Revolut heeft een groep klanten laten weten dat kopieën van hun paspoorten, huisadressen en volledige Bitcoin-(btc)-transactiehistorie bij een onbevoegde derde partij zijn beland, nadat een vervalst overheidsverzoek door de controleprocedures van de bank was geglipt.
Belangrijkste punten
- Revolut heeft identiteitsdocumenten en Bitcoin-transactiegegevens van klanten verstrekt nadat een frauduleus overheidsverzoek als echt werd behandeld.
- Volgens Revolut zijn klanttegoeden veilig en zijn toezichthouders geïnformeerd, maar de bank noemt noch de betrokken instantie, noch het aantal getroffen klanten.
- Onderzoekers vermoeden dat de lek omvang beperkt is en zich richt op vermogende rekeninghouders.
Revolut-waarschuwing onthult blootstelling van Bitcoin-gegevens
De bank mailde de getroffen klanten laat op 11 september. On-chainonderzoeker ZachXBT signaleerde de waarschuwing enkele uren later op zijn Telegram-kanaal. Volgens de e-mail kwam het verzoek van een ongeautoriseerd account dat was aangemaakt binnen het domein van een officiële overheidsinstantie, mét geldige domeinauthenticatie. Revolut handelde op basis van wat het een redelijke veronderstelling noemde dat het verzoek authentiek was.
Het vrijgegeven pakket bestond uit volledige namen, geboortedata, beroepen, huisadressen, e-mailadressen, telefoonnummers, kopieën van paspoort of rijbewijs en de selfie die tijdens onboarding is gemaakt.
Ook rekeningafschriften met IBAN’s, openingsdata en wallet-referentienummers zijn gedeeld, samen met opnametransacties en volledige transactiehistorie, inclusief Bitcoin-betalingen.
Nadat Revolut het verzoek had uitgevoerd, nam de bank alsnog contact op met de betreffende instantie om de rechtmatigheid te verifiëren. Daarmee wees Revolut de autoriteit erop dat er een ongeautoriseerd account op diens eigen domein actief was. Volgens de bank zijn klanttegoeden niet in gevaar geweest en zijn geen wachtwoorden buitgemaakt. Toezichthouders zijn geïnformeerd, maar Revolut zegt niet hoeveel klanten precies zijn geraakt.
Ook interessant: Ethereum stuit op aanbodmuur rond $2.800 na ETF-instroom van $216 miljoen
ZachXBT en Karpelès voeren druk op Revolut op
ZachXBT stelde dat het incident waarschijnlijk beperkt is in omvang en lijkt te zijn gericht op klanten met een hoog vermogen. Later publiceerde hij schermafbeeldingen waaruit blijkt dat beide Revolut-accounts op X hem hebben geblokkeerd, nadat hij had gecontroleerd of de bank publiekelijk iets had gemeld.
Mark Karpelès, de voormalig topman van Mt. Gox, meldde dat hij de waarschuwing ontving met als onderwerpregel „Urgente veiligheidsupdate over uw Revolut-account” en deelde lange passages uit de e-mail.
Hij betoogde dat Revolut of de nagebootste overheidsinstantie de naam van het betrokken agentschap openbaar zou moeten maken, zodat andere banken en cryptobeurzen hun eigen registers met juridische verzoeken kunnen doorzoeken op hetzelfde e-mailadres. Een ondersteuningsaccount van Revolut reageerde dat de bank privacy „zeer serieus” neemt.
Bitcoin-gegevens vergroten risico op gerichte aanvallen
Openbare blockchains tonen waar coins naartoe bewegen, maar bevatten geen paspoortscan, geen beroep en geen huisadres. Zodra een volledig geverifieerde identiteit wordt gekoppeld aan een complete transactiehistorie, verandert een standaard compliance-dossier in een gedetailleerde kaart van wie welke tegoeden beheert – en waar die persoon ’s nachts slaapt.
Revolut kreeg eerder al te maken met dataproblemen. De Litouwse privacytoezichthouder registreerde in september 2022 een incident waarbij 50.150 Revolut-klanten werden getroffen door een social-engineeringaanval op medewerkers. Ook bestreed de bank een forumpost uit juli 2026 waarin werd beweerd dat 75 miljoen klantdossiers te koop stonden; Revolut zei tegen onderzoekers dat die dataset waarschijnlijk verzonnen was.
Lees verder: Nvidia-topman Jensen Huang: beveiligingsbedrijven profiteren van AI-angst voor cyberdreigingen
