Revolut ha consegnato passaporti, selfie di verifica e cronologie complete delle transazioni Bitcoin di un numero limitato di clienti dopo aver risposto a una richiesta fraudolenta camuffata da comunicazione di un’agenzia governativa. L’email, inviata da un dominio email legittimo dell’agenzia governativa, ha superato i controlli di autenticazione interni della banca digitale britannica nella settimana appena trascorsa. Nessun fondo risulta compromesso, ma l’episodio riaccende l’allarme sui rischi di sicurezza fisica per i possessori di Bitcoin identificabili tramite dati KYC (know your customer, la verifica d’identita’ obbligatoria per banche ed exchange).
Cosa e’ Successo
Un truffatore ha inviato a Revolut una richiesta di dati camuffata da comunicazione ufficiale di un ente governativo, secondo quanto riportato da Decrypt. Il messaggio proveniva da un dominio email legittimo dell’agenzia, non da un indirizzo contraffatto, e ha superato le verifiche di autenticazione automatiche del sistema. Revolut ha trattato la richiesta come autentica e ha consegnato un pacchetto di dati che includeva passaporti, patenti, selfie di verifica, indirizzi di residenza, numeri IBAN, estratti conto e — il punto piu’ sensibile per il pubblico BitcoinLive24 — le cronologie complete delle transazioni Bitcoin dei clienti coinvolti.
Secondo CoinDesk, tra i dati esposti figuravano anche i registri dei prelievi e l’intero storico dei conti, non solo lo scatto fotografico del saldo al momento della richiesta.
Perche’ Riguarda Direttamente i Possessori di Bitcoin
A differenza di una violazione bancaria tradizionale, qui il rischio si somma: chi possiede Bitcoin diventa identificabile non solo per nome e indirizzo, ma anche per la propria attivita’ on-chain, cioe’ le transazioni registrate pubblicamente sulla blockchain. L’analista ZachXBT — pseudonimo di un investigatore blockchain molto seguito nella community crypto — ha definito la violazione “limitata nelle dimensioni” ma probabilmente mirata a clienti con patrimoni elevati, secondo CoinDesk.
Collegare un’identita’ reale a un saldo Bitcoin verificabile e’ esattamente il presupposto dei cosiddetti “wrench attack”, aggressioni fisiche mirate a costringere una vittima identificata a trasferire i propri fondi.
La Falla nel Sistema di Verifica
Il punto debole non e’ tecnico ma procedurale. Revolut ha confermato che si e’ trattato di “una sofisticata truffa di impersonificazione esterna”, in cui un soggetto non autorizzato ha utilizzato un dominio email governativo legittimo per inoltrare richieste fraudolente. Una volta superato il controllo automatico sul dominio mittente, il processo interno e’ proseguito senza un’ulteriore verifica umana del contenuto della richiesta — un problema strutturale che riguarda l’intero settore fintech, non solo Revolut.
La Risposta di Revolut
L’azienda ha dichiarato che “customer funds remained safe” (i fondi dei clienti sono rimasti al sicuro), ha bloccato l’indirizzo email all’origine della richiesta e ha notificato sia i clienti coinvolti sia le autorita’ di regolamentazione competenti. Revolut non ha reso pubblico ne’ il numero esatto di utenti coinvolti ne’ il nome dell’agenzia governativa impersonata.
Dati coinvolti nella violazione Revolut
| Categoria dato | Esposto? | Dettaglio |
|---|---|---|
| Documenti d’identita’ (passaporto/patente) | Si’ | Incluse le foto selfie di verifica |
| Cronologia transazioni Bitcoin | Si’ | Storico completo, non solo saldo attuale |
| Indirizzi e contatti | Si’ | Residenza, email, telefono |
| IBAN ed estratti conto | Si’ | Inclusi i registri dei prelievi |
| Fondi e chiavi private | No | Revolut conferma nessuna perdita di fondi |
| Numero utenti coinvolti | Non divulgato | Revolut parla solo di “numero limitato” |
Cosa Aspettarsi Ora
Il caso si aggiunge a una serie di episodi recenti che collegano identita’ reale e attivita’ Bitcoin: pochi giorni fa un tentativo di phishing ha imitato una comunicazione ufficiale di Trezor per sottrarre credenziali agli utenti di un hardware wallet. Non stupisce che una parte della community stia guardando a soluzioni come l’uso di eSIM senza verifica KYC o al CoinJoin per proteggere la privacy delle transazioni on-chain, pur con i limiti reali che questi strumenti presentano nella pratica.
Conclusione
L’episodio conferma che il rischio per chi detiene Bitcoin non si limita piu’ alla sicurezza delle chiavi private, ma si estende all’intera catena di fornitori e processi che gestiscono i dati KYC. Finche’ identita’ reale e attivita’ on-chain restano collegate in un unico database aziendale, ogni fintech resta un potenziale punto di rottura, indipendentemente da quanto siano solidi i protocolli di custodia dei fondi. Per restare aggiornato in tempo reale su notizie come questa, scarica l’app BitcoinLive24 e attiva le notifiche push.
Domande Frequenti
Cos’e’ un wrench attack e perche’ riguarda chi possiede Bitcoin?
Un wrench attack e’ un’aggressione fisica con cui i criminali costringono una vittima identificata a trasferire i propri Bitcoin, sfruttando dati che collegano nome reale e saldo verificabile on-chain. Il nome richiama una nota vignetta xkcd secondo cui una chiave inglese e’ spesso piu’ efficace di qualsiasi attacco crittografico.
I fondi dei clienti Revolut sono stati toccati?
No, Revolut ha confermato che i fondi dei clienti restano al sicuro: la violazione ha riguardato solo dati anagrafici e cronologie di transazione, non l’accesso diretto ai conti.
Quanti clienti sono stati coinvolti nella fuga di dati?
Revolut non ha reso pubblica una cifra esatta, parlando genericamente di un “numero limitato” di utenti; l’analista ZachXBT ipotizza un target ristretto di clienti ad alto patrimonio.
Come puo’ un utente proteggersi da rischi simili?
Limitare l’esposizione pubblica del proprio patrimonio, separare l’identita’ KYC dai wallet in self-custody e valutare strumenti di privacy on-chain come il CoinJoin riduce, senza eliminarlo del tutto, il rischio di diventare un bersaglio identificabile.
Cosa ha fatto Revolut dopo aver scoperto l’errore?
Ha bloccato l’indirizzo email fraudolento, notificato i clienti coinvolti e allertato le autorita’ di regolamentazione competenti, ma non ha reso pubblico il nome dell’agenzia governativa impersonata.
