Revolut memberi tahu sekelompok nasabah bahwa data sensitif mereka – mulai dari paspor, alamat tempat tinggal, hingga riwayat lengkap transaksi Bitcoin (btc) – telah jatuh ke tangan pihak ketiga yang tidak berwenang, setelah perusahaan menganggap sebuah permintaan palsu yang menyerupai surat resmi pemerintah sebagai permintaan yang sah.
Pokok Perkara:
- Revolut mengungkap dokumen identitas nasabah dan riwayat transaksi Bitcoin setelah memperlakukan permintaan pemerintah yang ternyata palsu sebagai otentik.
- Perusahaan menyatakan dana nasabah aman dan otoritas pengawas sudah diberi tahu, tetapi belum mengungkap lembaga mana yang disalahgunakan namanya maupun jumlah nasabah yang terdampak.
- Penyelidik menilai kebocoran ini tampaknya terbatas skalanya dan menyasar pemilik rekening dengan nilai aset tinggi.
Detail Pemberitahuan Revolut Soal Eksposur Bitcoin
Perusahaan mengirim surel kepada nasabah terdampak pada akhir 11 September. Beberapa jam kemudian, analis on-chain ZachXBT menyoroti pemberitahuan tersebut di kanal Telegram miliknya. Dalam surel itu dijelaskan bahwa permintaan data datang dari sebuah akun tidak sah yang dibuat di dalam domain resmi sebuah otoritas pemerintah, namun memiliki kredensial autentikasi domain yang valid. Revolut mengeksekusi permintaan itu dengan dalih keyakinan wajar bahwa permintaan tersebut asli.
Data yang dibocorkan meliputi nama lengkap, tanggal lahir, pekerjaan, alamat rumah, alamat email, nomor telepon, salinan paspor atau SIM, serta swafoto (selfie) yang diambil saat proses pembukaan akun.
Pernyataan rekening yang berisi IBAN, tanggal pembukaan, dan nomor referensi dompet juga ikut keluar, bersama catatan penarikan dan riwayat transaksi lengkap yang mencakup Bitcoin.
Revolut kemudian menghubungi otoritas terkait untuk memverifikasi permintaan tersebut, dan dengan langkah itu justru memberitahu lembaga tersebut bahwa ada akun tidak sah yang bersarang di domain resminya. Revolut menegaskan dana nasabah tetap aman dan tidak ada kata sandi yang dicuri. Regulator telah diberi tahu, namun perusahaan belum mengungkap berapa banyak nasabah yang terdampak.
Juga Baca: Ethereum Hadapi Tembok Penawaran di $2.800 Setelah Aliran Masuk ETF Sentuh $216 Juta
ZachXBT dan Karpelès Desak Revolut Lebih Transparan
ZachXBT menilai insiden ini kemungkinan berskala terbatas dan tampak menyasar nasabah beraset jumbo. Ia kemudian mengunggah tangkapan layar yang menunjukkan kedua akun Revolut di X telah memblokirnya, setelah ia mengecek apakah perusahaan memublikasikan pernyataan resmi.
Mark Karpelès, mantan CEO Mt. Gox, mengaku turut menerima surel peringatan dengan subjek “Urgent security update about your Revolut account” dan membagikan kutipan panjang dari isi pesan itu.
Ia berpendapat Revolut maupun otoritas yang identitasnya dipalsukan seharusnya menyebutkan nama lembaga tersebut secara terbuka, agar bank dan bursa lain bisa menelusuri log permintaan hukum mereka sendiri untuk mencari kotak surat (mailbox) yang sama. Akun dukungan Revolut kemudian membalas dengan menegaskan bahwa perusahaan sangat menjaga privasi nasabah.
Rekam Transaksi Bitcoin Perbesar Risiko Penargetan
Blockchain publik memperlihatkan pergerakan koin, tetapi tidak menyertakan pemindaian paspor, pekerjaan, maupun alamat jalan. Ketika identitas terverifikasi dipadukan dengan riwayat transaksi lengkap, berkas kepatuhan yang lazim berubah menjadi peta siapa memegang apa, dan di mana mereka tinggal.
Revolut bukan pertama kali tersangkut masalah data. Otoritas perlindungan data di Lituania sebelumnya mencatat 50.150 nasabah Revolut terdampak serangan social engineering terhadap staf pada September 2022. Perusahaan juga sempat membantah sebuah unggahan forum pada Juli 2026 yang mengklaim 75 juta data nasabah Revolut dijual bebas, dengan alasan kumpulan data itu kemungkinan besar palsu.
Baca Selanjutnya: Jensen Huang dari Nvidia Sebut Vendor Keamanan Diuntungkan Kepanikan Ancaman AI
