Secondo CoinDesk, Revolut avrebbe divulgato informazioni sui clienti dopo aver agito in risposta a una richiesta governativa d’emergenza successivamente rivelatasi fraudolenta. La divulgazione avrebbe incluso documenti d’identità e dati relativi al Bitcoin, sebbene non sia stata segnalata alcuna esposizione di chiavi private, seed phrase o accesso diretto ai fondi dei clienti.

L’incidente non è stato descritto come la presa di controllo di un wallet o l’accesso abusivo all’account di un cliente da parte di un attaccante. Al contrario, l’apparente errore si sarebbe verificato mentre Revolut verificava una richiesta di dati dei clienti. Questo distingue il caso dal tipico attacco a un exchange, in cui l’attaccante supera le protezioni dell’account, come una password o l’autenticazione a due fattori, prima di accedere ai fondi o alle informazioni.

Revolut ha informato gli utenti interessati dopo aver contattato l’autorità competente e aver stabilito che la richiesta d’emergenza non era autentica. L’avviso è stato inoltre condiviso pubblicamente su X. Al momento della stesura, Revolut non aveva rilasciato una dichiarazione pubblica più ampia né comunicato quanti account fossero stati coinvolti, lasciando incerta la portata dell’incidente.

“Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026”

Il post è stato pubblicato da Mark Karpelès su X, mentre l’URL indicato è disponibile all’indirizzo

Perché i dati relativi al Bitcoin sono importanti

CoinDesk ha riferito che il materiale divulgato includeva documenti d’identità, informazioni sugli account, dati sui prelievi e la cronologia delle transazioni relative al Bitcoin. L’avviso ai clienti non indicava che fossero state esposte chiavi private, seed phrase o l’accesso diretto ai fondi dei clienti.

I dati della blockchain non contengono i dettagli del passaporto. La preoccupazione per la sicurezza nasce quando i dati di una piattaforma regolamentata collegano le transazioni a un’identità verificata. Se i riferimenti ai wallet, i dettagli dei prelievi o gli identificativi delle transazioni possono essere associati all’attività pubblica sulla blockchain, tale collegamento potrebbe rimanere utile agli attaccanti anche dopo che un cliente ha modificato la password del proprio account.

Revolut ha dichiarato di mantenere un registro interno dell’esposizione dei clienti alle criptovalute. Di conseguenza, la cronologia delle transazioni Bitcoin indicata potrebbe riferirsi all’attività registrata all’interno di Revolut, anziché a un elenco completo degli indirizzi pubblici sulla blockchain. Revolut dovrebbe chiarire se le informazioni divulgate includessero indirizzi di wallet esterni, identificativi delle transazioni, informazioni sulle destinazioni o soltanto la cronologia interna dell’account. Queste categorie comporterebbero livelli di esposizione differenti e influirebbero sulla facilità con cui un attaccante potrebbe collegare l’identità di un cliente all’attività on-chain visibile.

I fondi dei clienti potrebbero restare al sicuro mentre aumenta il rischio di impersonificazione

L’incidente non è stato descritto come una violazione della custodia nel senso abituale del termine. Tuttavia, un profilo dettagliato dell’identità e dell’attività di una persona può sostenere contatti fraudolenti per un periodo prolungato. Chi sa che una persona ha utilizzato Bitcoin, possiede i suoi dati di contatto e può citare un prelievo reale avrebbe una base più credibile per impersonare un addetto all’assistenza o alla conformità.

Una preoccupazione simile era emersa dopo la violazione dei dati dei clienti di Bits of Gold. Anche quando gli asset e le chiavi private restano inaccessibili, i dati relativi all’identità e ai wallet possono rendere più convincenti i tentativi di impersonificazione.

Un truffatore non ha bisogno di una seed phrase per sfruttare informazioni di questo tipo. Potrebbe chiedere un codice monouso, sostenere che un wallet debba essere trasferito a un indirizzo “sicuro” oppure indirizzare la vittima verso una copia di una pagina di assistenza legittima. La risposta appropriata è verificare e agire con cautela, non effettuare un trasferimento precipitoso.

Gli utenti che hanno ricevuto una notifica da Revolut dovrebbero verificarla tramite il canale di assistenza dell’app oppure visitando direttamente Revolut, invece di seguire i link contenuti in un’e-mail o in un post sui social media. Dovrebbero chiedere quali specifici campi di dati siano stati divulgati e conservare una copia della risposta dell’azienda.

Gli utenti che non hanno ricevuto alcuna notifica non devono trasferire asset né presumere che le proprie informazioni siano state esposte. Dovrebbero monitorare la presenza di un messaggio nell’app o di una notifica attraverso i canali verificati di Revolut, verificare la sicurezza dell’indirizzo e-mail e del numero di telefono utilizzati per il recupero dell’account e prestare attenzione ai messaggi non richiesti che menzionano prelievi di criptovalute o chiedono di “mettere al sicuro” un wallet.

La modifica della password può proteggere l’accesso all’account, ma non può annullare la divulgazione delle informazioni sull’identità. La priorità immediata è quindi prevenire l’impersonificazione, non effettuare un trasferimento urgente. Chi teme che possano essere stati coinvolti dati dei documenti d’identità dovrebbe considerare ad alto rischio i messaggi non richiesti relativi al recupero dell’account, alla conformità o alla verifica del wallet. Nessun operatore legittimo ha bisogno di una seed phrase, di una password o di un codice di autenticazione monouso.

L’European Data Protection Board include frode, furto d’identità e perdita finanziaria tra le possibili conseguenze delle violazioni di dati personali.

La questione chiave ancora irrisolta riguarda la possibilità di collegamento. Revolut deve spiegare se i dati divulgati includessero indirizzi di wallet esterni, identificativi delle transazioni o soltanto la cronologia interna dell’account. Questa informazione determinerà se i clienti interessati debbano affrontare un rischio convenzionale di frode d’identità o un collegamento più duraturo tra la loro identità reale e l’attività Bitcoin pubblicamente tracciabile.

Il report originale è apparso su Coindoo. Questo articolo è fornito esclusivamente a scopo informativo e non costituisce consulenza legale, finanziaria o di cybersecurity.