• Los hackers exigieron 6.000 Monero (XMR), cerca de 3 millones de dólares, amenazando con vender datos robados de Revolut.
• Al menos 680 cuentas de Revolut expuestas, incluidas pasaportes, fotos KYC y registros de transacciones.
• Los atacantes usaron un correo electrónico en un dominio gubernamental para hacer pasar solicitudes fraudulentas de datos más allá de las comprobaciones de Revolut.
Un rescate de 3 millones de dólares en Monero
Los hackers detrás de la brecha de datos de Revolut pasaron del robo a la extorsión: exigieron públicamente 6.000 Monero (XMR), es decir, aproximadamente 3 millones de dólares, a cambio de mantener los registros de clientes robados fuera de mercados criminales. El grupo, que se hace llamar “iamnotavillain”, publicó su exigencia el miércoles y amenazó con vender el conjunto de datos a otras organizaciones delictivas si la fintech no accede al pago. Al menos 680 cuentas de clientes están afectadas. Los registros expuestos incluyen pasaportes, licencias de conducir, fotos de verificación de identidad usadas en comprobaciones KYC e historiales de transacciones detallados: documentos que, a diferencia de las contraseñas, no se pueden rotar una vez que se filtran. Revolut, que no ha divulgado cifras exactas, describe el número de clientes afectados como “limitado” y afirma que no ha recibido ningún acercamiento directo para el rescate. La elección de Monero encaja con el delito: Monero (XMR) es una criptomoneda de privacidad que oculta por defecto tanto los importes como las contrapartes de las transferencias, lo que hace mucho más difícil rastrear los pagos que en libros contables transparentes como Algorand (ALGO) o Stellar (XLM), una razón clave por la que las bandas de extorsión se decantan repetidamente por ella. Como el diseño de Monero incluso oculta si ocurrió o no un pago, Revolut tendría dificultades para verificar el cumplimiento, una ventaja incorporada para el extorsionador. La responsabilidad más profunda no es por los archivos en sí, sino por el vínculo: una identidad verificada asociada a una riqueza demostrable en la cadena convierte una cartera anónima en un objetivo identificado y localizable. Los documentos filtrados también alimentan la suplantación, permitiendo a redes de fraude abrir cuentas a nombre de la víctima o ejecutar convincentes jugadas de ingeniería social. La ventaja de los atacantes es la urgencia y el miedo: una palanca más cercana al phishing clásico que a la psicología de trading familiar del FOMO del mercado, y una vez que esos documentos circulan, nada de “restablecer contraseña” los devuelve atrás.
Falsas solicitudes gubernamentales abrieron la puerta
El propio relato de Revolut sobre cómo los registros salieron de sus sistemas apunta a un fallo de proceso más que a un exploit técnico. Los atacantes usaron una cuenta de correo electrónico en un dominio oficial de un gobierno para enviar solicitudes fraudulentas de información de emergencias. Esas solicitudes superaron las comprobaciones internas de verificación de la empresa y el personal entregó los datos antes de detectar la suplantación. La compañía ha descrito el incidente como “un fraude sofisticado de suplantación externa” y afirma que bloqueó la dirección fraudulenta en cuanto supo del esquema. Sus sistemas centrales y los fondos de sus clientes, sostiene, nunca fueron comprometidos, y ha notificado a organismos gubernamentales, fuerzas de seguridad y reguladores. Afirmaciones no confirmadas añaden otra capa: el grupo dice que también vulneró un sistema de correo electrónico del gobierno italiano y realizó análisis de blockchain para identificar a clientes de Revolut que mantenían grandes cantidades de cripto; una aseveración que la empresa no ha corroborado. Mark Karpelès, el exjefe de Mt. Gox, confirmó que él estaba entre los afectados y publicó un aviso de Revolut en el que indicaba que sus detalles de transacciones de Bitcoin se habían filtrado. El investigador on-chain ZachXBT evaluó la operación como deliberada y no oportunista, dirigida a usuarios con una riqueza considerable. La dimensión de seguridad física es medible: Chainalysis documentó 124,1 millones de dólares en pérdidas en 52 incidentes confirmados de “wrench attack” en 2026, mientras que CertiK registró 33 de 52 casos confirmados en Francia en la primera mitad del año, con invasiones domiciliarias que pasaron de una en el primer semestre de 2025 a 20. Ambas firmas advierten que sus cifras subestiman el coste real, porque muchas víctimas nunca denuncian estos ataques. Para usuarios comunes, el riesgo es de “cola larga”: cualquier aviso sobre la apertura de una cuenta o una autorización a su nombre ahora merece ser examinada, porque el robo de identidad construido a partir de archivos KYC filtrados puede salir a la luz meses después.
Los datos KYC se convierten en la superficie de ataque
El hilo que conecta la nota de rescate y el método de la brecha es que el botín fue la información de identidad, no las monedas; y la vulnerabilidad fue el proceso, no el código. La evaluación de riesgos de junio de 2026 de la Autoridad Bancaria Europea ya sitúa la ciberseguridad y la seguridad de los datos como el principal impulsor del riesgo operativo en la banca, por delante del fraude: una jerarquía que este incidente ilustra con precisión. La investigación del consumidor de la FCA encuentra que el 73% de los usuarios de cripto del Reino Unido adquieren activos a través de plataformas centralizadas, lo que significa que la exposición se concentra exactamente donde viven los datos KYC. Para el equipo de COINOTAG, la lección duradera es la minimización de datos más la verificación independiente de solicitudes que parezcan oficiales; algunos clientes también reconsiderarán cuánta exposición vinculada a identidad mantienen en venues centralizadas frente a rutas de autocustodia como Bitcoin DeFi, una consideración de custodia que nuestra guía de Mejores Exchanges de Cripto cubre ahora en detalle.