Revolut entregó pasaportes de clientes a falsos funcionarios. Ahora alguien pide 6.000 monero por ellos
Nadie forzó ninguna cerradura. Alguien le escribió a Revolut haciéndose pasar por un funcionario del gobierno, pidió los registros de sus clientes, y los consiguió.
Las solicitudes parecían oficiales. Pasaron los controles de Revolut. La empresa entregó los registros de sus clientes y solo después descubrió que las solicitudes eran fraudulentas, según los avisos que envió a los clientes afectados. Al menos 680 cuentas resultaron comprometidas.
Ahora un grupo que se hace llamar 'iamnotavillain' pide dinero. Exige 3 millones de dólares en monero —6.000 XMR, una moneda diseñada para ocultar quién envía qué a quién— en un plazo de 24 horas, y publicó la exigencia el miércoles con un reloj de cuenta regresiva corriendo, según reportó el Financial Times. Si Revolut no paga, el grupo dice que venderá los datos a otras bandas criminales. Para demostrar que tiene el material, le envió al FT una grabación de pantalla de 60 segundos: pasaportes, licencias de conducir, las selfies usadas para verificar identidad, historiales de transacciones.
El detalle que debería inquietarte no es el rescate. Es cómo eligieron a las víctimas. Los hackers le dijeron al FT que usaron análisis de blockchain para encontrar cuentas de Revolut con tenencias significativas de cripto. En criollo: leyeron el libro contable público, vieron qué billeteras tenían plata de verdad, y después salieron a buscar los nombres detrás de esas billeteras. La blockchain es pública por diseño —siempre fue ese el argumento de venta—. Acá funcionó como lista de compras.
Una moneda robada se puede mover, congelar, a veces hasta recuperar. Un escaneo de pasaporte no se puede descopiar. Esa es toda la historia en una sola línea, y por eso esta filtración es distinta a los hackeos de exchanges que uno está acostumbrado a leer.
Revolut dijo que sus sistemas y los fondos de los clientes no se vieron afectados, que bloqueó la dirección usada en las solicitudes, y que notificó a la agencia gubernamental correspondiente, a las fuerzas de seguridad y a los reguladores. Todo eso puede ser cierto a la vez y aun así dejar a 680 personas en un aprieto. Su dinero está bien. Sus documentos de identidad están en un video que se les muestra a periodistas como prueba de venta. El punto débil acá fue humano: alguien leyó un correo que parecía suficientemente oficial y actuó en consecuencia.
Cualquiera que alguna vez haya subido una foto de su pasaporte y una selfie para abrir una cuenta desde el celular —es decir, la mayoría de los menores de 40 años que usan una app fintech, y prácticamente todo el que haya tocado cripto de forma legal—. Especialmente los que tienen algunos miles en monedas y no tienen idea de que la actividad de su billetera puede leerla cualquier desconocido: ese saldo visible fue justamente lo que hizo que eligieran a algunas de estas 680 cuentas. También le toca a quien está pensando si dejar sus ahorros en una app en vez de un banco tradicional: la app no perdió la plata, perdió los documentos, y esos no se reponen con una tarjeta nueva.
La cuenta regresiva arrancó el miércoles y corría 24 horas. Qué pasa cuando se agote, no lo sabemos: los hackers le dijeron al FT que no había habido negociaciones con Revolut al momento de la publicación, y Revolut no respondió al pedido de comentarios de CoinDesk antes de esa publicación. Hay que mirar dos cosas: si Revolut dice algo sobre pagar o negarse, y si la agencia gubernamental que notificó dice algo al respecto. No se fijó plazo para ninguna de las dos.
Los atacantes no vulneraron a Revolut. Le preguntaron, con voz de gobierno, y Revolut contestó. En algún punto de ese intercambio, una persona decidió que el pedido parecía lo bastante legítimo como para actuar. Esa decisión ahora mide 680 pasaportes de largo —y ninguna cantidad de monero la compra de vuelta.
Fuentes: CoinDesk, 16 de septiembre de 2026, con base en reporte del Financial Times.
Estafadores se hicieron pasar por un organismo del Estado, Revolut les entregó pasaportes y selfies de sus clientes, y ahora los atacantes usaron el propio blockchain para elegir a quienes tenían más cripto y les piden un rescate: la identidad robada, a diferencia de las monedas, no se puede devolver.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones