Según CoinDesk, Revolut habría divulgado información de clientes después de actuar ante una solicitud gubernamental de emergencia que posteriormente se determinó que era fraudulenta. La divulgación reportada incluyó documentos de identidad y registros relacionados con Bitcoin, aunque no se ha reportado la exposición de claves privadas, frases semilla ni acceso directo a los fondos de los clientes.

El incidente no fue descrito como un ataque en el que alguien tomara el control de una billetera o ingresara a la cuenta de un cliente. En cambio, la falla aparente ocurrió mientras Revolut verificaba una solicitud de datos de clientes. Esto lo diferencia de un hackeo típico de un exchange, en el que un atacante supera primero las protecciones de la cuenta, como una contraseña o la autenticación de dos factores, antes de acceder a fondos o información.

Revolut notificó a los usuarios afectados después de contactar a la autoridad correspondiente y determinar que la solicitud de emergencia no era auténtica. El aviso también se compartió públicamente en X. Al momento de redactar este artículo, Revolut no había emitido una declaración pública más amplia ni revelado cuántas cuentas fueron afectadas, por lo que el alcance del incidente no estaba claro.

“Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026”

La publicación fue realizada por Mark Karpelès on X, con la URL mencionada disponible en

Por qué importan los registros relacionados con Bitcoin

CoinDesk informó que el material divulgado incluía documentos de identidad, información de la cuenta, registros de retiros e historial de transacciones relacionadas con Bitcoin. El aviso a los clientes no indicaba que se hubieran expuesto claves privadas, frases semilla ni acceso directo a los fondos de los clientes.

Los registros de la cadena de bloques no contienen datos del pasaporte. La preocupación de seguridad surge cuando los registros de una plataforma regulada conectan las transacciones con una identidad verificada. Si las referencias de billeteras, los detalles de retiros o los identificadores de transacciones pueden relacionarse con actividad pública en la cadena de bloques, esa conexión podría seguir siendo útil para los atacantes incluso después de que un cliente cambie la contraseña de su cuenta.

Revolut ha dicho que mantiene un registro interno de la exposición de sus clientes a las criptomonedas. Como resultado, el historial de transacciones de Bitcoin reportado podría referirse a actividad registrada dentro de Revolut, en lugar de ser una lista completa de direcciones públicas de la cadena de bloques. Revolut debería aclarar si la información divulgada incluía direcciones de billeteras externas, identificadores de transacciones, información de destino o únicamente el historial interno de la cuenta. Esas categorías implicarían distintos niveles de exposición y afectarían la facilidad con la que un atacante podría vincular la identidad de un cliente con actividad visible en la cadena.

Los fondos de los clientes podrían seguir seguros mientras aumenta el riesgo de suplantación

El incidente no fue descrito como una vulneración de custodia en el sentido habitual. Sin embargo, un perfil detallado de identidad y actividad puede facilitar contactos fraudulentos durante un periodo prolongado. Alguien que sepa que una persona utilizó Bitcoin, tenga su información de contacto y pueda mencionar un retiro legítimo tendría una base más creíble para hacerse pasar por un representante de soporte o cumplimiento.

Una preocupación similar fue identificada después de la vulneración de datos de clientes de Bits of Gold. Incluso cuando los activos y las claves privadas siguen siendo inaccesibles, los registros relacionados con la identidad y las billeteras pueden hacer que los intentos de suplantación sean más convincentes.

Un estafador no necesita una frase semilla para explotar esa información. Podría solicitar un código de un solo uso, afirmar que una billetera debe transferirse a una dirección “segura” o dirigir a la víctima a una copia de una página legítima de soporte. La respuesta adecuada es verificar y actuar con cautela, no realizar una transferencia apresurada.

Los usuarios que recibieron una notificación de Revolut deberían confirmarla a través del canal de soporte de la aplicación o visitando directamente Revolut, en lugar de seguir enlaces incluidos en un correo electrónico o una publicación en redes sociales. También deberían preguntar qué campos de datos específicos fueron divulgados y conservar una copia de la respuesta de la empresa.

Los usuarios que no hayan recibido una notificación no necesitan mover sus activos ni asumir que su información fue expuesta. Deberían estar atentos a un mensaje dentro de la aplicación o a una notificación enviada mediante los canales verificados de Revolut, revisar la seguridad de su dirección de correo electrónico y número telefónico de recuperación, y mantenerse alerta ante mensajes no solicitados que mencionen retiros de criptomonedas o les pidan “proteger” una billetera.

Cambiar una contraseña puede proteger el acceso a la cuenta, pero no puede revertir la divulgación de información de identidad. Por ello, la prioridad inmediata es prevenir la suplantación en lugar de realizar una transferencia urgente. Cualquier persona preocupada por una posible exposición de datos de documentos de identidad debería considerar de alto riesgo los mensajes no solicitados sobre recuperación de cuentas, cumplimiento o verificación de billeteras. Ningún agente legítimo necesita una frase semilla, una contraseña ni un código de autenticación de un solo uso.

La Junta Europea de Protección de Datos incluye el fraude, el robo de identidad y las pérdidas financieras entre las posibles consecuencias de las vulneraciones de datos personales.

La cuestión clave aún sin resolver es la posibilidad de vinculación. Revolut debe explicar si los registros divulgados incluían direcciones de billeteras externas, identificadores de transacciones o únicamente el historial interno de la cuenta. Esa información determinará si los clientes afectados enfrentan un riesgo convencional de fraude de identidad o una conexión más duradera entre sus identidades reales y la actividad de Bitcoin que puede rastrearse públicamente.

El informe original apareció en Coindoo. Este artículo tiene fines informativos únicamente y no constituye asesoramiento legal, financiero ni de ciberseguridad.