Un correo electrónico “gubernamental” falsificado reveló la historia de los bitcoins de Revolut. El riesgo no era los fondos en sí.

Un correo electrónico falso que se presentaba como una solicitud de datos gubernamentales. Ese es el modo de fallo completo en este caso; vale la pena tenerlo en cuenta, ya que no es el tipo de fallo que se describe con más frecuencia.

A mediados de septiembre de 2026, Revolut, la empresa fintech británica que opera una gran plataforma de negociación de criptomonedas dentro de una aplicación bancaria, confirmó que un atacante, utilizando un dominio de correo electrónico gubernamental válido y con credenciales correctas, logró que la empresa entregara los datos de los clientes. Las notificaciones sobre las brechas de seguridad de Revolut indican cuáles son los datos obtenidos por el atacante.Pasaportes y licencias de conducir, selfies de verificación, direcciones de residencia y registros completos de transacciones en Bitcoin.Incluye las actividades de depósito y retiro de fondos. Un “número limitado” de usuarios se vio afectado. El investigador en la cadena de bloques ZachXBT señaló que los objetivos parecían ser dueños ricos de criptomonedas.

Luego viene la garantía que permite que la mayoría de los datos se mantengan seguros: no se movieron fondos de clientes, las cuentas permanecen seguras, y los códigos de acceso y la información biométrica no fueron expuestos. Revolut dice que alertó a la agencia correspondiente, la policía, así como a los reguladores de protección de datos y financieros. No ha dicho qué dominio utilizó esa agencia, ni si se utilizó un buzón gubernamental o si hubo algún individuo interno involucrado en ello.

Esto es lo que dice el documento. Y aquí está la factura que debería hacerte detenerte antes de aceptar la versión en la que “todos están seguros”. El activo que se encontraba en el cofre no era Bitcoin. Era el vínculo entre el Bitcoin y un nombre.

Cambio de identidad

Cuando usted posee bitcoins en Revolut, no los mantiene en una cartera que usted controla. Revolut es quien los posee, y sabe quién es usted: su pasaporte, su dirección, su selfie de verificación, y toda la historia de las monedas que ha comprado, vendido y movido. Esa historia sirve como puente entre la cadena de bloques anónima de bitcoins y una persona real que lleva un documento de identidad gubernamental. Aviso de privacidad de Revolut.Clasifica el historial de transacciones criptográficas como datos personales.Y divulga esos datos con las autoridades gubernamentales y de aplicación de la ley, cuando la ley lo exige.

El problema no era la existencia de ese canal de divulgación de información. Los bancos y los intercambios de valores entregan información a las autoridades legales todos los días, de acuerdo con procedimientos válidos. Una orden judicial real no es algo opcional. El escándalo radica en que no hubo ningún tribunal, ninguna orden judicial ni ninguna orden de citación. Bastaba con un correo electrónico falsificado que se utilizara como pretexto para obtener esa información.

Ese es el cambio de identidad; lo importante es el estado “antes” y “después”.

• Antes de la solicitud:Un participante anónimo, protegido por defecto de terceros. Sus monedas están bajo el control de una empresa que se supone debe rechazar cualquier solicitud sin ningún respaldo legal.
• Después de la solicitud falsificada:Una persona identificada – pasaporte, dirección, selfie, además de la actividad relacionada con el monedero – fue entregada a alguien que nunca tuvo ningún derecho legal sobre cualquiera de esos elementos. La anonimiedad ha desaparecido, y ninguna frase como “los fondos están seguros” puede restaurarla.

La analogía más cercana en el día a día es la de un empleado bancario que acepta una orden judicial falsa y entrega el contenido de una caja de seguridad, junto con el registro de todas las transacciones que se realizan allí. La caja de seguridad representa los bitcoins; el registro de transacciones es la historia de las operaciones realizadas. El empleado bancario es el equipo encargado de verificar las credenciales del gobierno y dejar de verificar las transacciones. La analogía sigue siendo válida, pero hay un punto en el que falla: el registro de transacciones de un banco es simplemente un registro de cuentas bancarias, mientras que la información que se filtra aquí supuestamente relaciona las direcciones de carteras externas con una identidad real. No existe ninguna versión “inofensiva” de esa combinación una vez que sale del banco.

