Revolut gab Kundendaten an Kriminelle weiter – Hacker fordern 10.000 Bitcoin

Die Digitalbank Revolut hat Reisepässe, Privatadressen und vollständige Bitcoin-Transaktionshistorien an Betrüger herausgegeben. Nicht infolge eines Hacks, sondern wegen einer gefälschten Behördenanfrage, die sämtliche internen Kontrollen passierte. Inzwischen zeigt sich, dass auch niederländische Kunden betroffen sind. Die Täter veröffentlichen Daten von Opfern und fordern von Revolut 10.000 Bitcoin. Zahlt die Bank nicht, wollen sie täglich weitere Kundendaten öffentlich machen.

Revolut fällt auf gefälschte Behördenanfrage herein

Revolut bestätigte das Datenleck am vergangenen Samstag. Die Anfrage kam über die offizielle E-Mail-Domain einer Behörde, einschließlich gültiger Domain-Verifizierung. Technisch wirkte alles korrekt. Nur das dahinterstehende Konto war nicht autorisiert.

Revolut übermittelte die Daten und nahm erst anschließend selbst Kontakt mit der Behörde auf. Erst dann stellte sich heraus, dass die Anfrage gefälscht war.

„Nach der Entdeckung haben wir die Adresse umgehend gesperrt und die betreffende Behörde sowie Ermittlungsstellen, Datenschutzbehörden und Finanzaufsichten informiert“, erklärte ein Sprecher von Revolut. Systeme und Kundenguthaben seien nach Angaben der Bank nicht betroffen gewesen.

Revolut startete 2015 in London als Prepaidkarte für Reisende und zählt inzwischen mehr als 70 Millionen Kunden. Die Bank hat keine Filialen und ist in Europa mit einer litauischen Lizenz tätig.

Neben Zahlungen, Sparprodukten und Wertpapieranlagen können Nutzer dort auch Krypto kaufen. Dieser Geschäftsbereich besteht seit 2017 und erhielt 2024 eine eigene Handels-App.

Was das Revolut-Datenleck offenlegte

Die erbeuteten Daten sind umfangreich: vollständige Namen, Geburtsdaten, Berufe, Privatadressen, Telefonnummern, Kopien von Reisepässen oder Führerscheinen sowie Verifizierungs-Selfies. Hinzu kommen IBAN-Nummern, Kontoauszüge, Auszahlungsdaten und die vollständige Transaktionshistorie einschließlich sämtlicher Bitcoin-Aktivitäten. Biometrische Gesichtsdaten wurden den versandten E-Mails zufolge nicht übermittelt.

Wie viele Kunden betroffen sind, will Revolut nicht sagen. Es handle sich um eine „sehr begrenzte“ Zahl. Bei mehreren Dutzend Millionen Nutzern entspräche schon ein Promille Zehntausenden Betroffenen.

Inzwischen steht fest, dass die Täter einen Teil der Daten tatsächlich im Netz veröffentlichen. BNR Nieuwsradio konnte unter anderem Daten zu Zahlungskonten, Verifizierungs-Selfies und Kopien von Ausweisdokumenten einsehen.

Darunter befinden sich auch Passkopien von Niederländern, darunter die der Sängerin Yade Lauren. Zudem wurden Ausweisdokumente unter anderem aus Deutschland, Bulgarien, Malta und Südkorea veröffentlicht.

In mehreren Fällen scheinen vermögende Personen gezielt betroffen zu sein. So wurden auch Daten von Felix Römer, dem Eigentümer des Krypto-Casinos Gamdom, veröffentlicht. Römer bestätigte auf X, dass seine Daten geleakt wurden, und schrieb: „Ah wtf @Revolut.“

Das deckt sich mit der früheren Einschätzung des Onchain-Analysten ZachXBT, der den Vorfall in einer Telegram-Nachricht öffentlich machte. Seiner Einschätzung nach ist das Leck vom Umfang her eher klein, richtete sich aber offenbar gezielt gegen wohlhabende Kunden.

Die Täter erhöhen unterdessen den Druck. Laut von Coin Bureau geteilten Nachrichten fordern sie 10.000 BTC von Revolut und drohen, täglich weitere Kundendaten zu veröffentlichen, bis die Bank zahlt. Revolut hat diese Lösegeldforderung nicht bestätigt.

Warum Bitcoin-Besitzer stärker betroffen sind

Revolut sammelt Reisepässe und Selfies, um Vorgaben zur Identitätsprüfung und Geldwäscheprävention zu erfüllen. Auch die Bitcoin-Bestände verwahrt die Bank, denn Kunden erhalten keine eigene Wallet.

Alle Coins landen in einem gemeinsamen Bestand, ein internes Register hält fest, welcher Anteil wem gehört. Genau diese Informationen sind nun in die Hände von Kriminellen geraten: Name, Privatadresse und das zugehörige Krypto-Vermögen, gebündelt in einem Datensatz.

Diese Verbindung stellt die öffentliche Blockchain selbst nie her. Sie dokumentiert jeden Betrag, aber nicht, wer dahintersteht und wo diese Person wohnt.

Wer größere Bestände auf dem Konto hatte, kann nun auf einer Liste auftauchen, die Kriminellen zeigt, welches Ziel sich lohnt. Dieses Risiko steigt, seit die Angreifer tatsächlich Daten von Opfern veröffentlichen und damit drohen, dies täglich fortzusetzen.

Genau auf solche Informationen haben es Angreifer abgesehen. Schon zuvor hatte die Bestechung externer Supportmitarbeiter bei Coinbase zu einem ähnlichen Datenleck geführt.

Zudem häufen sich in diesem Jahr physische Angriffe auf Krypto-Besitzer. Das Sicherheitsunternehmen CertiK registrierte in der ersten Jahreshälfte 124 Millionen Dollar an Beute bei Überfällen unter Einsatz oder Androhung von Gewalt, während es im Gesamtjahr 2025 rund 132 Millionen Dollar waren.