Według CoinDesk Revolut miał ujawnić informacje o klientach po zrealizowaniu nadzwyczajnego wniosku rządowego, który później uznano za oszustwo. Ujawnione dane miały obejmować dokumenty tożsamości i informacje związane z Bitcoinem, jednak nie odnotowano ujawnienia kluczy prywatnych, fraz seed ani bezpośredniego dostępu do środków klientów.

Incydent nie został opisany jako przejęcie portfela przez atakującego ani włamanie na konto klienta. Zamiast tego do potencjalnego błędu miało dojść podczas weryfikowania przez Revolut wniosku o dane klientów. Odróżnia to ten przypadek od typowego ataku na giełdę, w którym atakujący najpierw omija zabezpieczenia konta, takie jak hasło lub uwierzytelnianie dwuskładnikowe, a następnie uzyskuje dostęp do środków lub informacji.

Revolut powiadomił poszkodowanych użytkowników po skontaktowaniu się z właściwym organem i ustaleniu, że nadzwyczajny wniosek nie był autentyczny. Komunikat został również publicznie udostępniony na X. W chwili publikacji Revolut nie wydał szerszego publicznego oświadczenia ani nie podał, ile kont objął incydent, dlatego jego skala pozostaje niejasna.

“Revolut customers were targeted in a fraudulent emergency data request sent via an email at a “government agency.” — Mark Karpelès (@MagicalTux) September 12, 2026”

Post został opublikowany przez Marka Karpelèsa na X, a wskazany adres jest dostępny pod adresem

Dlaczego dane związane z Bitcoinem mają znaczenie

Według CoinDesk ujawnione materiały obejmowały dokumenty tożsamości, informacje o koncie, dane dotyczące wypłat oraz historię transakcji związanych z Bitcoinem. Zawiadomienie dla klientów nie wskazywało, że ujawniono klucze prywatne, frazy seed lub bezpośredni dostęp do środków klientów.

Dane zapisane w blockchainie nie zawierają informacji z paszportu. Zagrożenie pojawia się wtedy, gdy dane platformy podlegającej regulacjom łączą transakcje ze zweryfikowaną tożsamością. Jeśli informacje o portfelu, dane dotyczące wypłat lub identyfikatory transakcji można powiązać z publiczną aktywnością w blockchainie, takie połączenie może pozostać użyteczne dla atakujących nawet po zmianie hasła do konta przez klienta.

Revolut informował, że prowadzi wewnętrzny rejestr ekspozycji klientów na aktywa kryptograficzne. W związku z tym zgłoszona historia transakcji Bitcoinem może odnosić się do aktywności zapisanej wewnątrz Revolut, a nie do kompletnej listy publicznych adresów blockchain. Revolut powinien wyjaśnić, czy ujawnione informacje obejmowały zewnętrzne adresy portfeli, identyfikatory transakcji, informacje o odbiorcach lub wyłącznie wewnętrzną historię konta. Kategorie te oznaczają różne poziomy ekspozycji i wpływają na to, jak łatwo atakujący mógłby połączyć tożsamość klienta z widoczną aktywnością on-chain.

Środki klientów mogą pozostać bezpieczne, podczas gdy rośnie ryzyko podszywania się

Incydent nie został opisany jako naruszenie przechowywania aktywów w typowym znaczeniu. Jednak szczegółowy profil tożsamości i aktywności może przez długi czas ułatwiać oszukańczy kontakt. Osoba, która wie, że dany klient korzystał z Bitcoina, posiada jego dane kontaktowe i może powołać się na prawdziwą wypłatę, miałaby bardziej wiarygodną podstawę do podszywania się pod przedstawiciela działu wsparcia lub zgodności.

Podobne zagrożenie wskazano po wycieku danych klientów brokera Bits of Gold. Nawet jeśli aktywa i klucze prywatne pozostają niedostępne, dane dotyczące tożsamości i portfeli mogą zwiększyć wiarygodność prób podszywania się.

Oszuście nie jest potrzebna fraza seed, aby wykorzystać takie informacje. Atakujący może poprosić o jednorazowy kod, twierdzić, że portfel należy przenieść na „bezpieczny” adres, lub skierować ofiarę do kopii prawdziwej strony pomocy technicznej. Właściwą reakcją jest weryfikacja i ostrożność, a nie pochopny transfer.

Użytkownicy, którzy otrzymali powiadomienie od Revolut, powinni potwierdzić je za pośrednictwem kanału wsparcia w aplikacji lub odwiedzając bezpośrednio stronę Revolut, zamiast klikać odnośniki w wiadomości e-mail lub poście w mediach społecznościowych. Powinni zapytać, jakie dokładnie pola danych zostały ujawnione, i zachować kopię odpowiedzi firmy.

Użytkownicy, którzy nie otrzymali powiadomienia, nie muszą przenosić aktywów ani zakładać, że ich informacje zostały ujawnione. Powinni obserwować aplikację pod kątem wiadomości lub powiadomienia wysłanego za pośrednictwem zweryfikowanych kanałów Revolut, sprawdzić zabezpieczenia pomocniczego adresu e-mail i numeru telefonu oraz zachować szczególną ostrożność wobec niezamówionych wiadomości dotyczących wypłat kryptowalut lub nakłaniających do „zabezpieczenia” portfela.

Zmiana hasła może chronić dostęp do konta, ale nie może cofnąć ujawnienia informacji o tożsamości. Dlatego bezpośrednim priorytetem jest zapobieganie podszywaniu się, a nie wykonywanie pilnego transferu. Osoby obawiające się, że mogły zostać ujawnione dane z dokumentów tożsamości, powinny traktować niezamówione wiadomości dotyczące odzyskiwania konta, zgodności i weryfikacji portfela jako wysoce ryzykowne. Żaden prawdziwy przedstawiciel nie potrzebuje frazy seed, hasła ani jednorazowego kodu uwierzytelniającego.

Europejska Rada Ochrony Danych wymienia oszustwa, kradzież tożsamości i straty finansowe wśród możliwych konsekwencji naruszeń danych osobowych.

Najważniejszą nierozstrzygniętą kwestią jest możliwość powiązania danych. Revolut musi wyjaśnić, czy ujawnione rejestry obejmowały zewnętrzne adresy portfeli, identyfikatory transakcji, czy tylko wewnętrzną historię konta. Informacja ta określi, czy poszkodowani klienci stoją w obliczu typowego ryzyka oszustwa tożsamościowego, czy też trwalszego powiązania ich rzeczywistej tożsamości z publicznie śledzalną aktywnością Bitcoina.

Pierwotny raport ukazał się w serwisie Coindoo. Ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady prawnej, finansowej ani dotyczącej cyberbezpieczeństwa.