Ein Datenleck könnte rund 680 Revolut-Kunden betroffen haben, nachdem Angreifer Berichten zufolge betrügerische Anfragen über kompromittierte italienische Regierungs-E-Mail-Konten versandt hatten.

Forscher erklärten, die Angreifer hätten öffentliche Kryptowährungstransaktionen und Wallet-Adressen genutzt, um KYC-Daten zu potenziell vermögenden Kunden anzufordern.

Revolut hat nicht alle veröffentlichten Zahlen und Details bestätigt, einschließlich der von den mutmaßlichen Angreifern verbreiteten Behauptungen.

Angreifer nutzten kompromittierte E-Mail-Postfächer italienischer Regierungsstellen, um betrügerische offizielle Anfragen an Revolut zu versenden, was zu einem Datenleck beigetragen haben soll, das rund 680 Kunden betroffen haben könnte, wie die Financial Times und International Cyber Digest im September 2026 berichteten. Der gemeldete Angriff richtete sich gegen den Kanal, über den Finanzinstitute mit Regierungsbehörden kommunizieren, und nicht gegen die Revolut-App. Anwälte und Bürgerrechtsvertreter erklärten, der Vorfall habe eine systemische Schwachstelle bei der Überprüfung offizieller Anfragen offengelegt.

International Cyber Digest erklärte, Personen, die die Verantwortung für sich beanspruchten, hätten mitgeteilt, dass die gegen Revolut gerichtete Operation sechs Monate gedauert habe und sie zudem mehrere italienische Strafverfolgungsbehörden kompromittiert hätten. Revolut hat nicht alle von Forschern oder den mutmaßlichen Angreifern veröffentlichten Zahlen und Details bestätigt.

Max Karpis, früher Investor bei Revolut und unabhängiger Analyst, sagte, das Unternehmen habe Lösegeldforderungen erhalten und Personen, die angäben, die gestohlenen Dateien zu besitzen, veröffentlichten Kundenausweisdokumente und Selfies auf Telegram. Karpis warnte, dass Revolut eine kursierende Behauptung zu 10.000 BTC nicht bestätigt habe, und erklärte, das Unternehmen beschreibe den Vorfall weiterhin als begrenzt; weder seine App noch Kundengelder seien gehackt worden.

Forscher beschreiben betrügerische Datenanfragen

Ein X-Nutzer unter dem Namen Korra berichtete unter Berufung auf Duel, ein Angreifer mit dem Alias IAmNotAVillain habe eine „Spray-and-Pray“-Strategie eingesetzt. Der Angreifer soll Revolut Hunderte Kryptowährungs-Transaktions-IDs und Einzahlungsadressen übermittelt und dabei Details zu den zugehörigen Konten angefordert haben.

Duel erklärte, die Anfragen seien als gefälschte Europäische Ermittlungsanordnung präsentiert worden, und Revolut habe angeblich Archive mit Kundendaten übermittelt. Forscher erklärten, sie hätten authentische Kopien von E-Mails im .eml-Format erhalten und überprüft. Eine E-Mail habe laut Duel 10 Ordner enthalten, von denen jeder einem separaten Kunden zugeordnet gewesen sei, mit Fotos von Ausweisdokumenten, Verifizierungs-Selfies, Kontoinformationen und ungeschwärzten Transaktionsdaten. Das Passwort für das verschlüsselte ZIP-Archiv sei Berichten zufolge in einer separaten E-Mail übermittelt worden.

Forscher erklärten, die Methode hätte es dem Angreifer ermöglichen können, vermögende Kunden ins Visier zu nehmen, da öffentliche Blockchains Adressen und Transaktionen anzeigen. Eine Kryptowährungstransaktion könne daher als Suchschlüssel in einer Anfrage an ein zentralisiertes Finanzinstitut dienen. Sie behaupteten, der Angreifer habe Hunderte Transaktions-Hashes und Einzahlungsadressen eingereicht, die mutmaßlich mit Kunden mit hohen Vermögenswerten verbunden gewesen seien, und Revolut habe Informationen über die entsprechenden Nutzer zurückgesandt.

