Un dominio gubernamental falso bastó para que Revolut filtrara datos cripto de sus clientes

Una sola solicitud fraudulenta, construida sobre un dominio que imitaba a la perfección a una autoridad gubernamental real, fue suficiente para que Revolut entregara registros sensibles de sus clientes: copias de pasaporte, selfies de verificación y el historial de transacciones en bitcoin. El caso, reportado el 14 de septiembre de 2026, deja en evidencia que una plataforma fintech que combina banca tradicional con trading de criptomonedas puede ser vulnerada no por un ataque informático sofisticado, sino por un correo electrónico bien disfrazado.

Revolut se promociona como una plataforma híbrida: una aplicación bancaria que además permite comprar, vender y mantener criptomonedas. Precisamente esa combinación es lo que vuelve este incidente más grave que una fuga de datos convencional. Cuando una casa de cambio cripto pura sufre una brecha, la exposición suele limitarse a la actividad de trading y a direcciones de billeteras. Cuando le ocurre a una empresa como Revolut, el daño conecta documentos de identidad, selfies biométricas e historial financiero con registros de transacciones en blockchain vinculados a personas reales, identificadas por nombre.

Cómo se coló una solicitud falsa

Según los hechos revelados, el mecanismo fue asombrosamente simple: alguien presentó una solicitud de datos de clientes utilizando un dominio diseñado para parecer perteneciente a una autoridad gubernamental. El proceso interno de verificación de Revolut no detectó la suplantación, y la compañía terminó liberando documentos que incluían escaneos de pasaportes, fotografías tipo selfie usadas para verificación de identidad y registros de transacciones en bitcoin de sus usuarios.

No se trata de un caso de cifrado quebrado ni de servidores infiltrados. Es una falla de proceso, el tipo de vulnerabilidad que aparece justo en la intersección entre las obligaciones de cumplimiento normativo y la confianza operativa. Las instituciones financieras reciben de forma rutinaria solicitudes legítimas de reguladores y fuerzas del orden, y en general se espera que respondan con rapidez. Esa expectativa, pensada para facilitar la cooperación legal, se convierte en un punto débil en el momento en que un actor malicioso aprende a imitar la apariencia de autoridad de manera suficientemente convincente.

La cobertura de este episodio ya circuló bajo distintos titulares que describen cómo Revolut expuso pasaportes y datos de bitcoin de sus clientes a un falso regulador, mientras que otros reportes se enfocaron específicamente en cómo la compañía filtró datos de bitcoin de sus clientes a estafadores que se hicieron pasar por un regulador. En conjunto, estos relatos apuntan a la misma debilidad de fondo: un protocolo de verificación que confió en un nombre de dominio en lugar de exigir una autenticación más profunda.

Qué significa esto para los usuarios de cripto

Para los clientes que usan las funciones cripto de Revolut, la exposición se acumula de una manera que amplifica el riesgo. Una copia de pasaporte filtrada ya es un problema serio por sí solo, capaz de habilitar robo de identidad o fraude. Si se le suma una selfie, la información se vuelve útil para burlar la verificación biométrica de otras plataformas. Y si además se agrega el historial de transacciones en bitcoin, actores externos obtienen visibilidad sobre las tenencias y los patrones de trading de una persona, información que históricamente se ha usado para dirigir estafas, intentos de phishing e incluso extorsiones físicas contra tenedores de criptomonedas.

El incidente también plantea una pregunta de gobernanza más amplia, que va más allá de Revolut. Cualquier empresa que se ubique en la intersección entre las finanzas y las criptomonedas hoy resguarda un conjunto de datos de doble propósito: documentos de identidad exigidos por las normas de conocimiento del cliente (KYC) y actividad en blockchain que, en teoría, debía mantener cierta separación entre la identidad real y el comportamiento en cadena. Cuando ambos tipos de datos se almacenan y se filtran juntos, las protecciones de privacidad que muchos usuarios de cripto dan por sentadas —el seudonimato, como mínimo— se derrumban por completo.

Otros análisis ya han enmarcado este episodio como una lección sobre cómo un correo falso de un regulador puede burlar el KYC, un sistema diseñado para verificar quién es el cliente, no para filtrar solicitudes engañosas que parecen provenir del interior del propio aparato regulatorio. Esa distinción es clave para entender por qué la falla fue tan efectiva.

Qué sigue

Hay varios desarrollos concretos que vale la pena seguir de cerca:

• Si Revolut revela cuántos clientes fueron afectados y qué categorías específicas de datos se filtraron más allá de pasaportes, selfies e historial de transacciones.
• Si los reguladores financieros de las jurisdicciones donde opera Revolut exigen o recomiendan una verificación de dominio e identidad más estricta para las solicitudes de datos de reguladores y fuerzas del orden.
• Si otras casas de cambio y neobancos con servicios combinados de banca y cripto auditan sus propios procesos de verificación de solicitudes a raíz de este caso.
• Cómo interactúa este incidente con el endurecimiento de las normas de ciberseguridad en otras partes de la industria, como la nueva ley cibernética de la Unión Europea que obliga a los fabricantes de billeteras cripto a reportar fallas en 24 horas, una señal de que el entorno regulatorio se orienta cada vez más hacia la divulgación rápida y la rendición de cuentas.

Para los usuarios de la región, el caso es un recordatorio de que confiar los datos de identidad y de billeteras cripto a una sola plataforma —por más regulada que parezca— implica un riesgo que va más allá de la volatilidad de precios. En América Latina, donde cada vez más personas usan exchanges y neobancos híbridos para remesas y ahorro en dólares digitales, la lección aplica igual: un documento de identidad y un historial de transacciones combinados en una sola filtración pueden ser mucho más dañinos que cualquiera de los dos por separado.

El episodio confirma que, a medida que las plataformas financieras combinan cada vez más la verificación de identidad tradicional con la actividad cripto, la superficie de ataque no es solo técnica, sino también procedimental. Un nombre de dominio convincente resultó más efectivo que cualquier exploit, y eso debería motivar un escrutinio sobre cómo se maneja la verificación de solicitudes de datos en toda la industria, no solo en Revolut.

Fuente: CriptoNoticias

Este contenido es informativo y no constituye consejo financiero ni de inversión.