A Revolut informou um grupo de clientes de que os seus passaportes, moradas pessoais e históricos completos de transações em Bitcoin (BTC) foram transmitidos a um terceiro não autorizado, depois de uma falsa requisição governamental ter passado com sucesso pelos seus controlos internos.
Pontos-chave:
A Revolut comunicou documentos de identidade e históricos de transações em Bitcoin após ter considerado como autêntica uma requisição fraudulenta que se fazia passar por autoridades.
A fintech garante que os fundos estão seguros e que os reguladores foram avisados, mas não nomeou a autoridade usurpada nem indicou o número de clientes afetados.
Segundo os investigadores, a fuga parece ser limitada em volume e visaria sobretudo clientes de alta renda.
Um comunicado da Revolut destaca a exposição ao Bitcoin
O banco enviou um e-mail aos clientes afetados no fim da noite de 11 de setembro. O investigador on-chain ZachXBT então informou essa mensagem em sua cadeia de Telegram algumas horas depois.
De acordo com esse comunicado, o pedido de dados veio de uma conta não autorizada, criada dentro do próprio nome de domínio de uma autoridade governamental oficial e que dispunha de informações reais de autenticação de domínio. A Revolut atendeu a requisição, considerando “razoável” que fosse autêntica.
As informações divulgadas incluem os nomes e sobrenomes completos, datas de nascimento, profissões, endereços postais, endereços de e-mail, números de telefone, cópias de passaporte ou da carteira de motorista, além do selfie tirado no momento da abertura da conta.
Registros de conta com IBAN, datas de abertura e referências de carteiras também foram transmitidos, assim como os históricos completos de saques e transações, incluindo operações em Bitcoin.
Em seguida, a Revolut contatou a autoridade em questão para verificar o pedido e, ao fazê-lo, alertou-a sobre a existência desta conta não autorizada hospedada no próprio domínio. A empresa afirma que os fundos dos clientes permanecem seguros e que nenhuma senha foi comprometida. Os reguladores foram informados, mas a Revolut não esclareceu quantas pessoas foram afetadas.
Leia também: Ethereum enfrenta uma parede de ofertas a US$ 2.800, enquanto fluxos para ETFs disparam para US$ 216 milhões
ZachXBT e Karpelès aumentam a pressão sobre a Revolut
ZachXBT estima que o incidente provavelmente é limitado em tamanho e parece visar clientes de alto patrimônio líquido. Em seguida, ele publicou prints mostrando que as duas contas do X da Revolut o haviam bloqueado, depois de verificar se a empresa havia comunicado publicamente sobre o caso.
Mark Karpelès, ex-diretor-geral da Mt. Gox, afirma ter recebido o alerta com o assunto “Urgent security update about your Revolut account” e ter compartilhado trechos longos.
Ele defende que a Revolut ou a autoridade usurpada publique o nome desta última, para que outros bancos e plataformas de câmbio possam verificar seus registros de requisições judiciais e procurar esse mesmo endereço de e-mail. Uma conta de suporte da Revolut respondeu afirmando que a empresa leva a confidencialidade “muito a sério”.
Históricos de Bitcoin que aumentam o risco de direcionamento
As blockchains públicas indicam a circulação dos tokens, mas não contêm nem scan de passaporte, nem profissão, nem endereço postal. Associar uma identidade verificada a um histórico de transações completo transforma um simples dossiê de conformidade em um verdadeiro mapa de quem detém o quê e onde essas pessoas dormem à noite.
A Revolut já enfrentou dificuldades em matéria de proteção de dados. O regulador lituano de proteção de dados havia identificado 50.150 clientes da Revolut afetados por um ataque de engenharia social voltado a funcionários em setembro de 2022. A empresa também contestou uma publicação feita em um fórum em julho de 2026, que alegava que 75 milhões de seus registros estavam à venda, garantindo aos pesquisadores que esse conjunto de dados provavelmente era fabricado.
A seguir: Jensen Huang, da Nvidia, afirma que atores de cibersegurança aproveitam-se da pânico em torno das ameaças relacionadas à IA