Revolut entregó pasaportes e historiales de Bitcoin a hackers

Revolut avisó el viernes a un grupo de clientes de que había entregado su documentación personal a delincuentes que se hicieron pasar por una agencia estatal. No hubo intrusión informática: alguien remitió una petición de datos con apariencia oficial y la fintech la tramitó como si lo fuera. Según el aviso que recibieron los afectados, lo enviado podía incluir copias del pasaporte o del carné de conducir, los selfis de verificación de identidad, el nombre, la fecha de nacimiento, la profesión, el domicilio, el teléfono, el IBAN y extractos de cuenta. También los registros de retiradas y el historial completo de transacciones, con las operaciones en Bitcoin dentro. El caso lo adelantó este sábado CryptoSlate, que sitúa el aviso entre clientes de patrimonio alto. Revolut no ha detallado cuántas cuentas entraron en ese envío.

Cómo funciona el fraude de la petición urgente

Las peticiones de emergencia existen para casos reales. Cuando un cuerpo policial cree que hay una vida en riesgo puede reclamar datos a un banco o a una plataforma sin esperar a un juez, y la empresa contesta en horas. El fraude consiste en imitar ese atajo: un correo desde un dominio que parezca institucional —o desde una cuenta oficial comprometida—, una urgencia verosímil y un formato que el destinatario ha visto cien veces. Al otro lado hay un equipo de cumplimiento que tramita requerimientos en serie y que, por diseño, dispone de poco margen para dudar. En el relato del aviso a clientes no se identifica a la agencia suplantada ni se explica por qué canal llegó la solicitud.

La técnica no es nueva y no es exclusiva de la banca digital: llevan años documentándose casos en grandes plataformas tecnológicas, casi siempre con buzones oficiales robados de por medio. Lo que cambia aquí es qué había al final del cajón.

Por qué el historial de transacciones pesa más que el pasaporte

Un pasaporte se renueva. Un domicilio se puede cambiar, con esfuerzo. El historial de una cartera no se deshace: dice cuánto compró alguien, cuándo, a qué precio y hacia qué direcciones salió después. Con el nombre del titular al lado, quien lo tenga sabe a quién merece la pena presionar y por qué cantidad. Es la materia prima de dos delitos muy concretos. Uno es el fraude dirigido, ese mensaje que cita una operación real del año pasado y que por eso cuela; nuestro catálogo de estafas con criptomonedas las ordena por señales. El otro es el asalto físico contra quien se sabe que guarda sus propias claves, lo que en el sector se llama sin rodeos ataque de la llave inglesa.

Conviene separar dos cosas que se confunden en cada filtración. Las monedas guardadas en autocustodia no se mueven por esto: nadie ha tocado una clave privada, y un Ledger Nano X o un Trezor Safe 5 siguen firmando igual que ayer. Lo que ha quedado expuesto es la persona. Y ahí el dispositivo no protege: protege saber que el banco no pide semillas, que el soporte técnico no llama primero y que un selfi de verificación circulando es una llave para recuperar cuentas ajenas. Esa jerarquía está en nuestra lista de seguridad por impacto, y el orden importa más que el hardware.

Qué obliga el RGPD y dónde reclama un cliente en España

Revolut opera en la Unión Europea a través de Revolut Bank UAB, con licencia bancaria lituana, y presta servicio en España bajo ese paraguas. Eso mete el episodio de lleno en el Reglamento General de Protección de Datos. El artículo 33 obliga a notificar la brecha a la autoridad de control en un plazo de 72 horas desde que la entidad tiene constancia de ella. El artículo 34 obliga a avisar a los afectados cuando el riesgo para sus derechos es alto, y el correo del viernes encaja en ese supuesto: documentos de identidad e historial financiero en manos desconocidas es exactamente el caso que el legislador tenía en mente.

La autoridad principal para Revolut Bank UAB es la lituana, por el criterio de ventanilla única. Un residente en España puede presentar su reclamación ante la Agencia Española de Protección de Datos, que la traslada a esa autoridad y sigue siendo su punto de contacto durante el expediente. La vía existe y la sanción, si llega, llegará. Lo que el RGPD no repara es el daño: los datos ya están fuera, y en este caso son datos que no caducan.

Qué queda por saber

Tres frentes abiertos. Cuántas cuentas iban en el envío, un número que Revolut todavía no ha puesto encima de la mesa. Si la autoridad lituana abre investigación, con el reloj de las 72 horas corriendo desde el día en que la compañía detectó el engaño. Y si la misma petición falsa se cursó en otras entidades, que es lo habitual cuando el atacante ya tiene un buzón creíble: quien consigue uno rara vez lo usa una sola vez. Los clientes que recibieron el aviso del viernes son, de momento, la única medida pública del alcance.

Fuentes

• Revolut tricked into handing hackers the passports and Bitcoin histories of wealthy customers — CryptoSlate, 12/09/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.