¿Por qué un inversor debería preocuparse, aparte de esos pocos afectados?

Los titulares afectados forman un grupo “pequeño”. Por lo tanto, el primer instinto de un principiante es pensar que se trata de una historia de nicho. Lo importante es el patrón al que pertenece esa historia y la información que transmite sobre la categoría en cuestión.

En primer lugar, la cuestión de la custodia de los fondos. Cualquier aplicación que gestione tus bitcoins es, por diseño, quien se encarga tanto de los criptoactivos como de tu identidad. La seguridad de esa aplicación depende únicamente del nivel de seguridad del canal de comunicación en su departamento de cumplimiento. Alguien ya demostró que ese canal puede ser manipulado. “Tus fondos están seguros” no es una frase adecuada para tranquilizar a nadie, porque los fondos nunca fueron lo que realmente estaba en riesgo: era la conexión entre tu historial en la red y tu identidad. Hoy, el valor del Bitcoin ronda los $77,000, lo cual es un aumento respecto al mínimo de las últimas 52 semanas, que fue de aproximadamente $58,000. Así que hay dinero real y identidad real vinculados a esta aplicación.

En segundo lugar, el patrón. Revolut es una empresa privada, y está en proceso de convertirse en una empresa pública. Una venta de acciones a principios de 2026…Se informó que es aproximadamente 115 mil millones de dólares.Y Reuters informó que la empresa le dijo a los inversores que eraCon el objetivo de alcanzar hasta 200 mil millones de dólares en una eventual cotización en bolsa.Lo que importa en una historia de listado no es ningún truco en particular, sino la secuencia en la que se combina.Se afirma que 75 millones de registros de clientes estaban en venta.Revolut ha negado cualquier prueba de un nuevo acuerdo.Un incidente en 2022 que expuso a decenas de miles de clientes.Y, por separado:La policía de Jersey informa que la mayoría de los informes recientes sobre estafas involucran cuentas de Revolut.Cada uno de ellos es defendible por separado. Pero en conjunto, describen un perímetro de cumplimiento que se prueba desde varias direcciones al mismo tiempo. Y esa secuencia es algo que un regulador o un underwriter puede verificar realmente, en lugar de confiar ciegamente en ella.

¿Qué cambiaría la lectura?

Es necesario aclarar los grados antes de juzgar. Se confirmó que ocurrió una violación de seguridad, los datos exactos relacionados con ello, y las técnicas utilizadas para el ataque son confirmadas por Revolut. Se menciona que la filtración incluyó direcciones de carteras externas, pero esto no ha sido verificado de forma independiente. Lo que está claro es que la situación es más preocupante: una solicitud falsificada fue suficiente para comprometer la privacidad de un grupo pequeño de personas adineradas.

El hecho de que se trate de un documento, y no de un titular de noticias, puede anular esa interpretación central. Si Revolut puede demostrar que la solicitud realmente tiene validez legal – es decir, una orden judicial o mandato judicial que, simplemente, llega a través de un dominio comprometido – entonces la “impersonación” se reduce a “divulgación rutinaria, mal realizada”. En ausencia de ese documento, la interpretación por defecto sigue siendo válida: se aceptan credenciales sin que haya ningún respaldo legal detrás de ellas.

El resto de información para los lectores minoristas en Estados Unidos no es motivo para preocuparse específicamente por Revolut. Es simplemente una forma más clara de pensar en cada aplicación que se utiliza para gestionar criptomonedas. La moneda que crees que posees es tan privada como la persona que se encarga de protegerla cuando se solicita eso… Pero ahora se ha demostrado que esa “solicitud” puede ser falsificada.