Revolut hat gegenüber BeInCrypto bestätigt, dass es tatsächlich von einer Person getäuscht wurde und daraufhin Kundendaten weitergegeben hat. In den eigenen Hinweisen steht, dass diese Dateien unter anderem Reisepässe, Selfies und Bitcoin-Aufzeichnungen enthalten. Das Unternehmen nennt dies einen „ausgeklügelten Angriff". Beschrieben wird jedoch lediglich eine E-Mail.
Die Nachricht kam von der E-Mail-Adresse einer echten Regierungsstelle und nutzte gültige Zugangsdaten. Revolut hielt die Mail daher für echt und übermittelte die Dateien.
Was Revolut sagt, was passiert ist
Ein Sprecher von Revolut erklärte gegenüber BeInCrypto, die Bank habe den Absender sofort gesperrt, nachdem das Problem erkannt wurde.
„Revolut hat kürzlich einen ausgeklügelten externen Täuschungsversuch erkannt, bei dem eine nicht autorisierte dritte Partei die E-Mail-Domain einer echten Regierungsstelle genutzt hat, um betrügerische Anfragen nach Informationen zu stellen... Die Systeme und Kundengelder von Revolut sind nicht betroffen."
Folgen Sie uns bei X, um die aktuellsten Nachrichten sofort zu erhalten
Das Unternehmen teilt mit, es habe die Behörde, die Polizei sowie die Datenschutz- und Finanzaufsichtsbehörden informiert. Außerdem wurden laut Revolut die nach eigener Aussage geringe Zahl der betroffenen Personen persönlich kontaktiert.
Was im Statement fehlt
Revolut sagt, die Konten bleiben sicher. Das ist zwar richtig, aber nicht das eigentliche Problem.
Laut Bank wurden Passcodes, Zugangsdaten und biometrische Daten niemals offengelegt. Es sei zudem kein Geld bewegt worden.
Die Benachrichtigungen, die an Kunden verschickt wurden, beschreiben es jedoch anders. Sie erklären, dass das Verifizierungs-Selfie weitergegeben wurde, schließen aber nur die biometrische Gesichtsanalyse aus, also die Gesichtsvorlage, die ein System aus einem Foto erstellt. Das Foto selbst ist jedoch ein anderer Punkt.
In diesen Benachrichtigungen werden zudem weitere Daten aufgelistet: Reisepässe, Führerscheine, Wohnadressen, Kontoauszüge und vollständige Aufzeichnungen darüber, wie viel Bitcoin ein- oder ausgezahlt wurde.
Revolut gab nach mutmaßlich gefälschtem Regierungsersuchen Reisepässe und Bitcoin-Aufzeichnungen heraus. Quelle: ZachXBT Ein Passwort kann man innerhalb einer Minute ändern. Einen Reisepass allerdings nicht.
Revolut will nicht sagen, welche Behörde betroffen war. Als Grund nennt das Unternehmen die laufenden Ermittlungen der Polizei. Daher weiß außerhalb von Revolut niemand, ob zum Beispiel ein E-Mail-Postfach einer Regierung gehackt wurde oder ob jemand, der bereits Zugriff hatte, selbst auf „Senden" geklickt hat.
Der Blockchain-Ermittler ZachXBT, der gestohlene Kryptowährung aufspürt, hat auf den Vorfall aufmerksam gemacht. Er hob hervor, dass die Daten bei einer kleinen Nutzergruppe landeten und offenbar gezielt vermögende Personen betroffen waren.
Woke up to all my data leaked by @Revolut .
— Marc Zeller (@mzeller) September 12, 2026
Sharp reminder that KYC hasn’t produced meaningful upside and has put many in harm’s way. pic.twitter.com/RimOBQr7DW
Gestohlene Kundendaten haben nach Sicherheitslücken in der Vergangenheit bereits Phishing-Risiken erhöht. Durch geleakte Wohnadressen kam es zudem zu gewalttätigen Angriffen auf Halter.
Man kann das Wort „ausgeklügelt" auch anders verstehen. Nach Revoluts eigener Darstellung hat der Angreifer nur eine E-Mail geschrieben und gewartet. Der clevere Teil fand im Mail-System der Behörde statt, der teure Fehler jedoch bei Revolut selbst.
Lesen Sie die Originalgeschichte Revolut bestätigt gefälschtes Regierungs-E-Mail, entwendete Passdaten und Bitcoin-Aufzeichnungen: Wer steckt dahinter? von Lockridge Okoth auf de.beincrypto.com