Revolut comunicou a um grupo de clientes que cópias dos seus passaportes, moradas e históricos completos de transações em Bitcoin (btc) foram partilhados com um terceiro não autorizado, depois de um pedido governamental forjado ter passado nos controlos internos.
Pontos-chave:
- A Revolut divulgou documentos de identificação de clientes e históricos de transações em Bitcoin ao tratar como legítimo um pedido governamental fraudulento.
- A empresa afirma que os fundos estão seguros e que os reguladores foram notificados, mas não revelou qual a autoridade imitida nem quantos clientes foram afetados.
- Investigadores indicam que o incidente aparenta ser limitado em escala e direcionado para titulares de contas de elevado património.
Aviso da Revolut detalha exposição em Bitcoin
O banco digital enviou um e‑mail aos clientes afetados no final do dia 11 de setembro, e o investigador on-chain ZachXBT destacou o aviso no seu canal no Telegram algumas horas depois. A mensagem indicava que o pedido partira de uma conta não autorizada criada dentro do próprio domínio de uma autoridade governamental, com credenciais de autenticação de domínio válidas. A Revolut atuou ao abrigo do que classificou como uma “crença razoável” de que o pedido era autêntico.
Os dados expostos incluíam nomes completos, datas de nascimento, profissões, moradas, endereços de e‑mail, números de telefone, cópias de passaporte ou carta de condução e a selfie tirada no processo de onboarding.
Foram igualmente enviados extratos de conta com IBAN, datas de abertura e referências de carteiras, bem como registos de levantamentos e históricos completos de transações, incluindo operações em Bitcoin.
A Revolut entrou depois em contacto com a autoridade em causa para confirmar o pedido e, ao fazê-lo, alertou-a de que existia uma conta não autorizada criada no seu próprio domínio. A fintech sublinhou que os fundos dos clientes permanecem seguros e que nenhuma palavra‑passe foi comprometida. Os reguladores foram informados, embora a empresa não tenha divulgado o número de pessoas afetadas.
Veja também: Ethereum enfrenta barreira de oferta aos $2.800 após entradas em ETFs subirem para $216M
ZachXBT e Karpelès pressionam a Revolut
ZachXBT considerou que o incidente é provavelmente limitado em dimensão e parece ter tido como alvo clientes com patrimónios elevados. Mais tarde publicou capturas de ecrã a mostrar que ambos os perfis oficiais da Revolut na X o tinham bloqueado, depois de verificar se a empresa tinha feito algum comunicado público.
Mark Karpelès, ex‑CEO da extinta bolsa Mt. Gox, afirmou ter recebido o aviso com o assunto “Atualização urgente de segurança sobre a sua conta Revolut” e partilhou longos excertos do e‑mail.
Karpelès defendeu que a Revolut ou a autoridade imitada deveriam identificar publicamente o organismo em questão, para que outros bancos e plataformas de negociação possam cruzar os seus registos de pedidos legais com o mesmo endereço de e‑mail. Uma conta de apoio ao cliente da Revolut respondeu que a empresa leva a sério a privacidade dos utilizadores.
Dados de Bitcoin aumentam risco de mira personalizada
As blockchains públicas mostram para onde as moedas se movem, mas não incluem cópias de passaportes, profissões ou moradas. Ligar identidades verificadas a históricos integrais de transações transforma um dossiê de compliance rotineiro num mapa detalhado de quem detém o quê — e onde dorme à noite.
A Revolut já enfrentou problemas de dados no passado. O regulador de proteção de dados da Lituânia reportou 50.150 clientes da Revolut afetados por um ataque de engenharia social dirigido a funcionários em setembro de 2022. A empresa também contestou um anúncio, em fórum online, em julho de 2026, onde se afirmava que 75 milhões de registos da Revolut estavam à venda, dizendo a investigadores que o conjunto de dados era provavelmente fabricado.
Leia a seguir: Jensen Huang, da Nvidia, diz que empresas de cibersegurança lucram com o pânico em torno de ameaças de IA