Forscher und Personen, die nach eigenen Angaben Kontakt zu den Angreifern hatten, haben getrennt voneinander Behauptungen verbreitet, wonach 147 GB Daten aus italienischen Regierungssystemen gestohlen worden seien. Diese Quellen haben zudem Behauptungen über die Veröffentlichung von Kundendaten aufgestellt, doch Revolut hat nicht alle diese Details bestätigt.

Dokumente deuten auf Ablehnung aus Zuständigkeitsgründen hin

Lyudmyla Kozlovska, Menschenrechtsaktivistin und Präsidentin der Open Dialogue Foundation, sagte, Dokumente zeigten, dass Revolut am 24. Juli 2026 die direkte Herausgabe von Informationen als Antwort auf eine Anfrage zu 198 Hashes verweigert habe. Sie erklärte, 169 davon seien Revolut Ltd im Vereinigten Königreich und 29 der Schweizer Rechtseinheit des Unternehmens zugeordnet gewesen.

Laut Kozlovska berief sich Revolut auf eine Zuständigkeitsbeschränkung, weil die Anfrage nur Konten bei Revolut Bank UAB in Litauen umfasst habe. In anderen Fällen sei der Antragsteller angewiesen worden, das britische Verfahren der gegenseitigen Rechtshilfe zu nutzen.

Kozlovska erklärte, europäische Vorschriften zur Bekämpfung der Geldwäsche verpflichteten eine Bank nicht gesondert dazu, die tatsächliche Person hinter einer authentifizierten behördlichen Anfrage zu überprüfen. „Das EU-Geldwäscherecht verpflichtet die Bank nicht zur Überprüfung und bietet keinen wirksamen Mechanismus, um zu prüfen, wer tatsächlich hinter einer authentifizierten staatlichen Anfrage steht. Die Verweigerung einer Antwort zieht Geldstrafen in Millionenhöhe nach sich“, sagte sie.

Sicherheitshinweise und politische Bedenken

Karpis riet potenziell betroffenen Kunden, Kreditlinien nach Möglichkeit einzufrieren, einen neuen App-Passcode festzulegen, Benachrichtigungen für Kartentransaktionen zu aktivieren und nicht mit Personen zu interagieren, die bereits ihre IBAN oder frühere Kryptowährungstransaktionen kennen. Er schlug außerdem vor, einen Passersatz in Betracht zu ziehen, sofern lokale Vorschriften die Annullierung einer kompromittierten Dokumentennummer erlauben, und warnte, Angebote, „die Datei“ gegen Zahlung zu „löschen“, könnten ein weiterer Erpressungsversuch sein.

Kozlovska forderte europäische Bürger auf, Mitglieder des Europäischen Parlaments zu dringenden Anhörungen über den Einsatz massenhafter Finanzdatenerhebung als Angriffswerkzeug aufzufordern. Sie sagte, ähnliche Risiken könnten Banken, Kryptowährungsbörsen und Zahlungsdienstleister in Rechtsordnungen betreffen, die den Regeln der Financial Action Task Force und damit verbundenen Geldwäschegesetzen unterliegen.

Sie erklärte, Menschenrechtsorganisationen, Betroffene und Experten hätten mit Unterstützung der Open Dialogue Foundation das Thema vor dem Europäischen Parlament angesprochen. Kozlovska fügte hinzu, eine Entschließung des Europäischen Parlaments vom 18. Juni 2026 habe separat das Risiko transnationaler finanzieller Repression benannt.

Zum Zeitpunkt der Veröffentlichung des Quellartikels hatte Revolut auf X keine gesonderten Hinweise für Kunden zum Umgang mit dem Vorfall veröffentlicht. Das Unternehmen erhielt kürzlich eine bedingte Genehmigung, in den Vereinigten Staaten eine nationale Bank zu gründen.

Quelle: HODL Press