Badacze ujawnili schemat fałszywych zapytań kryptowalutowych w Revolut

• Analitycy odkryli, jak Revolut przekazywał dane klientów za pomocą fałszywych zapytań.
• W centrum incydentu nie znalazł się sam atak na aplikację bankową, lecz nadużycie kanału, przez który instytucje finansowe komunikują się z organami państwowymi.
• 680 klientów Revolut mogło paść ofiarą wycieku.
• Według badaczy, przestępcy wykorzystywali publiczne transakcje kryptowalutowe oraz adresy portfeli do pozyskiwania danych KYC potencjalnie zamożnych użytkowników.

Firma fintech Revolut zmaga się z konsekwencjami wycieku danych około 680 klientów po tym, jak przestępcy wykorzystali skompromitowane włoskie skrzynki pocztowe do wysyłania fałszywych zapytań do firmy fintech. O tym informują materiały FT oraz International Cyber Digest.

‼️ BREAKING: Jesteśmy w kontakcie z hakerem Revolut. Według nich, nie tylko przejęli dane Revolut, ale także skompromitowali wiele włoskich departamentów ścigania.

Twierdzą, że operacja wymierzona w Revolut trwała sześć miesięcy i że użyli włoskiego prawa... pic.twitter.com/ZYGWZEc0tL --- International Cyber Digest (@IntCyberDigest) 14 września 2026

W obliczu publikacji danych użytkowników i możliwych żądań okupu, badacze ujawniają mechanizm ataku, a prawnicy i obrońcy praw człowieka wskazują na systemowy problem weryfikacji zapytań państwowych w sektorze finansowym.

Ponadto część twierdzeń rozpowszechniają sami prawdopodobni przestępcy. Revolut nie potwierdził wszystkich ujawnionych liczb i szczegółów.

Revolut ujawnili dane klientów za pomocą oszukańczego zapytania --- wśród nich historia transakcji bitcoinowych
13.09.2026
Czytaj

Według wczesnego inwestora Revolut i niezależnego analityka Maksa Karpisa, firma otrzymywała żądania okupu, a osoby, które twierdzą, że posiadają skradzione pliki, zaczęły publikować kopie dokumentów i selfie klientów w Telegramie.

Po wycieku danych Revolut, firma podobno otrzymała żądania okupu: zapłać, albo ujawnimy pliki klientów.

Osoby twierdzące, że mają pakiet, publikują kopie dowodów tożsamości i selfie na Telegramie i mówią, że będą codziennie ujawniać więcej. Jedna z postaci, która krąży, to... --- Max Karpis (@maxkarpis) 14 września 2026

Jednocześnie Karpis podkreślił, że podana kwota 10 000 BTC nie została jeszcze potwierdzona przez Revolut, a samą informację należy traktować ostrożnie.

<<Revolut nadal twierdzi, że incydent miał "ograniczony" zasięg, a aplikacja i pieniądze nie zostały zhakowane. To wymuszenie po tym, jak pracownik Revolut przekazał KYC na nieautoryzowaną skrzynkę pocztową na rzeczywistej domenie państwowej. Płatność nie zwróciłaby paszportów>>, napisał.

Karpis wezwał również potencjalnie poszkodowanych użytkowników do podjęcia dodatkowych środków ostrożności: w miarę możliwości zamrozić linie kredytowe, ustawić nowy kod dostępu oraz powiadomienia o transakcjach kartą w aplikacji, a także nie wchodzić w kontakt z osobami, które już znają IBAN użytkownika lub jego wcześniejsze transakcje kryptowalutowe.

Osobno doradził rozważenie możliwości wymiany paszportu, ponieważ w niektórych krajach po skompromitowaniu dokumentu można unieważnić stary numer i uzyskać nowy. Jednocześnie ekspert ostrzegł przed jeszcze jednym potencjalnym schematem oszustwa: oferty <<usunięcia pliku>> za pieniądze mogą być próbą ponownego wymuszenia pieniędzy.

Jak przestępcy mogli uzyskać dane klientów kryptowalutowych

Na podstawie informacji użytkownika platformy X z kontem Korra, przestępca posługujący się pseudonimem IAmNotAVillain zastosował tzw. taktykę spray and pray: wysyłał Revolut setki identyfikatorów transakcji kryptowalutowych i adresów depozytowych, prosząc o informacje dotyczące powiązanych z nimi kont.

‼️ BREAKING: Duel może poinformować, że haker Revolut użył strategii "spray and pray", wysyłając setki identyfikatorów transakcji kryptowalutowych do Revolut i prosząc o szczegóły dotyczące powiązanych kont. Revolut się zgodził.

To wyjaśnia ogromną ilość danych, które hakerzy byli w stanie... pic.twitter.com/RqGsuEIkMZ
--- Korra (@korraflow) 15 września 2026

Według Duel, takie zapytania były wysyłane pod przykrywką sfałszowanego Europejskiego Nakazu Dochodzeniowego. Revolut, jak twierdzi, dostarczył w odpowiedzi archiwa z danymi klientów.

