Revolut livre des données clients à des criminels, qui réclament 10 000 bitcoins

La banque numérique Revolut a transmis à des escrocs des passeports, des adresses personnelles et des historiques complets de transactions en Bitcoin (BTC). Non pas à la suite d’un piratage, mais en réponse à une fausse demande officielle qui a franchi tous les contrôles internes. Il apparaît désormais que des clients néerlandais ont également été touchés. Les criminels publient des données de victimes et réclament 10 000 bitcoins à Revolut. Si la banque ne paie pas, ils menacent de rendre publiques chaque jour davantage d’informations sur ses clients.

Revolut tombe dans le piège

Revolut a confirmé la fuite de données samedi dernier. La demande était arrivée depuis le domaine e-mail officiel d’une administration, avec une vérification de domaine valide. Sur le plan technique, tout semblait conforme. Seul le compte à l’origine de la demande n’était pas autorisé.

Revolut a transmis les informations, puis a contacté elle-même l’administration concernée. Ce n’est qu’à ce moment-là que la demande s’est révélée frauduleuse.

« Dès la découverte de l’incident, nous avons immédiatement bloqué l’adresse et alerté l’organisme public concerné, ainsi que les services d’enquête, les autorités de protection des données et les régulateurs financiers », a indiqué un porte-parole de Revolut. Selon la banque, ses systèmes et les fonds de ses clients n’ont pas été touchés.

Revolut a été lancée à Londres en 2015 sous la forme d’une carte prépayée destinée aux voyageurs. Elle compte aujourd’hui plus de 70 millions de clients. La banque ne dispose pas d’agences et opère en Europe sous agrément lituanien.

Outre les paiements, l’épargne et l’investissement, ses utilisateurs peuvent également y acheter des cryptomonnaies. Cette activité existe depuis 2017 et s’est dotée en 2024 d’une application de trading dédiée.

Ce que la fuite de données de Revolut a révélé

Le volume des données dérobées est important : noms complets, dates de naissance, professions, adresses personnelles, numéros de téléphone, copies de passeports ou de permis de conduire, ainsi que selfies de vérification. S’y ajoutent des numéros IBAN, des relevés de compte, des données de retrait et l’historique complet des transactions, y compris toute l’activité en Bitcoin. D’après les courriels envoyés, les données biométriques faciales n’auraient pas été transmises.

Revolut refuse de préciser combien de clients ont été concernés. Il s’agirait d’un nombre « très limité ». Mais avec plusieurs dizaines de millions d’utilisateurs, un client sur mille représente déjà des dizaines de milliers de personnes.

Il est désormais établi que les criminels publient effectivement en ligne une partie des données volées. BNR Nieuwsradio a notamment pu consulter des informations relatives à des comptes de paiement, des selfies de vérification et des copies de pièces d’identité.

Parmi elles figurent également des copies de passeports de ressortissants néerlandais, dont celui de la chanteuse Yade Lauren. Des pièces d’identité provenant notamment d’Allemagne, de Bulgarie, de Malte et de Corée du Sud ont aussi été publiées.

Dans plusieurs cas, les personnes visées semblent fortunées. Les données de Felix Römer, propriétaire du casino crypto Gamdom, ont ainsi également été publiées. Römer a confirmé sur X que ses informations avaient fuité et a réagi ainsi : « Ah, c’est quoi ce bordel, @Revolut. »

Cette situation rejoint la première analyse de l’enquêteur on-chain ZachXBT, qui avait signalé l’incident dans un message Telegram. Selon lui, la fuite semble limitée par son ampleur, mais aurait précisément visé des clients fortunés.

Les criminels accentuent désormais la pression. Selon des messages partagés par Coin Bureau, ils réclament 10 000 BTC à Revolut et menacent de publier chaque jour davantage de données clients jusqu’à ce que la banque paie. Cette demande de rançon n’a pas été confirmée par Revolut.

Pourquoi les détenteurs de bitcoins sont plus exposés

Revolut collecte des passeports et des selfies afin de respecter les règles d’identification des clients et de lutte contre le blanchiment. La banque conserve aussi les bitcoins, car les clients ne disposent pas de leur propre portefeuille.

Tous les actifs sont regroupés, tandis qu’un registre interne indique quelle part appartient à qui. C’est précisément cette information qui se retrouve aujourd’hui entre les mains de criminels : un nom, une adresse personnelle et le patrimoine en cryptomonnaies correspondant, réunis au même endroit.

C’est le lien que la blockchain publique, elle, n’établit jamais. Elle enregistre chaque montant, mais jamais l’identité de la personne qui se trouve derrière ni son adresse.

Une personne disposant d’un compte bien garni peut donc désormais figurer sur une liste indiquant précisément aux criminels quelle cible mérite leur attention. Ce risque augmente encore maintenant que les attaquants publient effectivement des données de victimes et menacent de continuer chaque jour.

C’est exactement ce type d’information qu’ils recherchent. Auparavant, la corruption de prestataires externes du support chez Coinbase avait déjà provoqué une fuite comparable.

Et cette année, les attaques physiques contre des détenteurs de cryptomonnaies se multiplient. La société de sécurité CertiK a recensé 124 millions de dollars dérobés au premier semestre lors de braquages avec violence ou menace, contre environ 132 millions de dollars sur l’ensemble de 2025.