Revolut lekte KYC- en Bitcoin-transactiegegevens door nepverzoek

Revolut heeft klantgegevens overhandigd aan iemand die daar geen recht op had. Het instapmoment: een frauduleus dataverzoek verstuurd vanaf een e-mailaccount op het domein van een legitieme overheidsinstantie. De eigen omschrijving van het bedrijf, volgens de berichtgeving van The Block over Revoluts bekendmaking, luidde “een geraffineerde externe oplichtingstruc met identiteitsfraude.” Geraffineerd of niet, de gegevens gingen de deur uit.

De lijst met wat is blootgesteld is lang. Namen, geboortedata, beroepen, post- en e-mailadressen, telefoonnummers, kopieën van paspoorten en rijbewijzen, verificatieselfies, rekeningoverzichten, volledige transactiegeschiedenissen. Ook Bitcoin-transactiegegevens, aldus het verslag van Cointelegraph over het datalek. Revolut zei dat een beperkt aantal klanten is getroffen en dat de eigen systemen en tegoeden onaangetast blijven.

De aanvallers zijn inmiddels begonnen met het publiceren van de buitgemaakte gegevens. Hun gestelde voorwaarden: “We gaan steeds meer data vrijgeven, elke dag, totdat Revolut betaalt voor het lekken van hun klanten.” Dagelijkse publicaties totdat er betaald wordt. Geen betaling bekendgemaakt.

Twee personen die in de berichtgeving worden genoemd als slachtoffers van wie identiteitsdocumenten en selfies zijn gepubliceerd, zijn tennisser Alexander Shevchenko en Felix Römer, CEO van Gamdom. Dat zegt iets over de aanvalsstrategie, niet over het aantal getroffen klanten — die cijfers heeft Revolut niet gegeven.

Onchain-onderzoeker ZachXBT schreef dat “hoewel het incident waarschijnlijk beperkt van omvang is, het lijkt te zijn gericht op vermogende gebruikers.” Dat detail is belangrijker dan het grote getal. Wanneer aanvallers KYC-documenten, contactgegevens, rekeningoverzichten en Bitcoin-activiteit gecombineerd in handen hebben, brengt die combinatie zowel identiteit als financieel gedrag in kaart — ook als er geen tegoeden daadwerkelijk zijn verplaatst.

Het betrof een frauduleus informatieverzoek dat werd goedgekeurd omdat het afkomstig leek van authentieke overheidsinfrastructuur.

CoinGecko noteert Bitcoin op $77.687. Niets in de beschikbare feiten verbindt het incident aan het Bitcoin-netwerk of aan enige verplaatsing van klantgeld.

De aanvallers zouden op 12 september zijn begonnen met het publiceren van data. Het specifieke overheidsdomein, het totale aantal getroffen klanten, de identiteit van de aanvallers en of de blootstelling beperkt bleef tot één markt, zijn vooralsnog onbekend.