Revolut najwyraźniej ujawnił poufne informacje o klientach po odpowiedzi na fałszywe żądanie, które miało wyglądać tak, jakby pochodziło od legalnej agencji rządowej.

Śledczy on-chain ZachXBT ujawnił incydent 12 września. Według jego relacji żądanie wykorzystywało oficjalną domenę e-mail agencji i przeszło kontrole uwierzytelniania domeny. Revolut później ustalił, że komunikacja była nieautoryzowana.

Liczba poszkodowanych klientów pozostaje niejasna. ZachXBT stwierdził, że incydent wydawał się ograniczony pod względem skali i mógł być wymierzony w zamożnych użytkowników. Potencjalnie ujawnione informacje obejmowały dokumenty tożsamości, adresy zamieszkania, numery telefonów i dane finansowe.

Revolut ujawnił adresy, dokumenty tożsamości i dane finansowe

Zgodnie z informacjami zawartymi w wiadomości e-mail wysłanej przez Revolut do poszkodowanych użytkowników ujawnione zostały poufne i umożliwiające identyfikację dane osobowe. Obejmowały one pełne imiona i nazwiska klientów, daty urodzenia, zawody, dane paszportu i/lub prawa jazdy, zdjęcia weryfikacyjne, adresy e-mail oraz adresy pocztowe.

Wiadomość wskazywała również, że odpowiedź Revolut obejmowała informacje finansowe, takie jak wyciągi z kont, międzynarodowe numery rachunków bankowych (IBAN), rejestry wypłat oraz pełne historie transakcji, w tym transakcji Bitcoin.

Revolut, neobank, który niedawno otrzymał warunkową zgodę Urzędu Kontrolera Waluty Stanów Zjednoczonych (OCC) na uzyskanie karty bankowej, poinformował w wiadomości, że konta użytkowników pozostały bezpieczne. Firma nie wydała jeszcze publicznego oświadczenia w sprawie incydentu. Kolejne oświadczenie spółki powinno wyjaśnić zakres incydentu i podjęte działania, jednak szczegóły te nie zostały publicznie przedstawione w dostępnych tutaj informacjach.

Poszkodowani użytkownicy zgłaszają obawy dotyczące KYC i bezpieczeństwa fizycznego

Część poszkodowanych użytkowników wypowiedziała się publicznie. Przedsiębiorca z branży kryptowalut i założyciel Aave Chan Initiative, Marc Zeller, potwierdził, że znalazł się wśród osób dotkniętych incydentem. Powiedział, że Revolut początkowo wysłał mu wiadomość z prośbą o podanie kilku danych osobowych i zagroził zamknięciem jego konta w ciągu 20 dni. Zeller uważa obecnie, że firma fintechowa działała wówczas na podstawie fałszywego żądania rządowego.

Zeller skrytykował wymogi dotyczące znajomości klienta (KYC), twierdząc, że „nie przyniosły znaczących korzyści i naraziły wiele osób na niebezpieczeństwo”.

Ujawnienie danych może zwiększyć ryzyko phishingu i innych ukierunkowanych oszustw wobec poszkodowanych klientów. Ujawnienie adresów zamieszkania budzi również obawy dotyczące tak zwanych ataków wrench, w których przestępcy fizycznie atakują użytkowników kryptowalut, aby ukraść ich aktywa.

Według CertiK w pierwszej połowie 2026 roku odnotowano 52 zweryfikowane ataki wrench, z czego 33 miały miejsce we Francji. Francuskie władze podały wyższą liczbę. Francuski minister spraw wewnętrznych Laurent Nuñez powiedział, że w pierwszej połowie roku doszło do 77 porwań i przypadków wymuszeń powiązanych z kryptowalutami.

CertiK poinformował, że wartość finansowa strat wynikających z tych ataków sięgnęła $124 million, w porównaniu z $10.5 million w pierwszej połowie 2025 roku. Firma wskazała poważne wycieki danych jako jeden z czynników wysokiej koncentracji ataków we Francji.

Źródła: śledztwo ZachXBT, Marc Zeller na X, raport CertiK, The Market Periodical.