Revolut entrega datos y Bitcoin de clientes tras solicitud gubernamental falsa

Revolut ha confirmado que datos sensibles de algunos clientes, incluido el historial completo de sus transacciones en Bitcoin, fueron entregados a un sujeto no autorizado después de que la fintech respondiera a lo que parecía una solicitud legítima de una agencia gubernamental. Los datos Bitcoin expuestos por Revolut no salieron por una brecha técnica, sino por la puerta principal: el personal de la empresa los entregó convencido de estar respondiendo a una solicitud legal auténtica. Los sistemas de Revolut no fueron hackeados y los fondos permanecieron intactos.

Este tipo de incidente merece analizarse con atención, porque el problema no afectó a la seguridad de los sistemas informáticos ni a los fondos custodiados. Afectó a algo más sutil y, en cierto modo, más inquietante: verificar si quien pedía esos datos era realmente quien decía ser.

Qué ocurrió exactamente

Según lo confirmado por la propia Revolut, la empresa recibió solicitudes de información desde una dirección de correo que operaba dentro de la infraestructura de dominio auténtica de una agencia gubernamental. No se trataba de una dirección similar pero ligeramente diferente a la real, un truco más fácil de detectar: la solicitud superó los controles técnicos normales de autenticación que verifican el origen de un correo electrónico, precisamente porque provenía, al menos desde el punto de vista técnico, de ese dominio real.

Revolut declaró que se trató de una “sofisticada estafa de suplantación externa” y que el número de clientes afectados es limitado, sin especificar cuántos ni qué agencia fue utilizada como cobertura. Esa omisión es deliberada: evitar que otras empresas puedan identificar fácilmente mensajes similares en sus propios archivos. Una vez detectada la anomalía, la empresa bloqueó la dirección comprometida en todos sus sistemas internos e informó a la agencia gubernamental real, a las fuerzas del orden, a los reguladores financieros y a las autoridades competentes en materia de protección de datos.

Qué datos quedaron expuestos

Concretamente, según las notificaciones enviadas a los clientes afectados, entre la información potencialmente compartida con el sujeto no autorizado figuran documentos de identidad, direcciones de residencia, datos de contacto, extractos de cuenta, coordenadas bancarias internacionales, registros de retiros y el historial completo de transacciones, incluidas las realizadas en Bitcoin. Sobre un punto concreto, el de los selfis de verificación y los datos biométricos, la información disponible es contradictoria: algunas reconstrucciones los incluyen entre los datos expuestos, mientras que la notificación oficial de Revolut a los clientes habría especificado que no se vio involucrado ningún dato biométrico facial. Es un detalle sobre el que conviene mantener la cautela necesaria hasta que haya mayor claridad.

Un investigador muy seguido en el sector, especializado en el análisis de transacciones en blockchain, observó que el incidente parece haber apuntado especialmente a clientes con patrimonios elevados, lo que plantea una preocupación que va más allá de la simple privacidad digital. La combinación entre identidad real verificada, dirección de residencia e historial detallado de posesiones en criptomonedas es exactamente el tipo de información que puede alimentar lo que en el sector se llaman “ataques con llave inglesa”, agresiones físicas dirigidas contra personas conocidas por poseer grandes cantidades de criptomonedas. Entre quienes han confirmado públicamente haber sido afectados figura el ex director ejecutivo de una histórica plataforma de intercambio crypto, conocida sobre todo por su célebre y dramático colapso.

No es un caso aislado

Hay un elemento de contexto que hace esta situación aún más significativa. Apenas tres días antes de este episodio, otro gran fabricante de carteras hardware para criptomonedas confirmó un incidente de naturaleza similar en su fondo: una cuenta utilizada para enviar sus comunicaciones oficiales fue comprometida y usada para enviar un falso aviso de seguridad a cientos de miles de suscriptores. Es exactamente el esquema que analizamos al cubrir las falsas alertas de seguridad que afectaron a usuarios de BitBox y Trezor.

El hilo conductor entre los dos episodios, a pesar de sus diferencias en los detalles, es el mismo: en ninguno de los dos casos se vulneró una tecnología criptográfica, sino que se explotó un canal de confianza ya existente que los usuarios o las propias empresas daban por seguro. Es el mismo principio que observamos en otros incidentes recientes del sector, como el peg-out sospechoso que afectó a Liquid Network o el exploit que golpeó seis blockchains del ecosistema Cosmos: casi nunca cede la criptografía de base, sino los procesos humanos y organizativos construidos alrededor de ella.

Security incident at Brevo, our third-party email provider

Trezor's third-party marketing e-mail provider, Brevo has been breached in an attack. Trezor has quickly taken down the domain and is investigating the situation.

TrezorTrezor TeamSharing insights on crypto, security & self-custody

Qué hacer si fuiste afectado

Para quienes usan Revolut y temen haber sido parte de este incidente, el consejo principal es verificar directamente a través de la app o el sitio oficial de la empresa, sin hacer clic en posibles enlaces recibidos por correo electrónico que podrían ser fraudulentos. Este riesgo es especialmente real en los días posteriores a un incidente de este tipo, cuando los estafadores suelen intentar aprovechar la confusión general.

Para quienes poseen cantidades significativas de criptomonedas y cuyos datos identificativos podrían ahora estar asociados públicamente a su patrimonio digital, conviene adoptar precauciones concretas sobre la propia seguridad física y digital. Hay que prestar mayor atención a comunicaciones sospechosas que explotan datos personales reales para parecer creíbles, y ser conscientes de que información de este tipo, una vez fuera, no puede “recuperarse”. Conocer bien las prácticas correctas de custodia sigue siendo fundamental, como explicamos en nuestra guía sobre cómo proteger tus criptomonedas.

La lectura más amplia

El caso Revolut, más allá del episodio concreto, ilumina una realidad incómoda pero importante: cuando una identidad real, verificada y documentada, se conecta públicamente o se hace conocer a terceros no autorizados junto con un historial detallado de las posesiones en criptomonedas, se genera un riesgo que va mucho más allá de la preocupación informática tradicional. Se convierte en un problema de seguridad personal y física, algo que el mundo crypto conoce demasiado bien, y que se suma a las preocupaciones habituales sobre hacks y vulnerabilidades del código.

La lección es doble. Por un lado, este episodio demuestra que los requisitos de identificación de clientes, necesarios para el cumplimiento normativo según marcos como MiCA en Europa, implican un compromiso real: cuantos más datos identificativos se recopilan y vinculan a la actividad financiera de una persona, mayor es el daño potencial si esos datos caen en manos equivocadas, por cualquier motivo. Por otro lado, casos como este, producidos en pocos días contra distintas empresas del sector, deberían impulsar a cualquier operador financiero, tradicional o crypto, a reforzar no solo sus defensas técnicas, sino especialmente los procesos humanos con los que se verifican las solicitudes que parecen provenir de autoridades legítimas. La seguridad, una vez más, es tanto una cuestión de personas y procedimientos como de código y criptografía.