Revolut-Angreifer haben am Wochenende begonnen, Reisepässe und Verifikations-Selfies von Kunden zu veröffentlichen. Zugleich fordern sie eine Zahlung und kündigen an, täglich neue Datensätze offenzulegen, bis der Fintech-Konzern nachgibt.
Wichtigste Punkte:
- Die Täter stellen Ausweisdokumente und Selfies von Revolut-Kunden ins Netz und versprechen tägliche Veröffentlichungen, bis ein Lösegeld fließt.
- Das Leak soll unter anderem Reisepässe, IBANs, Auszahlungsbelege und vollständige Trading-Historien enthalten.
- Revolut betont, nur eine sehr kleine Zahl von Kunden sei betroffen; Systeme und Kundengelder seien unangetastet geblieben.
Revolut-Leak wird öffentlich
Das Monitoring-Konto International Cyber Digest meldete am 13. September, die Gruppe habe aufgehört, auf eine Zahlung zu warten, und beginne nun, Dateien zu bekannten Kontoinhabern zu veröffentlichen. Die erste Tranche umfasste Identitätsdokumente und Verifikations-Selfies. Demnach hatten die Angreifer Revolut zuvor per E-Mail mit Forderungen konfrontiert, bevor sie an die Öffentlichkeit gingen.
Die veröffentlichten Dokumente gehörten dem Tennisspieler Alexander Shevchenko sowie Felix Römer, CEO der Krypto-Glücksspielplattform Gamdom. Krypto-Medien bezifferten die Lösegeldforderung auf 10.000 Bitcoin (BTC) – rund 780 Millionen US-Dollar nach Montagsschlusskurs –, andere Berichte sprechen jedoch davon, dass kein Betrag offiziell bestätigt sei.
Revolut lehnte eine Stellungnahme zur Höhe der Forderung ab. Ein Sprecher erklärte, die Kerninfrastruktur, Datenbanken und Kundenkonten seien nicht kompromittiert worden.
Mehr dazu: XRP-ETFs erreichen Rekord von 1,7 Mrd. Dollar trotz schwacher Kursentwicklung
ZachXBT sieht gezielte Angriffe auf Krypto-Whales
Der On-Chain-Ermittler ZachXBT verbreitete die Kundenmitteilung über Telegram und ergänzte mehrere Datenkategorien, die Revolut in seiner eigenen E-Mail nicht genannt hatte – darunter IBANs, Auszahlungsprotokolle, Berufsangaben und vollständige Bitcoin-Transaktionshistorien. Er stuft das Leck als begrenzt im Umfang ein, aber gezielt auf vermögende Kunden ausgerichtet.
Revolut hat diese Einschätzung nicht bestätigt und bestreitet bislang, dass gezielt Krypto-Investoren angegangen wurden. Sicherheitsforscher warnen, die Kombination aus Passkopie und vollständiger Trading-Historie ermögliche hochpräzises Phishing sowie Blockchain-Analysen, die beim Klarnamen ansetzen. Ausweisdokumente und Gesichtsbilder zur Identitätsprüfung erhöhen zudem das Risiko von Identitätsdiebstahl und Social-Engineering-Angriffen für alle Betroffenen.
Ursprung des Revolut-Datenlecks
Der Vorfall geht auf eine einzelne E-Mail zurück, die aus einem Postfach einer realen Regierungsbehörde verschickt wurde – innerhalb deren echter Domain, mit gültigen Authentifizierungsmerkmalen und damit ausreichend, um die Sicherheitsprüfungen von Revolut zu passieren. Banken sind verpflichtet, auf formell korrekte Anfragen von Behörden zu reagieren, und die Nachricht wirkte wie ein solches offizielles Ersuchen.
Kopien der Kundenmitteilung begannen am 12. September zu zirkulieren, als Revolut den Vorfall als „sophisticated external impersonation scam“ einstufte – also als ausgefeilte Identitätsanmaßung von außen – und mitteilte, man habe Aufsichtsbehörden und Strafverfolgung eingeschaltet.
Mark Karpelès, der frühere Chef der insolventen Bitcoin-Börse Mt. Gox, veröffentlichte am selben Tag eine eigene Warnung an Betroffene. Wie viele Kunden insgesamt betroffen sind, hat Revolut bis heute nicht beziffert. Das Unternehmen bedient mehr als 80 Millionen Kunden in 30 Ländern und bereitet derzeit einen Sekundärverkauf von Altanteilen vor, der das Fintech mit rund 115 Milliarden US-Dollar bewertet.
Lesen Sie auch: Sam Altman schließt einen OpenAI-Börsengang 2026 aus – und verweist auf KI-Sicherheitsarbeit
