إليك الملف الكامل”. فبدلاً من تسليم الوثائق، يسأل فقط عما إذا كانت حقيقة محددة صحيحة، ويحصل على نعم أو لا.
كيف يعمل التحقق على خطوتين؟
تقنية ZK KYC تقسم التحقق من الهوية إلى خطوتين منفصلتين. أولاً، يقوم مُصدر موثوق، مثل بنك أو مزود خدمة KYC، بالتحقق من وثائق العميل مرة واحدة ويصدر وثيقة بيانات موقعة رقميًا تؤكد حقائق مثل حالة KYC أو أهلية المستثمر. هذا يتبع الأدوار المحددة في نموذج بيانات الاعتماد القابلة للتحقق التابع لمنظمة W3C.
ثانيًا، كلما احتاجت خدمة أخرى لتأكيد شيء ما، تنشئ محفظة العميل الرقمية “إثباتًا بدون معرفة” — وهو جزء من التشفير يثبت أن العبارة صحيحة دون الكشف عن البيانات الأساسية — وتتلقى الخدمة فقط إجابة نجاح أو فشل. بهذه الطريقة، لا يرى المتحقق تفاصيل شخصية، بل يؤكد فقط أن شرطًا معينًا صحيح.
في يوليو 2025، عيّنت جوجل بنوك شباركاسه الألمانية كأول جهة إصدار وثائق وطنية لفحوصات العمر في الاتحاد الأوروبي، وهي إعداد مصمم خصيصًا حتى تتمكن الخدمة من التحقق من عبارات مثل “العمر فوق 18” دون الوصول إلى البيانات الشخصية الأساسية.
هذا التصميم يجعل الحالة الموثقة قابلة لإعادة الاستخدام. إذا كان بإمكان منتجات أو مؤسسات متعددة التحقق من وثيقة مؤكدة واحدة، فلا يحتاج العميل الذي اجتاز KYC في بنك ما إلى إعادة تقديم وثائق الهوية في كل مرة يفتح حسابًا في مكان آخر.
قيود ZK KYC والمخاطر المتبقية
تقنية ZK KYC لا تقضي على كل المخاطر في السلسلة، ومن المهم توضيح ذلك. لا يزال المُصدر يحتفظ بالوثائق الأصلية ويجب أن يسلمها عندما يفرض القانون ذلك، مما يعني أن طلبًا احتياليًا ينجح في اجتياز فحوصات المُصدر نفسه — وهو بالضبط السيناريو الذي وصفته ريفولوت — لا يزال بإمكانه سحب ملف هوية كامل من نقطة التعرض الوحيدة المتبقية.
ما تغيره ZK KYC هو كل ما يلي المُصدر: عدد أقل من الشركاء وفرق المنتجات والخدمات الخارجية التي تتلقى نسخة من الوثائق الخام في المقام الأول، لأن معظمها يحتاج فقط إلى إثبات وليس ملفًا.
zkDatabase وتبني القطاع
جعل الإثباتات مفيدة على نطاق واسع يتطلب طريقة للتحقق منها مقابل سجلات المُصدر دون كشف تلك البيانات أيضًا، وهذه هي الفجوة التي بُنيت أدوات مثل zkDatabase لسدها.
وظائف zkDatabase وميزات الخصوصية
تعتمد العديد من منصات الأصول الرمزية حاليًا على قوائم الإذن — سجلات العناوين المعتمدة التي يحتفظ بها مشغل — مما يجبر كل متحقق على الثقة بأن الإدخالات أُضيفت وأُزيلت بشكل صحيح. تُوصف zkDatabase بأنها قاعدة بيانات قابلة للتحقق مدعومة بإثباتات بدون معرفة، وتنتج إثباتًا لكل عملية، مما يتيح لأي شخص التحقق من سلامة قاعدة البيانات دون الحاجة إلى الثقة بالمشغل مباشرة.
يتم تسجيل بيانات الاعتماد الصالحة كجذر ميركل — بصمة قصيرة للقائمة بأكملها تتغير كلما تغيرت القائمة نفسها. تغلف zkDatabase فحص العضوية في ميركل داخل إثبات بدون معرفة، بحيث يعرف المتحقق فقط أن وثيقة معينة على القائمة الحالية، دون رؤية محتويات القائمة أو موضع الوثيقة فيها. عند إلغاء وثيقة، تنتج القائمة بصمة جديدة لا تتضمنها، وتتوقف تلك الوثيقة الملغاة ببساطة عن اجتياز الفحوصات المستقبلية.
مثال جوجل وبنوك شباركاسه الألمانية
قرار جوجل في يوليو 2025 بتعيين بنوك شباركاسه الألمانية كأول جهة إصدار وثائق وطنية للتحقق من العمر في الاتحاد الأوروبي هو أوضح مثال واقعي على هذا النموذج قيد التشغيل. يُظهر منصة كبرى تختار بناء فحوصات العمر والهوية حول إثباتات حقائق مفردة بدلاً من تبادل الوثائق.
في تطور منفصل، يدمج تعاون Orochi Network مع zkPass أداة zkDatabase كخلفية لأداة إثبات موجهة للمستخدم: تتيح zkPass للمستخدمين إظهار سمات مثل حالة KYC دون كشف البيانات الأساسية، مع أن كل إثبات يتحقق فقط من فحص واحد في لحظة محددة، بينما توفر zkDatabase خلفية قابلة للإثبات تربط هذه الادعاءات بحالة بيانات محمية من التلاعب.
وجد نموذج إثبات المفهوم الذي أجراه دويتشه بنك في 2024 مع Privado ID أن الإثباتات تبسط فحوصات الحقائق المفردة، حتى مع اضطرار المؤسسات على الجانب الآخر من المعاملة إلى إكمال عمليات KYC مفصلة ومكلفة خاصة بها.
مجتمعة، تُظهر هذه الإطلاقات أن القطاع لا ينتظر اختراقًا آخر لتجربة هذا النهج — بل يختبره بالفعل في أنظمة حية تغطي التحقق من العمر والأصول الرمزية والخدمات المصرفية عبر الحدود.
الأسئلة الشائعة
كيف تقلل ZK KYC من تأثير اختراق بيانات KYC؟
تقلل ZK KYC من تأثير اختراق بيانات KYC من خلال حصر الفحوصات الروتينية في إثباتات حقائق مفردة، مثل حالة KYC الصالحة أو العمر، مما يقلل من عدد الأنظمة التي تحتفظ ببيانات الهوية الكاملة.
ماذا تفعل zkDatabase في إعداد ZK KYC؟
تحتفظ zkDatabase بقائمة المُصدر لبيانات الاعتماد الصالحة كشجرة ميركل وتنتج إثباتات بدون معرفة بأن وثيقة معينة على تلك القائمة دون الكشف عن البيانات الشخصية.
هل يمكن إعادة استخدام فحص KYC واحد عبر المؤسسات؟
يمكن إعادة استخدام فحص KYC فقط عندما يقبله المتحقق؛ ينشئ العملاء إثباتًا جديدًا لكل خدمة، وكل متحقق يقرر أي المُصدرين والصيغ يثق بها.
