Revolut передав паспорти та історію біткоїн-транзакцій клієнтів за підробленим запитом влади

Revolut — британський фінтех із понад 50 мільйонами клієнтів у всьому світі — визнав витік даних. Банк виконав запит про розкриття клієнтських даних, переконавшись, що він надійшов від державного відомства. Потім зателефонував до цього відомства і з’ясував: жодного запиту вони не надсилали. На той момент паспорти, адреси та повна історія біткоїн-транзакцій «обмеженої кількості» клієнтів уже потрапили до невідомих.

Що саме сталося

Шахраї надіслали в Revolut запит з адреси, що використовує домен реального державного органу — або зламаного, або майстерно імітованого. Запит виглядав легітимно й пройшов перевірки банку. Revolut передав дані — і лише після цього самостійно вийшов на справжнє відомство, яке підтвердило: нічого подібного вони не надсилали.

Компанія повідомила, що одразу заблокувала шахрайську адресу, повідомила правоохоронців, регуляторів і сам державний орган, додавши стандартне: «Системи та кошти клієнтів не зачеплені». Це правда — у сенсі, що гроші на місці. Кількість постраждалих, країна походження запиту та відомство, чий домен було використано, — не розкриваються.

Що саме опинилося в чужих руках

Це не черговий «злив електронних адрес». За даними кількох видань, Revolut передав усе необхідне для цілеспрямованої атаки на конкретну людину:

• Скан паспорта або посвідчення водія
• Верифікаційне селфі (KYC-фото)
• Повне ім’я, дата народження, професія
• Домашня адреса, e-mail, номер телефону
• Номер IBAN і дата відкриття рахунку
• Виписки з рахунку та історія операцій
• Повна історія біткоїн-транзакцій

Розберемо за рівнем загрози:

Чому це особливо небезпечно для власників криптовалюти

Блокчейн-аналітик ZachXBT припустив, що атака цілеспрямовано обирала заможних користувачів. Це збігається з трендом 2026 року: фізичні пограбування власників криптовалюти — так звані wrench attacks (буквально «атаки гайковим ключем») — почастішали в усьому світі. Схема проста: зловмисники дізнаються, у кого є великі активи, дізнаються домашню адресу — і приходять особисто. Саме тому базове правило криптобезпеки — не прив’язувати публічно реальну особу до обсягу володінь.

Якщо ваші дані потрапили в цей витік, ви втратили цей захист. При цьому монети в гаманці формально «в безпеці». Про те, як схожа логіка таргетингу працювала в серії атак на власників апаратних гаманців, ми розбирали на прикладі Coldcard-атаки.

Чому верифікація не спрацювала — і що це говорить про систему

Revolut працює в десятках країн і щодня обробляє запити від державних органів — це нормальна практика для ліцензованого фінтеху. Проблема не в тому, що хтось порушив інструкцію. Проблема в самій інструкції: якщо верифікація «законного запиту» зводиться до того, чи переконливо виглядає лист і чи з правильного домену він надійшов — це не верифікація. Це оцінка якості імітації.

Надійний захист від такого сценарію потребує другого незалежного каналу підтвердження: дзвінка на офіційний номер до передачі даних, а не після. Revolut зробив цей дзвінок після. Чи зміняться процедури — банк не повідомляє.

Що робити, якщо ви користувач Revolut

Revolut заявив, що повідомить постраждалих напряму. Якщо листа не було, з високою ймовірністю ваших даних серед злитих немає. У будь-якому разі базові заходи варто вжити вже зараз:

1. Перевірте сповіщення: переконайтеся, що в застосунку ввімкнено сповіщення про вхід в акаунт і про кожну операцію.
2. Змініть пароль і розгляньте перевипуск віртуальної картки, якщо IBAN прив’язаний до сторонніх сервісів.
3. Будьте обережні з вхідними контактами. Фішингові дзвінки та листи від «Revolut» або «служби безпеки банку» — класичний наступний крок шахраїв, які отримали реальну базу клієнтів з іменами та телефонами.
4. Якщо у вас значні активи в крипті — обміркуйте холодне зберігання та зміну біткоїн-адреси. Усі наші розбори про безпеку біткоїна — в архіві про біткоїн.

Думка редакції

Чи можна передбачити, як Revolut вчинить із наступним подібним запитом? Так — якщо дивитися на архітектуру, а не на репутацію. За обсягом звернень, який обробляє фінтех із 50 мільйонами клієнтів, одна переконлива імітація офіційного домену рано чи пізно пройде — не тому, що там працюють недбалі люди, а тому, що система не передбачала другого каналу підтвердження як обов’язкового. Система, чия надійність тримається на уважності конкретного оператора в режимі потоку, не є надійною за побудовою — вона просто ще не була випробувана достатньо. Це важливо розуміти не лише про Revolut: будь-який фінтех, що обробляє правоохоронні запити без криптографічної або багатоканальної верифікації, перебуває в тій самій позиції.

Підсумок

Класичного зламу не було: жоден сервер не зламували, жоден пароль не підбирали. Дані вийшли через стандартний процес, який просто не перевірив те, що зобов’язаний був перевірити. Паспорти, адреси та історія біткоїн-операцій частини клієнтів тепер у невідомих. Кошти при цьому не зачеплені — але це слабка втіха для тих, у кого криптоактиви тепер прив’язані до реальної адреси проживання. Стежте за офіційними повідомленнями Revolut і не відкладайте базові заходи безпеки.