Revolut soll laut CoinDesk Kundendaten offengelegt haben, nachdem das Unternehmen auf eine Notfallanfrage einer Regierung reagiert hatte, die später als betrügerisch eingestuft wurde. Die gemeldete Offenlegung umfasste Identitätsdokumente und Bitcoin-bezogene Datensätze. Eine Offenlegung privater Schlüssel, von Seed-Phrasen oder eines direkten Zugriffs auf Kundengelder wurde jedoch nicht gemeldet.

Der Vorfall wurde nicht als Übernahme eines Wallets durch einen Angreifer oder als Einbruch in ein Kundenkonto beschrieben. Stattdessen ereignete sich der mutmaßliche Fehler bei der Überprüfung einer Anfrage nach Kundendaten durch Revolut. Dies unterscheidet den Vorfall von einem typischen Hack einer Kryptobörse, bei dem ein Angreifer zunächst Kontoschutzmaßnahmen wie ein Passwort oder eine Zwei-Faktor-Authentifizierung überwinden muss, bevor er auf Gelder oder Informationen zugreifen kann.

Revolut informierte betroffene Nutzer, nachdem das Unternehmen die zuständige Behörde kontaktiert und festgestellt hatte, dass die Notfallanfrage nicht echt war. Der Hinweis wurde außerdem öffentlich auf X geteilt. Zum Zeitpunkt der Veröffentlichung hatte Revolut noch keine umfassendere öffentliche Stellungnahme abgegeben und nicht mitgeteilt, wie viele Konten betroffen waren. Das Ausmaß des Vorfalls bleibt daher unklar.

“Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026”

Der Beitrag wurde von Mark Karpelès auf X veröffentlicht. Die darin genannte URL ist unter verfügbar.

Warum die Bitcoin-bezogenen Datensätze wichtig sind

CoinDesk berichtete, dass die offengelegten Informationen Identitätsdokumente, Kontoinformationen, Abhebungsaufzeichnungen und eine Bitcoin-bezogene Transaktionshistorie umfassten. Der Hinweis an die Kunden deutete nicht darauf hin, dass private Schlüssel, Seed-Phrasen oder ein direkter Zugriff auf Kundengelder offengelegt worden waren.

Blockchain-Datensätze enthalten keine Passdaten. Das Sicherheitsrisiko entsteht, wenn die Aufzeichnungen einer regulierten Plattform Transaktionen mit einer verifizierten Identität verknüpfen. Falls Wallet-Referenzen, Abhebungsdetails oder Transaktionskennungen mit öffentlichen Blockchain-Aktivitäten abgeglichen werden können, könnte diese Verbindung für Angreifer auch dann noch nützlich sein, wenn ein Kunde sein Kontopasswort ändert.

Revolut erklärte, dass das Unternehmen ein internes Register für die Krypto-Positionen seiner Kunden führt. Daher könnte sich die gemeldete Bitcoin-Transaktionshistorie auf innerhalb von Revolut aufgezeichnete Aktivitäten beziehen und nicht auf eine vollständige Liste öffentlicher Blockchain-Adressen. Revolut sollte klarstellen, ob die offengelegten Informationen externe Wallet-Adressen, Transaktionskennungen, Empfängerinformationen oder lediglich die interne Kontohistorie enthielten. Diese Kategorien würden unterschiedliche Risiken bedeuten und beeinflussen, wie einfach ein Angreifer die Identität eines Kunden mit sichtbaren Aktivitäten auf der Blockchain verknüpfen könnte.

Kundengelder könnten sicher bleiben, während das Risiko von Identitätsvortäuschungen steigt

Der Vorfall wurde nicht als Verwahrungsbruch im üblichen Sinne beschrieben. Ein detailliertes Profil aus Identitäts- und Aktivitätsdaten kann jedoch über einen längeren Zeitraum betrügerische Kontaktaufnahmen ermöglichen. Wer weiß, dass eine Person Bitcoin genutzt hat, über deren Kontaktdaten verfügt und eine echte Abhebung nennen kann, hätte eine glaubwürdigere Grundlage, um sich als Support- oder Compliance-Mitarbeiter auszugeben.

Ein ähnliches Risiko wurde nach dem Datendiebstahl bei Bits of Gold festgestellt. Selbst wenn Vermögenswerte und private Schlüssel weiterhin unzugänglich sind, können Identitäts- und Wallet-bezogene Datensätze Versuche der Identitätsvortäuschung überzeugender machen.

Ein Betrüger benötigt keine Seed-Phrase, um solche Informationen auszunutzen. Er könnte stattdessen einen Einmalcode anfordern, behaupten, ein Wallet müsse auf eine „sichere“ Adresse übertragen werden, oder das Opfer auf eine Kopie einer legitimen Support-Seite weiterleiten. Die angemessene Reaktion ist Überprüfung und Vorsicht, nicht eine überstürzte Überweisung.

Nutzer, die eine Benachrichtigung von Revolut erhalten haben, sollten diese über den Support-Kanal der App oder durch einen direkten Besuch der Revolut-Website bestätigen, anstatt Links in einer E-Mail oder einem Beitrag in sozialen Medien zu folgen. Sie sollten erfragen, welche konkreten Datenfelder offengelegt wurden, und eine Kopie der Antwort des Unternehmens aufbewahren.

Nutzer, die keine Benachrichtigung erhalten haben, müssen keine Vermögenswerte verschieben und nicht davon ausgehen, dass ihre Informationen offengelegt wurden. Sie sollten auf eine Nachricht in der App oder eine Benachrichtigung über die verifizierten Kanäle von Revolut achten, die Sicherheit ihrer Wiederherstellungs-E-Mail-Adresse und Telefonnummer überprüfen und wachsam gegenüber unaufgeforderten Nachrichten bleiben, in denen Krypto-Abhebungen erwähnt oder sie aufgefordert werden, ein Wallet zu „sichern“.

Die Änderung eines Passworts kann den Kontozugriff schützen, eine Offenlegung von Identitätsdaten jedoch nicht rückgängig machen. Die unmittelbare Priorität besteht daher darin, Identitätsvortäuschungen zu verhindern, statt eine dringende Überweisung vorzunehmen. Personen, die befürchten, dass Daten aus Identitätsdokumenten betroffen sein könnten, sollten unaufgeforderte Nachrichten zur Kontowiederherstellung, Compliance oder Wallet-Verifizierung als hohes Risiko betrachten. Kein seriöser Mitarbeiter benötigt eine Seed-Phrase, ein Passwort oder einen einmaligen Authentifizierungscode.

Das European Data Protection Board führt Betrug, Identitätsdiebstahl und finanzielle Verluste als mögliche Folgen von Verletzungen des Schutzes personenbezogener Daten auf.

Die entscheidende offene Frage ist die Verknüpfbarkeit. Revolut muss erklären, ob die offengelegten Datensätze externe Wallet-Adressen, Transaktionskennungen oder lediglich die interne Kontohistorie enthielten. Diese Information wird bestimmen, ob betroffene Kunden mit einem herkömmlichen Risiko von Identitätsbetrug oder mit einer dauerhafteren Verbindung zwischen ihrer tatsächlichen Identität und öffentlich nachverfolgbaren Bitcoin-Aktivitäten rechnen müssen.

Der ursprüngliche Bericht erschien auf Coindoo. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechts-, Finanz- oder Cybersicherheitsberatung dar.