Revolut aurait divulgué des informations clients après avoir donné suite à une demande gouvernementale urgente qui s’est ensuite révélée frauduleuse, selon CoinDesk. La divulgation aurait inclus des documents d’identité et des données liées au Bitcoin, bien qu’aucune exposition de clés privées, de phrases de récupération ou d’accès direct aux fonds des clients n’ait été signalée.

L’incident n’a pas été décrit comme une prise de contrôle de portefeuille par un attaquant ou comme une intrusion dans le compte d’un client. La défaillance apparente s’est plutôt produite pendant que Revolut vérifiait une demande de données clients. Cela distingue l’incident d’un piratage classique de plateforme d’échange, au cours duquel un attaquant contourne d’abord les protections du compte, comme un mot de passe ou l’authentification à deux facteurs, avant d’accéder aux fonds ou aux informations.

Revolut a informé les utilisateurs concernés après avoir contacté l’autorité compétente et déterminé que la demande urgente n’était pas authentique. L’avis a également été partagé publiquement sur X. Au moment de la rédaction, Revolut n’avait pas publié de déclaration publique plus large ni indiqué combien de comptes étaient concernés, laissant l’ampleur de l’incident incertaine.

« Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026 »

La publication a été mise en ligne par Mark Karpelès sur X, l’URL mentionnée étant disponible à l’adresse

Pourquoi les données liées au Bitcoin sont importantes

CoinDesk a rapporté que les éléments divulgués comprenaient des documents d’identité, des informations de compte, des historiques de retraits et un historique de transactions liées au Bitcoin. L’avis adressé aux clients n’indiquait pas que des clés privées, des phrases de récupération ou un accès direct aux fonds des clients avaient été exposés.

Les données de la blockchain ne contiennent pas les informations figurant sur un passeport. Le problème de sécurité apparaît lorsque les données d’une plateforme réglementée relient des transactions à une identité vérifiée. Si des références de portefeuille, des détails de retrait ou des identifiants de transaction peuvent être mis en relation avec une activité publique sur la blockchain, ce lien pourrait rester utile aux attaquants même après la modification du mot de passe du compte par un client.

Revolut a indiqué tenir un registre interne de l’exposition de ses clients aux cryptomonnaies. Par conséquent, l’historique de transactions en Bitcoin évoqué pourrait correspondre à une activité enregistrée au sein de Revolut plutôt qu’à une liste complète d’adresses publiques sur la blockchain. Revolut devrait préciser si les informations divulguées comprenaient des adresses de portefeuilles externes, des identifiants de transaction, des informations sur les destinataires ou uniquement un historique interne du compte. Ces catégories entraîneraient des niveaux d’exposition différents et détermineraient la facilité avec laquelle un attaquant pourrait relier l’identité d’un client à une activité visible sur la blockchain.

Les fonds des clients peuvent rester en sécurité tandis que les risques d’usurpation augmentent

L’incident n’a pas été décrit comme une compromission de la garde des fonds au sens habituel. Toutefois, un profil détaillé associant identité et activité peut permettre des prises de contact frauduleuses sur une longue période. Une personne sachant qu’un individu a utilisé le Bitcoin, disposant de ses coordonnées et capable de citer un retrait réel disposerait d’une base plus crédible pour se faire passer pour un représentant du support ou de la conformité.

Une préoccupation similaire avait été identifiée après la fuite de données clients de Bits of Gold. Même lorsque les actifs et les clés privées restent inaccessibles, les données liées à l’identité et aux portefeuilles peuvent rendre les tentatives d’usurpation plus convaincantes.

Un escroc n’a pas besoin d’une phrase de récupération pour exploiter ces informations. Il pourrait demander un code à usage unique, affirmer qu’un portefeuille doit être transféré vers une adresse « sécurisée » ou rediriger la victime vers une copie d’une page d’assistance légitime. La réaction appropriée consiste à vérifier les informations et à faire preuve de prudence, plutôt qu’à effectuer un transfert précipité.

Les utilisateurs ayant reçu une notification de Revolut devraient la confirmer via le canal d’assistance de l’application ou en se rendant directement sur le site de Revolut, au lieu de suivre des liens reçus par e-mail ou publiés sur les réseaux sociaux. Ils devraient demander quelles données précises ont été divulguées et conserver une copie de la réponse de l’entreprise.

Les utilisateurs n’ayant reçu aucune notification n’ont pas besoin de déplacer leurs actifs ni de supposer que leurs informations ont été exposées. Ils devraient surveiller l’apparition d’un message dans l’application ou d’une notification provenant des canaux vérifiés de Revolut, vérifier la sécurité de leur adresse e-mail et de leur numéro de téléphone de récupération, et rester attentifs aux messages non sollicités mentionnant des retraits de cryptomonnaies ou leur demandant de « sécuriser » un portefeuille.

Modifier un mot de passe peut protéger l’accès au compte, mais ne peut pas annuler la divulgation d’informations d’identité. La priorité immédiate est donc de prévenir l’usurpation plutôt que d’effectuer un transfert urgent. Toute personne craignant que des données figurant sur un document d’identité soient concernées devrait considérer comme présentant un risque élevé les messages non sollicités relatifs à la récupération de compte, à la conformité ou à la vérification de portefeuille. Aucun agent légitime n’a besoin d’une phrase de récupération, d’un mot de passe ou d’un code d’authentification à usage unique.

Le Comité européen de la protection des données cite la fraude, l’usurpation d’identité et les pertes financières parmi les conséquences possibles des violations de données personnelles.

La principale question non résolue concerne la possibilité de relier ces données entre elles. Revolut doit expliquer si les informations divulguées comprenaient des adresses de portefeuilles externes, des identifiants de transaction ou uniquement un historique interne du compte. Cette précision déterminera si les clients concernés font face à un risque classique de fraude à l’identité ou à un lien plus durable entre leur identité réelle et une activité Bitcoin traçable publiquement.

L’article original a été publié sur Coindoo. Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou de cybersécurité.