Revolut entregó datos de clientes a delincuentes; ahora exigen 10.000 Bitcoin

El banco digital Revolut entregó a estafadores pasaportes, domicilios y historiales completos de transacciones en Bitcoin (BTC). No fue por un hackeo, sino por una solicitud oficial falsificada que superó todos los controles internos. Ahora se ha confirmado que también hay clientes neerlandeses afectados. Los delincuentes están publicando datos de las víctimas y exigen 10.000 bitcoins a Revolut. Si el banco no paga, amenazan con divulgar cada día más información de clientes.

Revolut cae en la trampa

Revolut confirmó la filtración de datos el pasado sábado. La solicitud llegó a través del dominio de correo oficial de un organismo público, con una verificación de dominio válida. Desde el punto de vista técnico, todo parecía correcto. El problema era que la cuenta desde la que se envió no estaba autorizada.

Revolut facilitó la información y solo después contactó por su cuenta con el organismo. Fue entonces cuando se comprobó que la solicitud era falsa.

“Al detectarlo, bloqueamos de inmediato la dirección y avisamos al organismo público afectado, así como a las fuerzas de seguridad, a las autoridades de protección de datos y a los supervisores financieros”, señaló un portavoz de Revolut. Según el banco, sus sistemas y los fondos de los clientes no se vieron comprometidos.

Revolut nació en Londres en 2015 como una tarjeta prepago para viajeros y hoy cuenta con más de 70 millones de clientes. El banco no tiene oficinas físicas y presta servicio en Europa con una licencia lituana.

Además de pagos, ahorro e inversión, sus usuarios también pueden comprar criptoactivos. Esa división opera desde 2017 y en 2024 lanzó una aplicación propia de negociación.

Qué reveló la filtración de Revolut

El volumen de datos sustraídos es considerable: nombres completos, fechas de nacimiento, profesiones, domicilios, números de teléfono, copias de pasaportes o permisos de conducir y selfis de verificación. A ello se suman números IBAN, extractos de cuenta, datos de retiradas y el historial completo de transacciones, incluida toda la actividad en Bitcoin. Según los correos enviados, no se incluyeron datos biométricos faciales.

Revolut no ha querido precisar cuántos clientes se han visto afectados. Según la entidad, se trata de un número “muy limitado”. Pero, con decenas de millones de usuarios, uno de cada mil ya supondría decenas de miles de personas.

Ya consta que los delincuentes están publicando en internet parte del material robado. BNR Nieuwsradio pudo ver, entre otros documentos, datos de cuentas de pago, selfis de verificación y copias de documentos de identidad.

Entre ellos figuran también copias de pasaportes de ciudadanos neerlandeses, incluida la de la cantante Yade Lauren. Además, se han publicado documentos de identidad de países como Alemania, Bulgaria, Malta y Corea del Sur.

En varios casos, los objetivos parecen ser personas con un alto patrimonio. También se publicaron datos de Felix Römer, propietario del criptocasino Gamdom. Römer confirmó en X que sus datos se habían filtrado y reaccionó con un mensaje: “Ah wtf @Revolut”.

Esto encaja con la primera valoración del investigador onchain ZachXBT, que dio a conocer el incidente en un mensaje de Telegram. Según él, la filtración parece limitada en tamaño y se habría dirigido precisamente contra clientes de alto patrimonio.

Mientras tanto, los delincuentes siguen aumentando la presión. Según mensajes compartidos por Coin Bureau, exigen 10.000 BTC a Revolut y amenazan con publicar cada día más datos de clientes hasta que el banco pague. Revolut no ha confirmado esa exigencia de rescate.

Por qué esto afecta más a los titulares de bitcoin

Revolut recopila pasaportes y selfis para cumplir con las normas de identificación y prevención del blanqueo de capitales. El banco también custodia los bitcoins, ya que los clientes no disponen de una cartera propia.

Todas las monedas se agrupan en un mismo conjunto y un libro interno registra qué parte corresponde a cada cliente. Precisamente esa información ha acabado ahora en manos de delincuentes: un nombre, un domicilio y el patrimonio en cripto asociado, todo perfectamente vinculado.

Ese es el vínculo que la cadena de bloques pública nunca establece por sí sola. Registra cada importe, pero no quién está detrás ni dónde vive esa persona.

Quien tuviera una cuenta bien nutrida puede figurar ahora en una lista que indica a los delincuentes qué objetivo merece la pena. El riesgo aumenta ahora que los atacantes están publicando datos reales de víctimas y amenazan con seguir haciéndolo a diario.

Precisamente ese tipo de información es la que buscan. Anteriormente, el soborno a empleados externos de atención al cliente de Coinbase provocó una filtración similar.

Además, este año se están produciendo cada vez más ataques físicos contra propietarios de criptomonedas. La empresa de seguridad CertiK contabilizó en el primer semestre 124 millones de dólares sustraídos en asaltos con violencia o amenazas, mientras que en todo 2025 la cifra rondó los 132 millones de dólares.