Дослідники розкрили схему з фальшивими криптозапитами в Revolut

• Аналітики виявили, як Revolut передав дані клієнтів через фальшиві запити.
• У центрі інциденту опинився не злом самого банківського застосунку, а зловживання каналом, через який фінансові установи взаємодіють із державними органами.
• 680 клієнтів Revolut могли постраждати від витоку.
• Зловмисники, за даними дослідників, використовували публічні криптотранзакції та адреси гаманців для отримання KYC-даних потенційно заможних користувачів.

Фінтех-компанія Revolut зіткнувся з наслідками витоку даних близько 680 клієнтів після того, як зловмисники використали скомпрометовані італійські державні поштові скриньки для надсилання фальшивих запитів до фінтех-компанії. Про це йдеться в матеріалах FT та International Cyber Digest.

‼️ BREAKING: We're in contact with the Revolut hacker. According to them, they didn't only take Revolut data, they've also compromised multiple Italian law enforcement departments.

They say the operation targeting Revolut ran for six months, and that they used Italian law... pic.twitter.com/ZYGWZEc0tL --- International Cyber Digest (@IntCyberDigest) September 14, 2026

На тлі публікації даних користувачів і можливих вимог викупу дослідники розкривають механізм атаки, а юристи та правозахисники вказують на системну проблему перевірки державних запитів у фінансовому секторі.

Крім того, частину тверджень поширюють самі ймовірні зловмисники. Revolut не підтвердив усі оприлюднені цифри та деталі.

Revolut розкрила дані клієнтів через шахрайський запит --- серед них історія біткоїн-транзакцій
13.09.2026
Читати

За словами раннього інвестора Revolut та незалежного аналітика Макса Карпіса, компанія отримувала вимоги викупу, а люди, які стверджують, що володіють викраденими файлами, почали публікувати копії документів і селфі клієнтів у Telegram.

After Revolut's data breach, the company has reportedly received ransom demands: pay up, or they'll release customer files.

People claiming they hold the pack are posting ID copies and selfies on Telegram and saying they will drip more every day. One figure doing the rounds is... --- Max Karpis (@maxkarpis) September 14, 2026

Водночас Карпіс наголосив, що заявлена сума у 10 000 BTC наразі не підтвердили у Revolut, а саму інформацію слід сприймати обережно.

<<Revolut досі заявляє про "обмежений" масштаб інциденту, а застосунок і гроші не були зломані. Це вимагання після того, як співробітник Revolut передав KYC на неавторизовану поштову скриньку на реальному державному домені. Оплата не повернула б паспорти>>, --- написав він.

Карпіс також закликав потенційно постраждалих користувачів вжити додаткових заходів безпеки: за можливості заморозити кредитні лінії, встановити новий код доступу та сповіщення про операції з карткою в застосунку, а також не вступати в контакт із людьми, які вже знають IBAN користувача або його попередні криптовалютні транзакції.

Окремо він порадив розглянути можливість заміни паспорта, оскільки в деяких країнах після компрометації документа можна анулювати старий номер і отримати новий. Водночас експерт попередив про ще одну потенційну схему шахрайства: пропозиції <<видалити файл>> за гроші можуть бути спробою повторного виманювання коштів.

Як зловмисники могли отримувати дані криптовалютних клієнтів

За інформацією користувача платформи X під обліковим записом Korra, зловмисник, який використовує псевдонім IAmNotAVillain, застосовував так звану тактику spray and pray: надсилав Revolut сотні ідентифікаторів криптовалютних транзакцій і депозитних адрес та просив надати інформацію про пов'язані з ними рахунки.

‼️ BREAKING: Duel can report that the Revolut hacker used a "spray and pray" strategy, sending hundreds of cryptocurrency transaction IDs to Revolut and asking for the associated account details. Revolut complied.

This explains the sheer volume of data the hackers were able to... pic.twitter.com/RqGsuEIkMZ --- Korra (@korraflow) September 15, 2026

За твердженням Duel, такі запити надсилалися під прикриттям підробленого European Investigation Order --- європейського слідчого доручення. Revolut, як стверджується, надавав у відповідь архіви з даними клієнтів.

