Revolut hat einer Gruppe von Kunden mitgeteilt, dass Kopien ihrer Reisepässe, Wohnadressen und vollständige Bitcoin-(btc)-Transaktionshistorien bei einem unbefugten Dritten gelandet sind – nachdem das Fintech eine gefälschte Behördenanfrage als echt eingestuft hatte.
Wichtigste Punkte:
- Revolut hat Ausweisdokumente und Bitcoin-Transaktionsdaten von Kunden offengelegt, nachdem eine betrügerische Anfrage als offizielle Regierungsanforderung behandelt wurde.
- Das Unternehmen betont, Kundengelder seien sicher und Aufsichtsbehörden informiert; welche Behörde imitiert wurde und wie viele Kunden betroffen sind, bleibt offen.
- Ermittler halten den Vorfall für zahlenmäßig begrenzt und gezielt auf vermögende Kontoinhaber ausgerichtet.
Revolut-Hinweis legt Ausmaß der Bitcoin-Daten offen
Das Institut informierte betroffene Nutzer per E-Mail am späten Abend des 11. September. Der On-Chain-Ermittler ZachXBT machte die Nachricht wenige Stunden später in seinem Telegram-Kanal öffentlich. Dem Schreiben zufolge stammte die Anfrage von einem unautorisierten Konto, das innerhalb der offiziellen Domain einer staatlichen Behörde angelegt worden war – inklusive gültiger Domain-Authentifizierung. Revolut handelte nach eigener Darstellung in der „vertretbaren Annahme“, die Forderung sei legitim.
Offengelegt wurden vollständige Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen, Telefonnummern, Kopien von Reisepässen oder Führerscheinen sowie die beim Onboarding erstellten Selfies.
Ebenfalls weitergegeben wurden Kontoauszüge mit IBAN, Eröffnungsdatum und Wallet-Referenznummern, dazu Auszahlungsnachweise und lückenlose Transaktionshistorien, einschließlich der Bitcoin-Umsätze.
Erst im Nachgang kontaktierte Revolut die betroffene Behörde zur Verifikation – und machte sie damit zugleich darauf aufmerksam, dass sich ein unautorisiertes Konto in ihrer eigenen Domain befand. Revolut betont, Kundengelder seien nicht in Gefahr gewesen und keine Passwörter abgeflossen. Die Aufseher wurden informiert, doch Angaben zur Anzahl der betroffenen Kunden gibt es bislang nicht.
Auch interessant: Ethereum stößt bei 2.800 Dollar auf Angebotsmauer nach ETF-Zuflüssen von 216 Mio. US-Dollar
ZachXBT und Karpelès erhöhen Druck auf Revolut
ZachXBT schätzt, dass der Vorfall vom Umfang her begrenzt ist, und sieht ihn gezielt auf wohlhabende Nutzer ausgerichtet. Er veröffentlichte später Screenshots, die zeigen, dass ihn beide Revolut-Konten auf X blockiert hatten, nachdem er prüfen wollte, ob das Unternehmen die Angelegenheit öffentlich kommentiert.
Mark Karpelès, der frühere CEO der zusammengebrochenen Bitcoin-Börse Mt. Gox, berichtete, auch er habe die Warnmail mit dem Betreff „Urgent security update about your Revolut account“ erhalten und teilte längere Auszüge daraus.
Er fordert, dass entweder Revolut oder die imitierte Behörde den Namen der Institution öffentlich macht, damit andere Banken und Krypto-Börsen ihre eigenen Register für behördliche Auskunftsersuchen nach derselben Absenderadresse durchforsten können. Ein Support-Konto von Revolut antwortete lediglich, man nehme Datenschutz „sehr ernst“.
Bitcoin-Daten erhöhen das Risiko gezielter Angriffe
Öffentliche Blockchains machen Geldflüsse sichtbar, enthalten aber weder Pass-Scans noch Berufsbezeichnung oder Wohnanschrift. Werden dagegen verifizierte Identitäten mit vollständigen Transaktionsverläufen verknüpft, verwandelt sich eine gewöhnliche Compliance-Akte in eine detaillierte Landkarte: Wer hält welche Assets – und wo schläft diese Person nachts?
Revolut stand bereits zuvor wegen Datenschutzproblemen in der Kritik. Die litauische Datenschutzaufsicht meldete im September 2022 einen Social-Engineering-Angriff auf Mitarbeiter, von dem 50.150 Revolut-Kunden betroffen waren. Zudem widersprach das Unternehmen einem Forenbeitrag vom Juli 2026, in dem behauptet wurde, 75 Millionen Datensätze von Revolut stünden zum Verkauf. Gegenüber Sicherheitsforschern erklärte Revolut, das angebotene Datenpaket sei höchstwahrscheinlich fingiert.
Weiterlesen: Nvidias Jensen Huang: Sicherheitsanbieter profitieren von Panik über KI-Bedrohungen
