Revolut informou a um grupo de clientes que seus passaportes, endereços residenciais e históricos completos de transações em Bitcoin (btc) foram parar nas mãos de um terceiro não autorizado após o banco tratar um pedido governamental falsificado como se fosse legítimo.
Pontos-chave:
- A Revolut compartilhou documentos de identidade e históricos de transações em Bitcoin de clientes depois de considerar autêntico um pedido governamental fraudulento.
- O banco afirma que os fundos estão seguros e que reguladores foram avisados, mas não revelou qual órgão foi falsificado nem quantos clientes foram afetados.
- Investigadores dizem que o vazamento parece ter sido limitado e focado em clientes de alta renda.
Comunicado da Revolut detalha exposição em Bitcoin
O banco enviou e-mails aos usuários afetados no fim da noite de 11 de setembro, e o investigador on-chain ZachXBT destacou o aviso em seu canal no Telegram poucas horas depois. Segundo a mensagem, a solicitação partiu de uma conta não autorizada criada dentro do próprio domínio de uma autoridade governamental, usando credenciais de autenticação de domínio válidas. A Revolut atendeu ao pedido sob o que classificou como “crença razoável” de que a demanda era autêntica.
Os dados compartilhados incluíam nome completo, data de nascimento, profissão, endereço residencial, e-mail, telefone, cópias de passaporte ou carteira de motorista e a selfie tirada no processo de abertura de conta.
Extratos de conta com IBAN, datas de abertura e números de referência de carteiras também foram enviados, junto com registros de saques e históricos de transação completos que incluíam operações em Bitcoin.
A Revolut entrou em contato posteriormente com o órgão para checar a solicitação e, ao fazer isso, alertou a autoridade de que havia uma conta não autorizada operando dentro de seu domínio oficial. O banco reiterou que os fundos dos clientes continuam seguros e que nenhuma senha foi exposta. Os reguladores foram informados, mas a empresa ainda não divulgou o número de clientes atingidos.
Leia também: Ethereum enfrenta barreira de oferta em US$ 2.800 após ETFs somarem US$ 216 mi em entradas
ZachXBT e Karpelès pressionam a Revolut
ZachXBT avaliou que o caso provavelmente é restrito em escala e parece mirado em clientes de alta renda. Ele divulgou posteriormente capturas de tela mostrando que os dois perfis oficiais da Revolut no X o bloquearam, depois que ele checou se a empresa havia comentado o episódio publicamente.
Mark Karpelès, ex-CEO da Mt. Gox, afirmou ter recebido o aviso com o assunto “Atualização urgente de segurança sobre sua conta Revolut” e publicou longos trechos do e-mail.
Karpelès defendeu que a Revolut ou o órgão falsificado revele publicamente qual autoridade foi alvo, para que outros bancos e corretoras possam verificar seus próprios registros de requisições legais em busca do mesmo endereço de e-mail. Um perfil de atendimento da Revolut respondeu afirmando que a empresa leva a privacidade “muito a sério”.
Registros de Bitcoin aumentam risco de rastreamento
Blockchains públicas mostram para onde as moedas se movem, mas não carregam cópia de passaporte, profissão nem endereço residencial. Quando se associa uma identidade verificada a um histórico de transações completo, um dossiê rotineiro de compliance vira praticamente um mapa de quem detém quais ativos — e onde essa pessoa dorme à noite.
Não é a primeira vez que a Revolut enfrenta problemas com dados. O regulador de proteção de dados da Lituânia registrou 50.150 clientes afetados por um ataque de engenharia social contra funcionários da empresa em setembro de 2022. Em julho de 2026, a fintech também contestou um anúncio em fórum que dizia oferecer 75 milhões de registros da Revolut à venda, alegando a pesquisadores que o conjunto de dados provavelmente era fabricado.
Próxima leitura: Jensen Huang, da Nvidia, diz que empresas de segurança se beneficiam do pânico com ameaças de IA