Дослідники заявили, що отримали та перевірили автентичні копії листів у форматі .eml. В одному з них містилися 10 папок, кожна з яких була присвячена окремому клієнту. За даними Duel, у папках знаходилися:

• фотографії документів, що посвідчують особу;
• селфі для верифікації;
• інформація про рахунок;
• дані про транзакції без редагування.

Пароль до зашифрованого ZIP-архіву, за даними дослідників, надсилався окремим листом.

Ця схема також пояснює, чому зловмисники могли цілеспрямовано шукати інформацію про заможних клієнтів Revolut. Публічні блокчейни дозволяють бачити адреси та транзакції, а отже, криптовалютна транзакція могла використовуватися як своєрідний пошуковий ключ для запиту до централізованої фінансової установи.

Дослідники стверджують, що зловмисник передавав Revolut сотні хешів транзакцій та депозитних адрес, які, на його думку, були пов'язані з клієнтами з великими активами. Після цього компанія нібито повертала інформацію про відповідних користувачів.

Окремі твердження про 147 ГБ даних, нібито викрадених з італійських державних систем, а також про публікацію даних клієнтів поширюють дослідники та люди, які стверджують, що контактують зі зловмисниками.

Правозахисниця та президентка Open Dialogue Foundation Людмила Козловська зазначила, що нові документи підтверджують: 24 липня 2026 року Revolut відмовився безпосередньо розкривати інформацію за запитом, який охоплював 198 хешів. За її словами, 169 із них були пов'язані з Revolut Ltd у Великій Британії, ще 29 --- зі швейцарською юридичною особою.

New evidence shows: (1) @Revolut did apply the one refusal ground the law gives it. (2) the attackers targeted in their malicious request high-value clients using blockchain transactions.

Documents show that on 24 July 2026, on a request covering 198 hashes, Revolut refused... https://t.co/Hs4eHdvBuo --- Lyudmyla Kozlovska 🇪🇺🇺🇦 (@LyudaKozlovska) September 15, 2026

За твердженням Козловської, компанія застосувала передбачену законом підставу для відмови --- юрисдикційне обмеження. Запит стосувався лише рахунків у Revolut Bank UAB у Литві, тоді як за іншими випадками заявника спрямували до британської процедури взаємної правової допомоги.

Водночас, вона наголосила, що європейські правила протидії відмиванню коштів не встановлюють для банку окремого обов'язку перевіряти справжність сторони, яка стоїть за автентифікованим державним запитом.

<<Європейське AML-законодавство не зобов'язує банк перевіряти запитувача і не надає дієвого механізму, щоб перевірити, хто насправді стоїть за автентифікованим державним запитом. Відмова відповідати загрожує штрафами на мільйони>>, --- заявила Козловська.

Що радять постраждалим і чому інцидент має ширші наслідки

Козловська закликала європейських громадян звернутися до своїх депутатів Європарламенту та вимагати термінових слухань щодо використання масового збору фінансових даних як інструменту атак.

Вона також звернула увагу на потенційно ширшу проблему: аналогічний ризик може стосуватися банків, криптовалютних бірж і платіжних сервісів у юрисдикціях, де діють правила FATF та відповідне AML-законодавство.

За її словами, фінансові установи зобов'язані реагувати на належним чином оформлені державні запити, тоді як механізми перевірки того, хто фактично стоїть за таким запитом, можуть бути обмеженими.

Козловська зазначила, що проблему вже порушували перед Європейським парламентом правозахисні організації, постраждалі та експерти за підтримки Open Dialogue Foundation. Вона відзначила, що цього року Європарламент у резолюції від 18 червня 2026 року окремо позначив ризик транснаціональних фінансових репресій.

На момент написання матеріалу Revolut не оприлюднив на своїй сторінці в X окремих рекомендацій щодо подальших дій клієнтів у зв'язку з інцидентом.

Нагадаємо, що нещодавно Revolut отримала умовне схвалення на створення національного банку в США.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.