Revolut informó a un grupo de clientes de que sus pasaportes, direcciones particulares y el historial completo de sus transacciones en Bitcoin (btc) llegaron a manos de un tercero no autorizado, después de que la entidad diera por válida una solicitud gubernamental falsificada.
Claves del caso:
- Revolut cedió documentos de identidad de clientes e historiales de operaciones con Bitcoin al tratar como auténtica una petición gubernamental fraudulenta.
- La compañía asegura que los fondos están a salvo y que ha notificado a los reguladores, pero no ha identificado al organismo suplantado ni ha revelado cuántos clientes se han visto afectados.
- Investigadores apuntan a que el alcance sería limitado y enfocado en clientes de alto patrimonio.
El aviso de Revolut revela el alcance sobre Bitcoin
El banco envió un correo a los usuarios afectados a última hora del 11 de septiembre, y el investigador on-chain ZachXBT difundió el aviso en su canal de Telegram pocas horas después. El mensaje explicaba que la solicitud procedía de una cuenta no autorizada creada dentro del propio dominio de una autoridad gubernamental, con credenciales de autenticación de dominio válidas. Revolut actuó en base a lo que describió como una creencia razonable de que la petición era auténtica.
Los datos compartidos incluían nombre completo, fecha de nacimiento, profesión, domicilio, dirección de correo electrónico, número de teléfono, copias de pasaporte o carnet de conducir y la “selfie” tomada durante el alta.
También se enviaron extractos de cuenta con IBAN, fecha de apertura y número de referencia de la cartera, junto con registros de retiradas y un historial de transacciones completo que incluía operaciones en Bitcoin.
Más tarde, Revolut se puso en contacto con el organismo para verificar la solicitud y, al hacerlo, alertó a la autoridad de que una cuenta no autorizada operaba desde su propio dominio. La entidad subraya que los fondos de los clientes no corren peligro y que no se expusieron contraseñas. Los reguladores han sido informados, aunque la compañía sigue sin precisar el número de afectados.
También te puede interesar: Ethereum se topa con un muro de venta en 2.800 dólares tras dispararse las entradas a ETF hasta 216 millones
ZachXBT y Karpelès presionan a Revolut
ZachXBT afirmó que el incidente probablemente es de alcance limitado y que parece dirigido a clientes de alto patrimonio. Más tarde publicó capturas de pantalla que mostraban que las dos cuentas oficiales de Revolut en X lo habían bloqueado, después de que comprobara si la firma había comunicado algo en abierto.
Mark Karpelès, exconsejero delegado de Mt. Gox, aseguró haber recibido el aviso con el asunto «Actualización urgente de seguridad sobre tu cuenta de Revolut» y compartió amplios extractos del mismo.
Karpelès argumentó que Revolut o la autoridad suplantada deberían identificar públicamente al organismo, para que otros bancos y plataformas de intercambio puedan revisar sus propios registros de requerimientos legales y localizar correos provenientes del mismo buzón. Una cuenta de soporte de Revolut respondió asegurando que la compañía se toma muy en serio la privacidad.
Los registros de Bitcoin amplían el riesgo de ser objetivo
Las cadenas de bloques públicas permiten rastrear el movimiento de las monedas, pero no incluyen copias de pasaportes, profesiones ni direcciones físicas. Combinar una identidad verificada con un historial transaccional completo transforma un expediente de cumplimiento rutinario en un mapa detallado de quién posee qué y dónde duerme por la noche.
Revolut ya había afrontado problemas de datos en el pasado. El regulador de protección de datos de Lituania registró 50.150 clientes de Revolut afectados por un ataque de ingeniería social contra empleados en septiembre de 2022. La empresa también rechazó como falsa una oferta publicada en un foro en julio de 2026 que aseguraba que se vendían 75 millones de sus registros, señalando a los investigadores que probablemente se trataba de un conjunto de datos inventado.
Próxima lectura: Jensen Huang, de Nvidia, afirma que las empresas de ciberseguridad se benefician del pánico por las amenazas de IA
