Gefälschte Regierungs-E-Mail veranlasste Revolut zur Weitergabe von Bitcoin-Daten seiner Kunden
Wichtige Erkenntnisse
- •Die Offenlegung umfasste Namen, Kontaktdaten, Identitätsdokumente, Kontoauszüge, IBANs, Abhebungsdaten und vollständige Transaktionshistorien.
- •Referenzen von Bitcoin-Wallets und Transaktionshistorien gehörten zu den offengelegten Unterlagen, während private Schlüssel, Passwörter und vollständige Zahlungskartendaten nicht weitergegeben wurden.
- •Revolut hat nicht bestätigt, wie viele Kunden betroffen waren, oder erklärt, wie der nicht autorisierte Anfragende Zugriff auf die E-Mail-Domain der Regierungsbehörde erlangte.
- •Das Unternehmen hat nicht mitgeteilt, ob Aufsichtsbehörden informiert wurden, und nicht erläutert, wie die betrügerische Anfrage seine Kontrollen umgehen konnte.
- •Der Vorfall steht unabhängig von Revoluts bedingter Genehmigung für eine US-Banklizenz und der Einführung des EURR-Stablecoins.
Revolut gab Kundendaten, darunter Bitcoin-Transaktionshistorien, an eine nicht autorisierte Partei weiter, nachdem das Unternehmen eine vermeintlich legitime Regierungsanfrage erhalten hatte. Die Anfrage verwendete die E-Mail-Domain einer offiziellen Regierungsbehörde und bestand die standardmäßigen Domain-Authentifizierungsprüfungen.
Das Unternehmen erklärte, es habe der Anfrage entsprochen, weil die Nachricht echt wirkte. Revolut hat die Behörde, deren Domain verwendet wurde, nicht identifiziert und nicht erklärt, wie der nicht autorisierte Absender Zugriff darauf erlangte.
⚠️ ALERT: Revolut falls for a FAKE government request, exposing sensitive personal information of customers in a disturbing data breach. Revolut disclosed that it complied with a fraudulent government request using a spoofed official email and valid credentials, exposing PII… pic.twitter.com/3RPO6OYs1N
— Coin Bureau (@coinbureau) September 12, 2026
https://x.com/coinbureau/status/2098684872395301092?ref_src=twsrc%5Etfw
Welche Daten wurden offengelegt
Die offengelegten Unterlagen enthielten eine breite Palette persönlicher und finanzieller Informationen, darunter die vollständigen Namen, Geburtsdaten, Berufe, Postanschriften, E-Mail-Adressen und Telefonnummern der Kunden.
Auch Identitätsdokumente wie Reisepässe und Führerscheine wurden weitergegeben, ebenso wie während der Identitätsprüfung eingereichte Selfies. Revolut erklärte, dass keine biometrischen Gesichtstelemetriedaten enthalten gewesen seien.
Finanzinformationen machten einen wesentlichen Teil der Offenlegung aus. Zu den an den nicht autorisierten Anfragenden übermittelten Unterlagen gehörten Kontoauszüge, IBANs, Daten der Kontoeröffnung, Abhebungsdaten und vollständige Transaktionshistorien.
In den Kontoauszügen waren Referenznummern von Bitcoin-Wallets enthalten, außerdem wurden Bitcoin-Transaktionshistorien offengelegt. Dadurch könnten die Finanzaktivitäten von Krypto-Nutzern mit deren Identität verknüpft werden.
Revolut erklärte, dass private Schlüssel, Kontopasswörter und vollständige Zahlungskartendaten nicht enthalten gewesen seien.
Wer war betroffen
Der On-Chain-Ermittler ZachXBT teilte die Kundenmitteilung am 11. September auf Telegram. Er erklärte, der Vorfall scheine in seinem Umfang begrenzt gewesen zu sein und könnte auf vermögende Nutzer abgezielt haben. Revolut hat nicht bestätigt, wie viele Kunden betroffen waren.
Revolut betreut weltweit mehr als 80 Millionen Kunden. Diese Zahl entspricht jedoch der gesamten Nutzerbasis und gibt nicht an, wie viele Kunden an diesem Vorfall beteiligt waren. Aus der Kundenmitteilung geht außerdem weder hervor, ob jeder betroffene Kunde jede Art von Unterlage hinterlegt hatte, noch wie die betroffenen Personen ausgewählt wurden.
Regulatorischer und sicherheitsbezogener Kontext
Das britische Information Commissioner’s Office weist darauf hin, dass Datenschutzverletzungen zu Identitätsdiebstahl, Betrug und finanziellen Verlusten führen können. Aufsichtsbehörden verlangen von Organisationen, bestimmte Datenschutzverletzungen innerhalb von 72 Stunden zu melden und betroffene Nutzer umgehend zu informieren.
Der von ZachXBT geteilte Screenshot der Mitteilung bestätigt nicht, ob Revolut eine Aufsichtsbehörde informiert hat oder wann das Unternehmen erfahren hat, dass die Anfrage betrügerisch war. Revolut hat sich über die Kundenmitteilung hinaus nicht öffentlich zu dem Vorfall geäußert und die Behörde, deren E-Mail-Domain verwendet wurde, nicht identifiziert. Weitere öffentliche Informationen wären erforderlich, um die Zahl der betroffenen Kunden, eine mögliche Benachrichtigung von Aufsichtsbehörden, die Umgehung der internen Kontrollen durch die betrügerische Anfrage und eine mögliche Beteiligung weiterer Unterlagen zu klären.
Die Offenlegung erfolgt zu einem Zeitpunkt, an dem Revolut seine Dienstleistungen ausweitet. Am 3. September erhielt das Unternehmen vom Office of the Comptroller of the Currency eine bedingte Genehmigung für eine US-Banklizenz. Im August führte Revolut seinen an den Euro gekoppelten Stablecoin EURR für ausgewählte europäische Kunden ein.
Diese Entwicklungen stehen unabhängig von der Datenoffenlegung. Revolut hat keine betroffenen Nutzer als in den Vereinigten Staaten ansässig identifiziert.
Quelle: https://coincentral.com/fake-government-email-fooled-revolut-into-handing-over-your-bitcoin-records/
