Revolut отдал досье, из которого выбирают жертв налётчики

Revolut выдал полное досье клиента тому, кто прислал поддельный государственный запрос, пишет CoinDesk. Ончейн-исследователь ZachXBT поднял тему в Telegram на этой неделе. Компания заявляет, что средства клиентов в безопасности, что она уведомила пострадавших пользователей и регуляторов и заблокировала источник запроса.

“Утечка выглядит небольшой по охвату и, возможно, била по состоятельным пользователям.”

— ZachXBT, Telegram, 11 сентября 2026 года

ZachXBT, ончейн-исследователь

Сохранность средств — мера неподходящая. Из банка ушли паспорт или водительские права, селфи для верификации, имя, дата рождения и род занятий, домашний адрес, почта и телефон, IBAN, выписки по счёту, записи о выводах и полная история транзакций, включая все движения биткоина. Банковскую карту перевыпускают за неделю. Фотографию паспорта рядом с домашним адресом и подтверждённым балансом не отзовёшь никак.

Чего стоит это досье

Именно такое сочетание и есть файл наводки под одно конкретное преступление, которое в отрасли называют нападением с гаечным ключом, а счёт таким случаям кто-то ведёт, в открытом списке на GitHub:

• В публичном журнале Джеймсона Лоппа собрано 302 задокументированных физических нападения на держателей криптовалют с 2014 года.
• В 2024 году их было 36, в 2025-м — 78, то есть рост на 117%.
• За первые 255 дней 2026 года набралось 57, а это темп примерно в 82 случая за полный год.

Сколько клиентов задето, Revolut не сообщил. ZachXBT оценивает охват как небольшой и нацеленный на состоятельные счета, и это версия хуже. Широкая утечка размывает внимание по тысячам имён. Узкая, уже отсортированная по балансу, отдаёт готовый короткий список.

Технике четыре года

Техника обходится без взлома. Экстренные запросы данных позволяют полиции быстро получить сведения об абоненте без судьи, по доводу, что человек в опасности, и платформы отвечают на них с полицейского адреса почты. Преступники разобрались в этом годы назад: в 2021 и 2022 годах Apple, Meta и Discord отдали данные пользователей по поддельным запросам с захваченных полицейских аккаунтов, а участники группы Lapsus$ торговали доступом к таким аккаунтам. ФБР выпустило официальное предупреждение о поддельных запросах в ноябре 2024 года.

Четырёхлетняя техника с федеральным предупреждением в довесок сработала против банка, который сейчас добивается лицензии в США.

Второй список за месяц

Это второй случай за месяц, когда список подтверждённых владельцев криптовалюты уходит через боковую дверь. Утечка покупателей Trezor выросла ещё на 67 тысяч человек 4 сентября, и пришла она через подрядчика по доставке, а не через самого производителя кошельков. Ни один приватный ключ в обоих случаях не пострадал, а результат вышел один и тот же: проверенный список людей с монетами и с адресами.

Клиенту Revolut остаётся короткий набор действий. Считайте, что досье уже снаружи, относитесь к любому звонку от имени банка или полиции как к враждебному и меняйте то, что ещё поддаётся замене, — номер телефона и почту, а не лицо и квартиру. Остальным остаётся другое число: 57 нападений за 255 дней и то, как дёшево сегодня собирается список, из которого их берут.

Это не финансовый совет — только информация к размышлению.