据《金融时报》和International Cyber Digest于2026年9月报道，攻击者利用遭入侵的意大利政府电子邮箱向Revolut发送伪造的官方请求，导致约680名客户可能受到数据泄露影响。这起据报攻击瞄准的是金融机构与政府部门互动的渠道，而非Revolut应用程序；律师和公民权利倡导者表示，这暴露了核验官方请求方面的系统性弱点。

研究人员称，攻击者利用公开的加密货币交易和钱包地址，试图索取可能持有大量资产客户的KYC数据。

International Cyber Digest称，自称对此负责的人士告诉该媒体，针对Revolut的行动持续了六个月，他们还入侵了多个意大利执法部门。Revolut尚未确认研究人员或自称攻击者者公布的所有数字和细节。

Revolut早期投资者兼独立分析师Max Karpis表示，该公司曾收到勒索要求，自称持有被盗文件的人正在Telegram上发布客户身份证明文件和自拍照。Karpis警告称，Revolut尚未确认一项流传中的、涉及10,000枚BTC的说法；该公司仍将事件描述为范围有限，且其应用程序和客户资金均未遭黑客攻击。

攻击者使用遭入侵的意大利政府邮箱发送伪造数据请求

使用Korra这一名称的X用户报道称，援引Duel的说法，一名使用“IAmNotAVillain”别名的攻击者采用了“广撒网，碰运气”策略。该攻击者据称向Revolut发送了数百个加密货币交易ID和充值地址，同时要求提供相关账户的详细信息。

Duel称，这些请求被伪装成伪造的欧洲调查令，Revolut据称随后回复了包含客户数据的档案。研究人员称，他们获得并核实了真实的.eml格式邮件副本。据Duel称，其中一封邮件包含10个文件夹，每个文件夹对应一名不同客户，内有身份证件照片、验证自拍照、账户信息和未作删减的交易数据。加密ZIP档案的密码据报通过另一封电子邮件发送。

研究人员称，由于公开区块链展示地址和交易记录，这种方法可能使攻击者能够锁定富裕客户。因此，加密货币交易可以作为向中心化金融机构提出请求时的检索键。他们指称，攻击者提交了数百个被认为与高资产客户有关的交易哈希和充值地址，而Revolut返回了相应用户的信息。

研究人员及自称与攻击者有联系的人士分别传播了有关147GB数据从意大利政府系统被盗的指称。这些消息来源还就客户数据被公布提出了说法，但Revolut尚未确认所有这些细节。

文件显示因管辖权问题拒绝请求

人权倡导者、开放对话基金会主席Lyudmyla Kozlovska表示，文件显示，Revolut于2026年7月24日拒绝直接响应一项涵盖198个哈希的请求而披露信息。她称，其中169个与英国的Revolut Ltd有关，29个与其瑞士法律实体有关。

据Kozlovska称，Revolut援引管辖权限制，理由是该请求仅涵盖立陶宛Revolut Bank UAB的账户。在其他情况下，请求方被指引使用英国司法互助程序。

Kozlovska称，欧洲反洗钱规则并未对银行施加单独义务，要求其核验经认证的政府请求背后的真实主体。“欧盟反洗钱法并未对银行施加核验义务，也没有提供有实质意义的机制来查验经认证的国家请求背后究竟是谁。不予回应将面临数百万欧元罚款。”她说。

安全建议和政策担忧

Karpis建议可能受影响的客户在可行情况下冻结信贷额度，设置新的应用程序密码，启用银行卡交易提醒，并避免与已经知道其IBAN或此前加密货币交易记录的人互动。他还建议，在当地规则允许注销已泄露证件号码的情况下考虑更换护照，并警告称，付费“删除文件”的提议可能是另一种勒索企图。

Kozlovska敦促欧洲公民要求欧洲议会议员就将大规模金融数据收集作为攻击工具一事举行紧急听证会。她称，在受金融行动特别工作组规则及相关反洗钱法律管辖的司法辖区，类似风险可能影响银行、加密货币交易所和支付服务机构。

她表示，在开放对话基金会支持下，人权组织、受害者和专家已向欧洲议会提出这一问题。Kozlovska补充称，日期为2026年6月18日的一项欧洲议会决议另行指出了跨国金融压迫的风险。

截至原始文章发布时，Revolut尚未在X上为应对此事件的客户发布单独指引。该公司最近获得有条件批准，可在美国设立一家全国性银行。

来源：HODL Press