Revolut a informé un groupe de clients que leurs passeports, adresses personnelles et historiques complets de transactions en Bitcoin (btc) avaient été transmis à un tiers non autorisé, après qu’une fausse réquisition gouvernementale a franchi avec succès ses contrôles internes.
Points clés :
- Revolut a communiqué des documents d’identité et des historiques de transactions en Bitcoin après avoir pris pour authentique une réquisition frauduleuse se présentant comme émanant des autorités.
- La fintech assure que les fonds sont en sécurité et que les régulateurs ont été prévenus, mais n’a ni nommé l’autorité usurpée ni indiqué le nombre de clients touchés.
- Selon les enquêteurs, la fuite paraît limitée en volume et ciblerait surtout des clients fortunés.
Un avis de Revolut met en lumière l’exposition sur Bitcoin
La banque a envoyé un courriel aux clients concernés tard dans la soirée du 11 septembre. L’enquêteur on-chain ZachXBT a ensuite signalé ce message sur sa chaîne Telegram quelques heures plus tard.
Selon cet avis, la demande de données provenait d’un compte non autorisé, créé au sein même du nom de domaine d’une autorité gouvernementale officielle et disposant de véritables informations d’authentification de domaine. Revolut a traité la réquisition, estimant de manière qu’elle juge « raisonnable » qu’elle était authentique.
Les informations divulguées comprennent les nom et prénom complets, dates de naissance, professions, adresses postales, adresses e‑mail, numéros de téléphone, copies de passeport ou de permis de conduire, ainsi que le selfie pris lors de l’ouverture de compte.
Des relevés de compte avec IBAN, dates d’ouverture et références de portefeuilles ont également été transmis, de même que les historiques complets de retraits et de transactions, incluant les opérations en Bitcoin.
Revolut a ensuite contacté l’autorité en question pour vérifier la demande et, ce faisant, l’a alertée de l’existence de ce compte non autorisé domicilié sur son propre domaine. La société affirme que les fonds des clients restent en sécurité et qu’aucun mot de passe n’a été compromis. Les régulateurs ont été informés, mais Revolut n’a pas précisé combien de personnes étaient concernées.
À lire aussi : Ethereum se heurte à un mur d’offre à 2 800 $ alors que les flux vers les ETF bondissent à 216 M$
ZachXBT et Karpelès accentuent la pression sur Revolut
ZachXBT estime que l’incident est probablement circonscrit en taille et semble viser des clients à forte valeur nette. Il a ensuite publié des captures d’écran montrant que les deux comptes X de Revolut l’avaient bloqué, après qu’il a vérifié si la société avait communiqué publiquement sur l’affaire.
Mark Karpelès, ancien directeur général de Mt. Gox, indique avoir reçu l’alerte avec l’objet « Urgent security update about your Revolut account » et en a partagé de longs extraits.
Il plaide pour que Revolut ou l’autorité usurpée publie le nom de cette dernière, afin que les autres banques et plateformes d’échange puissent vérifier leurs registres de réquisitions judiciaires et rechercher cette même adresse de messagerie. Un compte d’assistance Revolut a répondu en affirmant que l’entreprise prend la confidentialité « très au sérieux ».
Des historiques Bitcoin qui accroissent le risque de ciblage
Les blockchains publiques indiquent la circulation des jetons, mais elles ne contiennent ni scan de passeport, ni profession, ni adresse postale. Associer une identité vérifiée à un historique de transactions exhaustif transforme un simple dossier de conformité en véritable cartographie de qui détient quoi, et où ces personnes dorment la nuit.
Revolut a déjà connu des difficultés en matière de protection des données. Le régulateur lituanien de la protection des données avait recensé 50 150 clients Revolut touchés par une attaque d’ingénierie sociale visant des employés en septembre 2022. La société a également contesté une annonce publiée sur un forum en juillet 2026, qui prétendait que 75 millions de ses enregistrements étaient en vente, assurant aux chercheurs que ce jeu de données était probablement fabriqué.
