Alguien le escribió a Revolut desde una dirección con pinta de gobierno. Funcionó.
Bastó una solicitud falsa enviada desde un dominio con apariencia oficial para que Revolut entregara documentos de identidad e historial de transacciones en Bitcoin de sus clientes. No hizo falta hackear nada: alcanzó con un correo convincente.
Revolut dice que datos de clientes quedaron expuestos después de que la empresa recibiera una solicitud falsa que parecía provenir de un dominio gubernamental. Los datos incluían material KYC —las fotos de pasaporte o documento de identidad y los datos personales que uno entrega al abrir una cuenta— y también información de transacciones en Bitcoin.
No hubo ningún robo, ninguna contraseña filtrada, ningún código sofisticado. Alguien preguntó, la solicitud parecía oficial, y la respuesta llegó. El investigador on-chain ZachXBT especuló que el incidente pudo haber apuntado a usuarios con grandes patrimonios.
Piensa en lo que esa combinación realmente significa. Tu documento de identidad dice quién eres, cómo te llamas y dónde vives. Tu historial de transacciones en Bitcoin dice, más o menos, cuánto tienes. Por separado, cada dato incomoda. Juntos, son una lista de compras: aquí está la persona, aquí su dirección, aquí cuánto guarda. Esa combinación es lo que importa, y por eso vale la pena detenerse en la sospecha de ZachXBT sobre usuarios adinerados.
Lo incómodo no es la tecnología. Es la cadena de confianza. Los bancos y los exchanges están diseñados para responder rápido a solicitudes oficiales —para eso existe una solicitud oficial. Lo que significa que el eslabón más débil no es el cifrado: es quien verifica que el remitente sea quien dice ser.
Una puerta que se abre para la policía también se abre para cualquiera que se parezca a la policía.
Cualquiera que haya subido una foto de su pasaporte a una app financiera y nunca más haya vuelto a pensar en eso —que es la mayoría de los menores de 40 que alguna vez abrieron una cuenta desde el celular. Ahí entra el joven de 25 años con su primer sueldo, un departamento alquilado y quizás un par de miles de dólares en cripto: cree que el riesgo es su contraseña, y no lo es. Y ahí entran también quienes ZachXBT cree que fueron el verdadero blanco: clientes con lo suficiente como para que alguien fabricara un dominio gubernamental falso solo para encontrarlos.
Revolut dijo que los datos de KYC y de transacciones en Bitcoin quedaron expuestos tras esa solicitud falsa. Más allá de eso, la fuente no dice cuántos clientes fueron afectados, quién envió la solicitud, ni si alguna autoridad está investigando. No lo sabemos, y preferimos decirlo antes que inventar una respuesta. Lo que hay que observar es si Revolut pone un número sobre la mesa —y si a los clientes afectados se les avisa uno por uno o se enteran por las noticias.
Puedes cambiar una contraseña en diez segundos. No puedes cambiar la foto de tu pasaporte, tu cara, ni el hecho de que ahora una billetera específica quedó vinculada a tu nombre. Algunas filtraciones caducan. Esta no.
Fuentes: The Block, «Revolut says customer KYC, Bitcoin transaction data exposed after fake request from gov't domain», 12 de septiembre de 2026.
Estafadores obtuvieron datos de pasaporte e historial de transferencias en Bitcoin de clientes de Revolut con solo enviar una solicitud desde una dirección parecida a la de un organismo gubernamental —y el golpe apunta justo a quienes más tienen en sus cuentas.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones