Revolut scheint sensible Kundeninformationen offengelegt zu haben, nachdem das Unternehmen auf eine betrügerische Anfrage reagiert hatte, die den Anschein erweckte, von einer legitimen Regierungsbehörde zu stammen.

Der Onchain-Ermittler ZachXBT machte den Vorfall am 12. Sept. öffentlich. Seinen Angaben zufolge verwendete die Anfrage die offizielle E-Mail-Domain der Behörde und bestand die Domain-Authentifizierungsprüfungen. Revolut stellte später fest, dass die Kommunikation nicht autorisiert war.

Die Zahl der betroffenen Kunden ist weiterhin unklar. ZachXBT erklärte, der Vorfall scheine in seinem Umfang begrenzt gewesen zu sein und könnte sich gegen vermögende Nutzer gerichtet haben. Zu den möglicherweise offengelegten Informationen gehörten Identitätsdokumente, Privatadressen, Telefonnummern und Finanzunterlagen.

Revolut legte Adressen, Identitätsdokumente und Finanzdaten offen

Eine E-Mail, die Revolut Berichten zufolge an betroffene Nutzer verschickte, erklärte, dass sensible und personenbezogene Informationen offengelegt worden seien. Zu den Daten gehörten die vollständigen Namen, Geburtsdaten und Berufe der Kunden sowie Angaben aus Reisepässen und/oder Führerscheinen, Verifizierungs-Selfies, E-Mail-Adressen und Postanschriften.

In der E-Mail hieß es außerdem, dass die Antwort von Revolut Finanzinformationen wie Kontoauszüge, internationale Bankkontonummern (IBANs), Abhebungsaufzeichnungen und vollständige Transaktionshistorien einschließlich Bitcoin-Transaktionen umfasst habe.

Revolut, eine Neobank, die kürzlich eine bedingte Genehmigung für eine Banklizenz vom US Office of the Comptroller of the Currency (OCC) erhalten hat, erklärte in der E-Mail, dass die Konten der Nutzer weiterhin sicher seien. Das Unternehmen hat bisher keine öffentliche Stellungnahme zu dem Vorfall veröffentlicht. Eine weitere Stellungnahme des Unternehmens dürfte den Umfang des Vorfalls und die ergriffenen Maßnahmen klären, doch diese Details wurden in den hier verfügbaren Informationen bisher nicht öffentlich bekannt gegeben.

Betroffene Nutzer äußern Bedenken zu KYC und physischer Sicherheit

Einige betroffene Nutzer haben sich inzwischen öffentlich geäußert. Der Krypto-Unternehmer und Gründer der Aave Chan Initiative, Marc Zeller, bestätigte, dass auch er betroffen war. Er erklärte, Revolut habe ihm zunächst eine E-Mail geschickt, in der mehrere persönliche Angaben angefordert und mit der Schließung seines Kontos innerhalb von 20 Tagen gedroht wurde. Zeller glaubt nun, dass das Fintech-Unternehmen zu diesem Zeitpunkt auf Grundlage der betrügerischen Regierungsanfrage handelte.

Zeller kritisierte die Know-your-Customer-Anforderungen (KYC) und erklärte, sie hätten „keinen nennenswerten Nutzen gebracht und viele Menschen in Gefahr gebracht“.

Die Offenlegung könnte das Risiko der betroffenen Kunden für Phishing und andere gezielte Betrugsversuche erhöhen. Die Bekanntgabe von Privatadressen gibt zudem Anlass zur Sorge über sogenannte Wrench-Angriffe, bei denen Kriminelle Krypto-Nutzer physisch angreifen, um deren Vermögenswerte zu stehlen.

Laut CertiK gab es im ersten Halbjahr 2026 insgesamt 52 bestätigte Wrench-Angriffe, davon 33 in Frankreich. Französische Behörden meldeten eine höhere Zahl. Der französische Innenminister Laurent Nuñez erklärte, im ersten Halbjahr habe es 77 mit Kryptowährungen verbundene Entführungs- und Erpressungsfälle gegeben.

CertiK zufolge belief sich das finanzielle Schadensrisiko durch diese Angriffe auf $124 Millionen, gegenüber $10.5 Millionen im ersten Halbjahr 2025. Das Unternehmen nannte umfangreiche Datenlecks als einen Faktor für die hohe Konzentration der Angriffe in Frankreich.

Quellen: Ermittlungen von ZachXBT, Marc Zeller auf X, CertiK-Bericht, The Market Periodical.