Revolut poinformował część klientów, że skany ich paszportów, adresy zamieszkania oraz pełna historia transakcji w Bitcoinie (btc) trafiły do nieuprawnionego podmiotu po tym, jak system spółki uznał sfałszowany wniosek rządowy za wiarygodny.
Najważniejsze ustalenia:
- Revolut ujawnił dokumenty tożsamości klientów i historię transakcji w bitcoinie, traktując sfałszowany wniosek jako autentyczne żądanie organu państwowego.
- Firma zapewnia, że środki są bezpieczne, a regulatorzy zostali powiadomieni, lecz nie ujawniła, o jaki urząd chodzi ani ilu klientów dotknął incydent.
- Według śledczych wyciek wygląda na ograniczony skalą i ukierunkowany na posiadaczy kont o wysokiej wartości.
Komunikat Revoluta ujawnia skalę ekspozycji na bitcoina
Bank wysłał e‑maile do poszkodowanych użytkowników późnym wieczorem 11 września, a analityk on-chain ZachXBT nagłośnił sprawę kilka godzin później na swoim kanale w serwisie Telegram. Z wiadomości wynikało, że żądanie danych pochodziło z nieautoryzowanego konta założonego w ramach domeny oficjalnego organu państwowego, korzystającego z prawdziwych danych uwierzytelniających tej domeny. Revolut zadziałał, kierując się – jak twierdzi – „uzasadnionym przekonaniem”, że wniosek jest prawdziwy.
Ujawnione dane obejmowały imiona i nazwiska, daty urodzenia, zawody, adresy zamieszkania, adresy e‑mail, numery telefonów, kopie paszportów lub praw jazdy oraz selfie wykonane w procesie weryfikacji tożsamości.
Do oszusta trafiły również wyciągi z rachunków z numerami IBAN, datami ich otwarcia oraz referencyjnymi numerami portfeli, a także dane o wypłatach i kompletne historie transakcji, w tym związane z bitcoinem.
Później Revolut skontaktował się z właściwym urzędem, by zweryfikować autentyczność żądania i w ten sposób uświadomił mu, że w jego domenie funkcjonowało nieautoryzowane konto. Spółka podkreśla, że środki klientów są bezpieczne, a hasła nie zostały naruszone. Regulatorzy zostali o incydencie poinformowani, jednak Revolut nie ujawnił, ile osób objęło naruszenie.
Zobacz też: Ethereum mierzy się z barierą podaży na 2 800 USD po tym, jak napływy do ETF sięgnęły 216 mln USD
ZachXBT i Karpelès naciskają na Revolut
ZachXBT ocenił, że incydent prawdopodobnie ma ograniczony zasięg i wygląda na ukierunkowany na klientów o wysokiej wartości majątku. Później opublikował zrzuty ekranu pokazujące, że oba oficjalne konta Revoluta na platformie X go zablokowały, po tym jak sprawdzał, czy spółka opublikowała jakiekolwiek publiczne oświadczenie.
Mark Karpelès, były prezes upadłej giełdy Mt. Gox, poinformował, że sam otrzymał ostrzegawczego e‑maila Revoluta o tytule „Pilna aktualizacja bezpieczeństwa dotycząca Twojego konta Revolut” i udostępnił jego obszerne fragmenty.
Według Karpelèsa Revolut lub podszywający się pod urząd podmiot powinni publicznie wskazać, o który organ chodzi, tak aby inne banki i giełdy mogły przeszukać własne rejestry wniosków prawnych pod kątem tej samej skrzynki mailowej. Na jeden z artykułów w sprawie odpowiedziało konto wsparcia Revoluta, zapewniając, że firma „bardzo poważnie traktuje prywatność klientów”.
Dane o bitcoinie zwiększają ryzyko precyzyjnego namierzania
Publiczne blockchainy pokazują przepływ środków, ale nie zawierają skanów paszportów, informacji o zawodzie czy dokładnego adresu zamieszkania. Połączenie zweryfikowanej tożsamości z kompletną historią transakcji zamienia standardową dokumentację compliance w szczegółową mapę tego, kto jakim majątkiem dysponuje i gdzie śpi w nocy.
Revolut już wcześniej miał problemy z bezpieczeństwem danych. Litewski organ ochrony danych odnotował, że we wrześniu 2022 r. w wyniku ataku socjotechnicznego na pracowników ucierpiało 50 150 klientów Revoluta. W lipcu 2026 r. spółka zakwestionowała też ogłoszenie na forum, w którym twierdzono, że na sprzedaż wystawiono 75 mln rekordów Revoluta, przekonując analityków, że baza jest prawdopodobnie sfabrykowana.