Badacze stwierdzili, że otrzymali i zweryfikowali autentyczne kopie listów w formacie .eml. W jednym z nich znajdowało się 10 folderów, z których każdy był poświęcony innemu klientowi. Według Duel, w folderach znajdowały się:

• zdjęcia dokumentów tożsamości;
• selfie do weryfikacji;
• informacje o koncie;
• dane o transakcjach bez edytowania.

Hasło do zaszyfrowanego archiwum ZIP, według badaczy, było wysyłane osobnym listem.

Ten schemat wyjaśnia również, dlaczego przestępcy mogli celowo poszukiwać informacji o zamożnych klientach Revolut. Publiczne blockchainy pozwalają na widzenie adresów i transakcji, a zatem transakcja kryptowalutowa mogła być używana jako swoisty klucz wyszukiwania do scentralizowanej instytucji finansowej.

Badacze twierdzą, że przestępca przesyłał Revolut setki hashy transakcji i adresów depozytowych, które jego zdaniem były powiązane z klientami o dużych aktywach. Po tym firma rzekomo zwracała informacje o odpowiednich użytkownikach.

Oddzielne twierdzenia dotyczące 147 GB danych, rzekomo skradzionych z włoskich systemów rządowych, a także o publikacji danych klientów rozpowszechniają badacze oraz osoby, które twierdzą, że kontaktują się z przestępcami.

Obrończyni praw człowieka i prezydentka Open Dialogue Foundation, Ludmyła Kozłowska, zauważyła, że nowe dokumenty potwierdzają: 24 lipca 2026 roku Revolut odmówił bezpośredniego ujawnienia informacji na podstawie wniosku, który obejmował 198 hashy. Jej zdaniem 169 z nich było powiązanych z Revolut Ltd w Wielkiej Brytanii, a 29 - ze szwajcarską osobą prawną.

Nowe dowody pokazują: (1) @Revolut zastosował jedną z podstaw odmowy, które daje mu prawo. (2) napastnicy celowali w swoim złośliwym wniosku w klientów o wysokiej wartości, korzystając z transakcji blockchain.

Dokumenty pokazują, że 24 lipca 2026 roku, na wniosek obejmujący 198 hashy, Revolut odmówił... https://t.co/Hs4eHdvBuo
--- Ludmyła Kozłowska 🇪🇺🇺🇦 (@LyudaKozlovska) 15 września 2026

Według Kozłowskiej, firma zastosowała przewidzianą przez prawo podstawę do odmowy - ograniczenie jurysdykcyjne. Wniosek dotyczył tylko kont w Revolut Bank UAB w Litwie, podczas gdy w innych przypadkach wnioskodawca został skierowany do brytyjskiej procedury wzajemnej pomocy prawnej.

Jednocześnie podkreśliła, że europejskie przepisy dotyczące przeciwdziałania praniu pieniędzy nie nakładają na bank szczególnego obowiązku weryfikacji autentyczności strony stojącej za autoryzowanym wnioskiem państwowym.

<<Europejskie przepisy AML nie zobowiązują banku do weryfikacji wnioskodawcy i nie zapewniają skutecznego mechanizmu, aby sprawdzić, kto tak naprawdę stoi za autoryzowanym wnioskiem państwowym. Odmowa odpowiedzi grozi karami w wysokości milionów>>, powiedziała Kozłowska.

Co radzą poszkodowanym i dlaczego incydent ma szersze konsekwencje

Kozłowska wezwała europejskich obywateli do kontaktu ze swoimi posłami do Parlamentu Europejskiego i domagania się pilnych wysłuchań dotyczących wykorzystania masowego zbierania danych finansowych jako narzędzia ataków.

Zwróciła również uwagę na potencjalnie szerszy problem: podobne ryzyko może dotyczyć banków, giełd kryptowalutowych i usług płatniczych w jurysdykcjach, w których obowiązują przepisy FATF oraz odpowiednie ustawodawstwo AML.

Według niej instytucje finansowe są zobowiązane do reagowania na odpowiednio sformułowane wnioski państwowe, podczas gdy mechanizmy weryfikacji, kto faktycznie stoi za takim wnioskiem, mogą być ograniczone.

Kozłowska zauważyła, że problem ten był już poruszany przed Parlamentem Europejskim przez organizacje praw człowieka, ofiary oraz ekspertów przy wsparciu Open Dialogue Foundation. Zaznaczyła, że w tym roku Parlament Europejski w rezolucji z 18 czerwca 2026 roku wyraźnie wskazał na ryzyko transnarodowych represji finansowych.

W momencie pisania tego materiału Revolut nie opublikował na swojej stronie w X szczególnych zaleceń dotyczących dalszych działań klientów w związku z incydentem.

Przypomnijmy, że niedawno Revolut otrzymał warunkowe zatwierdzenie na utworzenie banku krajowego w USA.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.