Der Fintech-Anbieter Revolut fiel auf eine ausgefeilte Phishing-Attacke herein und gab sensitive Kundendaten an einen Betrüger ab, der sich als Regierungsbehörde ausgab. Betroffen waren Passkopien, Verifizierungsselfies und vollständige Bitcoin-Transaktionshistorien.
Revolut bestätigte gegenüber TechCrunch, dass eine „begrenzte Anzahl" von Kunden von dem Vorfall betroffen ist. Der Betrüger versandte eine Anfrage von einer E-Mail-Adresse, die das legitime Domainzertifikat einer Regierungsbehörde nutzte, weshalb Revolut die Anfrage für authentisch hielt und die angeforderten Daten weitergab. Das Unternehmen lehnte es ab, konkrete Zahlen zu nennen oder die betroffene Behörde zu identifizieren.
Die geleakten Daten waren umfangreich: neben Personaldokumenten wie Passkopien und Führerscheinen auch Verifizierungsselfies, Kontaktdaten, Kontoauszüge mit IBAN und Wallet-Referenzen sowie die komplette Transaktionshistorie inklusive Bitcoin-Bewegungen. Laut Crypto-Investigator ZachXBT zielten die Betrüger offenbar gezielt auf vermögende Nutzer ab – eine besonders besorgniserregende Strategie angesichts steigender physischer Übergriffe auf bekannte Krypto-Besitzer.
Die Sicherheitspanne verstärkt die Kritik an KYC-Bestimmungen (Know-Your-Customer), die umfangreiche Datensammlungen erfordern. Viele Nutzer argumentieren, dass die Identitätsprüfungen zwar Kunden gefährde, aber keinen realen Mehrwert biete. Der Incident zeigt zudem ein strukturelles Problem: Legitime Domänenzertifikate allein reichen nicht aus, um Betrügereien zu verhindern.