Revolut уведомил часть клиентов, что копии их паспортов, домашние адреса и полная история операций с Bitcoin (btc) оказались у стороннего лица после того, как банк принял поддельный запрос от имени госоргана за подлинный.
Главное:
- Revolut раскрыл документы, удостоверяющие личность, и историю транзакций в Bitcoin, ошибочно посчитав мошеннический запрос госоргана официальным.
- В компании уверяют, что средства клиентов в безопасности и регуляторы уведомлены, но не раскрывают, о каком именно ведомстве идет речь и сколько пользователей пострадало.
- По оценке расследователей, инцидент затронул ограниченное число счетов и был нацелен в основном на держателей крупных капиталов.
Уведомление Revolut: масштабы утечки данных по Bitcoin
Банк разослал письма затронутым клиентам поздно вечером 11 сентября, а ончейн‑аналитик ZachXBT обратил внимание на уведомление в своем Telegram‑канале спустя несколько часов. В письме говорилось, что запрос поступил с несанкционированной учетной записи, созданной внутри домена реального госоргана и прошедшей доменную аутентификацию. Revolut выполнил требование, исходя, как он утверждает, из «разумного убеждения» в его подлинности.
В утекший массив вошли полные имена, даты рождения, профессии, домашние адреса, e‑mail, номера телефонов, копии паспортов или водительских удостоверений, а также селфи, сделанные клиентами при онбординге.
Помимо этого, были раскрыты выписки по счетам с указанием IBAN, даты открытия, референсы кошельков, сведения о выводах средств и полная история транзакций, включая операции с Bitcoin.
Позже Revolut связался с соответствующим ведомством для проверки запроса и тем самым уведомил его о существовании неавторизованной учетной записи в его собственном домене. Банк подчеркнул, что средства клиентов не пострадали, пароли не были скомпрометированы. Регуляторы были проинформированы, однако компания не раскрывает масштаб инцидента.
Также по теме: Ethereum сталкивается с сопротивлением на $2 800 после роста притока в ETF до $216 млн
ZachXBT и Карпелès требуют от Revolut большей прозрачности
По словам ZachXBT, утечка, вероятно, носит точечный характер и ориентирована на клиентов с крупными остатками. Позже он опубликовал скриншоты, подтверждающие, что оба официальных аккаунта Revolut в X заблокировали его после того, как он проверил, публиковала ли компания публичный комментарий.
Бывший глава биржи Mt. Gox Марк Карпелès сообщил, что получил такое же письмо с темой «Urgent security update about your Revolut account» и опубликовал длинные выдержки из него.
Он считает, что Revolut или пострадавшее ведомство должны публично назвать госорган: это позволило бы другим банкам и криптобиржам проверить собственные журналы правовых запросов на наличие той же почты. В ответ служба поддержки Revolut заявила, что компания «серьезно относится к конфиденциальности».
Почему раскрытие данных по Bitcoin усиливает риски
Публичные блокчейны показывают движение монет, но в них нет сканов паспортов, указаний профессии или адреса проживания. Когда к полному ончейн‑треку добавляется подтвержденная личность, стандартное комплаенс‑досье превращается в подробную карту: кто сколько держит и где живет.
Revolut уже сталкивался с проблемами, связанными с данными. В сентябре 2022 года литовский регулятор по защите данных зафиксировал 50 150 клиентов Revolut, пострадавших в результате атаки социальной инженерии на сотрудников. В июле 2026 года компания также оспорила объявление на форуме о продаже базы из 75 млн ее записей, заявив исследователям, что утечка, скорее всего, сфабрикована.
Читайте далее: Дженсен Хуанг из Nvidia: поставщики кибербезопасности зарабатывают на панике вокруг ИИ‑угроз
