Revolut-Datenleck verknüpft Bitcoin-Wallets mit Realdaten

Eine gefälschte behördliche Datenanfrage hat bei der Neobank Revolut zur Herausgabe sensibler Kundendaten geführt. Die Kombination aus Ausweisdokumenten und Bitcoin-Transaktionshistorien hebt die Pseudonymität der Betroffenen dauerhaft auf.

Wie eine legitime Anfrage zum Angriffsvektor wurde

Der Vorfall folgt einem Muster, das seit 2022 bekannt ist: Angreifer nutzten eine kompromittierte, aber authentische Regierungs-E-Mail-Domain, um eine Datenanfrage an Revolut zu stellen. Sämtliche Spam- und Spoofing-Filter wurden passiert, das Unternehmen folgte seinem Standardprozess zur Datenweitergabe an Behörden. Erst nach der Übermittlung fiel auf, dass die Anfrage betrügerisch war. On-Chain-Ermittler ZachXBT machte den Vorfall über Telegram öffentlich.

Was ist eine gefälschte Notfalldatenanfrage?

Behörden können bei Unternehmen in dringenden Fällen Nutzerdaten ohne Gerichtsbeschluss anfordern. Angreifer missbrauchen dieses Verfahren, indem sie kompromittierte Regierungs-E-Mail-Konten nutzen, um solche Anfragen im Namen echter Behörden zu stellen.

Offengelegt wurden laut BeInCrypto:

• Reisepässe
• KYC-Selfies
• vollständige Namen und Wohnadressen
• Kontoauszüge
• Bitcoin-Transaktionshistorien inklusive Wallet-Referenzen

Nicht betroffen sind Passwörter, PINs, private Schlüssel oder Kundenguthaben. Revolut hat den Absender gesperrt, betroffene Konten unter verstärkte Beobachtung gestellt und Datenschutz- sowie Strafverfolgungsbehörden informiert.

Das strukturelle Problem hinter dem Einzelfall

Die eigentliche Brisanz liegt nicht im Hack selbst, sondern in der Art der geleakten Daten. Wer Wallet-Adressen mit Reisepässen und Wohnadressen verknüpfen kann, hebt die Pseudonymität öffentlicher Blockchains vollständig auf. Anders als kompromittierte Passwörter lassen sich Ausweisdokumente nicht zurücksetzen. Betroffene stehen vor einer dauhaften Risikoexposition gegenüber Spear-Phishing und im schlimmsten Fall physischer Erpressung.

Was ist Pseudonymität auf der Blockchain?

Bitcoin-Transaktionen sind öffentlich einsehbar, aber nur mit kryptografischen Adressen verknüpft – nicht mit Klarnamen. Solange niemand weiß, welche Person hinter einer Adresse steht, bleibt die Identität pseudonym.

Der Angriffsvektor ist kein Einzelfall. Zwischen 2022 und 2024 trafen gefälschte Notfalldatenanfragen laut Medienberichten bereits Meta, Apple, Discord und Snap. Das Problem ist strukturell: Automatisierte Prozesse zur Datenweitergabe an Behörden schaffen eine Schwachstelle, die sich mit kompromittierten Regierungsdomains gezielt ausnutzen lässt. Der Revolut-Fall zeigt, dass Krypto-Dienstleister besonders attraktive Ziele sind, weil die Verknüpfung von Identitäts- und Blockchain-Daten einen einzigartigen Mehrwert für Angreifer bietet.

Warum das jetzt zählt

Bitcoin notiert aktuell bei rund 77.150 Dollar. In diesem Umfeld rückt ein oft unterschätztes Risiko in den Vordergrund: Nicht der Kurs, sondern die Infrastruktur rund um Bitcoin kann zur Schwachstelle werden. Der Fall stärkt Argumente für Zero-Knowledge-Verfahren, die Identitätsverifizierung ohne Speicherung übertragbarer Rohdokumente ermöglichen. Bislang bleibt das ein Branchenvorschlag ohne konkrete Umsetzung bei großen Finanzdienstleistern.

Einordnung / Ausblick

Bullisches Szenario:

Der Vorfall beschleunigt die Einführung datenschutzfreundlicher Verifizierungsverfahren bei Krypto-Dienstleistern. Strengere interne Prüfprozesse für Behördenanfragen könnten das Vertrauen in regulierte Plattformen mittelfristig stärken.

Bärisches Szenario:

Der Fall verdeutlicht ein systemisches Risiko zentralisierter Verwahrer. Regulatorische Konsequenzen für Revolut sind möglich, aber bislang nicht absehbar. Für die betroffenen Nutzer ist der Schaden bereits irreversibel – weitere ähnliche Vorfälle bei anderen Anbietern sind nicht auszuschließen.

Hinweis: Keine Anlageberatung. Dieser Artikel dient ausschließlich der Information. Jede Investitionsentscheidung liegt in der Verantwortung des Lesers.