Revolut entrega a un falso Gobierno los pasaportes y el historial bitcoin
Por Luki · Alba.City · Publicado el 13 de septiembre de 2026 · Actualizado el 13 de septiembre de 2026
El ladrón no forzó ninguna ventana. Llamó al timbre, enseñó una placa y le abrieron.
Eso es lo que le ha pasado a Revolut. El banco digital avisó el viernes a un grupo de clientes de que sus datos habían salido por la puerta principal.
Salió el pasaporte o el carné de conducir, y con él el selfi de verificación. Salieron también el nombre, la fecha de nacimiento, la profesión, el domicilio, el teléfono y el IBAN.
También los extractos y el historial completo de movimientos, con la actividad en bitcoin dentro, según detalló CryptoSlate.
No salió ninguna llave privada, ninguna contraseña, ningún PIN. No hacía falta.
La petición llegó desde un buzón auténtico
El correo que reclamaba los datos venía del dominio de una agencia gubernamental real, llevaba credenciales válidas y pasó los controles de autenticación de Revolut sin levantar una sola alarma.
Lo que fallaba era el buzón: alguien lo operaba sin permiso dentro de esa infraestructura oficial.
Revolut contactó después con el organismo, concluyó que la petición era fraudulenta, bloqueó la dirección y empezó a avisar a clientes y reguladores.
Hay un párrafo de esta historia que sigue en blanco. La empresa no ha dicho qué agencia era ni a cuántos clientes afecta.
Tampoco ha explicado por qué entregó los registros antes de confirmar la petición por una vía que no fuera ese mismo correo. Es la pregunta que importa, y hoy no tiene respuesta.
El investigador ZachXBT, que destapó el caso, calcula que el alcance fue limitado y apunta a clientes de patrimonio alto.
Lo que se hace con un domicilio
Un extracto bancario filtrado es un disgusto. Un domicilio pegado a un historial de bitcoin es otra cosa.
Es la diferencia entre que alguien sepa cuánto ganas y que sepa, además, el portal por el que entras cada noche.
Las transacciones de bitcoin viven en un registro público que cualquiera puede leer, y lo único que le faltaba a ese registro era tu nombre. Ya no le falta.
Con ese hilo se tira del resto de la actividad en la cadena y se estima un saldo, de manera que una filtración administrativa acaba siendo un problema físico.
No es una hipótesis de laboratorio: Trezor lleva un mes entero dentro de esa misma película.
El fabricante checo reconoció el 4 de septiembre que la brecha de ShipMonk, su empresa de envíos, afecta ya a 80.689 clientes. Salieron nombres, correos, teléfonos, direcciones de entrega y números de pedido, según su propio aviso.
Trezor había pedido por escrito, y recibido por escrito, la confirmación de que esos pedidos estaban borrados. Los de 2019 a 2021 seguían ahí.
Compras un monedero físico para que nadie sepa cuánto bitcoin tienes. La billetera te llega en una caja con tu nombre y tu portal impresos por fuera, y ese papel sobrevive años en el ordenador de un tercero.
Cinco días después llegó la segunda parte. El 9 de septiembre un atacante entró en Brevo, la plataforma con la que Trezor manda su boletín, y envió correos desde el dominio auténtico del fabricante.
El mensaje se titulaba «Critical Security Alert: STM32 Entropy Vulnerability» y pedía instalar una aplicación y escribir dentro las palabras de la copia de seguridad. La empresa tumbó el dominio en veinte minutos, pero 2.500 personas ya habían hecho clic.
Ese es el enlace entre las dos historias. En los dos casos la empresa que guardaba tus datos era la buena, y el fallo estaba en el proveedor que tenía detrás.
Cuatro cosas que hoy sí dependen de ti
Uno. Ningún fabricante de monederos te va a pedir jamás tus doce palabras. Ni por correo, ni por teléfono, ni por una aplicación. Quien te las pida te está robando.
Dos. Usa un correo distinto para las compras de material y para tu vida, porque cuando llegue el mensaje fraudulento sabrás de qué lista salió tu dirección.
Tres. Pide el envío a un punto de recogida y no a tu casa: cuesta lo mismo y borra tu portal del archivo de la empresa de transporte.
Cuatro. Si te llaman citando un pedido real, cuelga y llama tú al número oficial. El dato que hace creíble la llamada es justo el que se ha filtrado. Nuestra guía de seguridad y la de autocustodia desarrollan el resto.
El precio, mientras tanto, no se enteró de nada. Bitcoin se cambia esta madrugada a 77.303 dólares, unos 66.629 euros, según CoinGecko, plano en las últimas veinticuatro horas tras el pico del viernes.
La cadena va por el bloque 966.754 y el próximo ajuste de dificultad apunta a una subida cercana al 4,8 %, según mempool.space. Más potencia de cálculo defendiendo exactamente las mismas reglas.
Esa es la parte que no se filtró esta semana. Lo que se filtró fue todo lo que rodea a la red: la empresa que te manda el aparato, la plataforma que te manda el boletín, el banco que te pidió el pasaporte.
Tus llaves aguantan. El timbre es el problema.