Revolut entregó a delincuentes información personal y financiera de algunos clientes después de recibir una solicitud oficial falsificada que superó sus controles internos. Los atacantes ya han comenzado a publicar parte de los datos y, según mensajes difundidos por Coin Bureau, exigen 10.000 BTC a la entidad a cambio de detener las filtraciones. Revolut no ha confirmado esa petición de rescate.
Una solicitud falsa enviada desde un dominio legítimo
El incidente no se produjo por un hackeo directo de los sistemas del banco digital. La compañía recibió un requerimiento que parecía proceder del dominio de correo oficial de un organismo público. La verificación del dominio era válida, pero la cuenta utilizada no estaba autorizada para enviar la petición.
Revolut facilitó la información y contactó posteriormente con el organismo supuestamente emisor. Fue entonces cuando se confirmó que la solicitud era fraudulenta. La entidad aseguró que, al detectar el engaño, bloqueó de inmediato la dirección implicada y avisó al organismo afectado, a las fuerzas de seguridad, a las autoridades de protección de datos y a los supervisores financieros.
“Al detectarlo, bloqueamos de inmediato la dirección y avisamos al organismo público afectado, así como a las fuerzas de seguridad, a las autoridades de protección de datos y a los supervisores financieros”, señaló un portavoz de Revolut.
El banco sostiene que sus sistemas no fueron comprometidos y que los fondos de los clientes tampoco están afectados. No obstante, la información entregada incluía un conjunto amplio de datos personales y financieros: nombres completos, fechas de nacimiento, profesiones, domicilios, teléfonos, copias de pasaportes o permisos de conducir y selfis utilizados para la verificación de identidad.
También quedaron expuestos números IBAN, extractos de cuenta, datos de retiradas y el historial completo de transacciones, incluida la actividad en Bitcoin. Según los correos enviados a los afectados, los datos biométricos faciales no formaban parte de la información filtrada.
Clientes neerlandeses entre los afectados
Revolut no ha precisado cuántos clientes están afectados y únicamente ha descrito el grupo como “muy limitado”. Sin embargo, ya se ha confirmado la presencia de clientes neerlandeses entre las víctimas. BNR Nieuwsradio pudo consultar documentos publicados en internet, entre ellos datos de cuentas de pago, selfis de verificación y documentos de identidad.
Entre el material difundido figuran pasaportes de ciudadanos de Países Bajos, incluida una copia perteneciente a la cantante Yade Lauren. También se han publicado documentos de identidad de Alemania, Bulgaria, Malta y Corea del Sur. Algunos de los afectados parecen ser personas con un patrimonio elevado.
Felix Römer, propietario del criptocasino Gamdom, confirmó en X que sus datos habían sido expuestos. El investigador onchain ZachXBT, que informó inicialmente del incidente en Telegram, apuntó a que la filtración parece limitada y que los atacantes podrían haber seleccionado especialmente a clientes con alto patrimonio.
Los delincuentes amenazan con divulgar cada día más información si Revolut no paga. La exigencia de 10.000 BTC aparece en mensajes compartidos por Coin Bureau, pero la entidad no la ha validado públicamente.
El riesgo añadido para los clientes de criptomonedas
La filtración resulta especialmente delicada para los usuarios de Bitcoin porque vincula su identidad y su patrimonio con sus operaciones. Revolut recopila documentos y selfis para cumplir con las obligaciones de identificación y prevención del blanqueo de capitales. Además, custodia los bitcoins de sus clientes: estos no disponen de una cartera propia, sino que sus saldos se registran en un libro interno asociado a un conjunto común de monedas.
La cadena de bloques permite consultar importes y movimientos, pero no identifica por sí sola a las personas que están detrás de las direcciones ni sus domicilios. La combinación de nombres, direcciones y patrimonio en cripto obtenida en esta filtración elimina precisamente esa separación.
El caso se conoce en un contexto de creciente preocupación por la exposición de los titulares de criptomonedas. La fuente recuerda una filtración anterior vinculada al soborno de empleados externos de atención al cliente de Coinbase y señala que CertiK contabilizó 124 millones de dólares sustraídos durante el primer semestre en asaltos con violencia o amenazas, frente a unos 132 millones en todo 2025.
