Un e-mail falsifié au nom du « gouvernement » a révélé l’histoire des bitcoins de Revolut. Le risque n’était pas les fonds en question.

Un e-mail falsifié présenté comme une demande de données gouvernementales. C’est là tout le problème, et il est important de le garder à l’esprit, car ce n’est pas le problème que la plupart des informations décrivent.

À la mi-September 2026, Revolut – une société de technologie financière britannique qui dispose d’une grande plateforme de trading de cryptomonnaies dans son application bancaire – a confirmé qu’un attaquant, utilisant un domaine e-mail gouvernemental légitime et des identifiants valides, a réussi à faire en sorte que l’entreprise lui fournisse les données clients. Les notifications de violation envoyées par Revolut indiquent les informations concernées :Passeports et permis de conduire, photos vérifiées, adresses domicile, ainsi que tous les historiques de transactions en Bitcoin.Y compris les activités de dépôt et de retrait de fonds. Un nombre limité d’utilisateurs a été affecté. L’enquêteur sur la chaîne de blocs ZachXBT a indiqué que les cibles semblaient être des détenteurs fortunés.

Ensuite, une assurance est donnée, ce qui permet à la plupart des clients de continuer leurs activités : aucun fonds client n’a été transféré, les comptes restent sécurisés, et les codes d’accès et les données biométriques n’ont pas été compromises. Revolut affirme avoir alerté l’autorité compétente, la police, ainsi que les organismes chargés de la protection des données et des régulateurs financiers. Elle ne précise pas quelle agence a été utilisée, ni si un service gouvernemental a été manipulé ou si une personne interne était impliquée.

Voici ce que dit le document. Et voici le reçu qui devrait vous empêcher d’accepter la version selon laquelle « tout le monde est en sécurité » : l’actif stocké dans le coffre-fort n’était pas des bitcoins. C’était plutôt un lien entre les bitcoins et un nom.

Le changement d’identité

Lorsque vous détenez des bitcoins sur Revolut, vous ne les gardez pas dans un portefeuille que vous contrôlez. Revolut les détient, et elle connaît votre identité : votre passeport, votre adresse, votre photo vérifiée, ainsi que l’ensemble des actions liées aux bitcoins que vous avez achetés, vendus ou transférés. Cette information constitue le pont entre la chaîne de blocs pseudonyme des bitcoins et une personne réelle qui possède une carte d’identité gouvernementale. Les conditions de confidentialité de RevolutClassifie l’historique des transactions cryptographiques comme des données personnellesEt il déclare que ces données sont partagées avec les autorités gouvernementales et les forces de l’ordre lorsque la loi l’exige.

Le problème n’était pas l’existence de ce canal de communication. Les banques et les bureaux de change transmettent quotidiennement les informations aux autorités judiciaires dans le cadre des procédures légales. Une ordonnance de comparution officielle n’est donc pas une option. Le scandale, c’est qu’il n’y avait ni tribunal, ni mandat judiciaire, ni ordonnance de comparution. Un e-mail falsifié, présenté comme une demande du gouvernement, suffisait.

C’est le commutateur d’identité ; c’est ce qui est important avant et après.

• Avant la demande :Un participant anonyme, protégé par défaut des tiers. Ses devises se trouvent derrière une entreprise qui est censée refuser tout accès sans aucune base légale.
• Après la demande falsifiée :Une personne nommée – passeport, adresse, photo selfie, ainsi que les informations relatives à son portefeuille bancaire – a été remise à quelqu’un qui n’avait aucun droit légal sur ces informations. La pseudonymité a disparu, et aucune affirmation comme « les fonds sont en sécurité » ne peut la restaurer.

L’analogie la plus proche dans la vie quotidienne est celle d’un employé de banque qui respecte une ordonnance judiciaire falsifiée et transmet le contenu d’un coffre-fort, ainsi que les informations concernant tout ce qui y entre ou sort. Le coffre-fort représente les bitcoins ; le registre d’opérations représente l’histoire des transactions. L’employé de banque représente alors l’équipe chargée de vérifier les documents officiels et de s’arrêter de vérifier les informations. Cette analogie fonctionne tant qu’on ne se rend pas compte du point où elle se brise : le registre d’une banque n’est qu’un registre de comptes bancaires, tandis que l’histoire des transactions, en question ici, relie les adresses des portefeuilles externes à une identité réelle. Il n’y a pas de version “inoffensive” de cette combinaison une fois qu’elle quitte les locaux de la banque.

Pourquoi un investisseur devrait-il se soucier de ceux qui sont affectés, au-delà des quelques personnes concernées ?

Les propriétaires concernés représentent un ensemble “petit”. Ainsi, l’instinct naturel d’un débutant est de penser que il s’agit d’une histoire de niche. Ce qui est plus important, c’est le modèle auquel elle appartient et l’idée qu’elle véhicule sur la catégorie en question.

D’abord, il s’agit de la question de la responsabilité de garde des données. Tout application qui stocke vos bitcoins est, par définition, le gardien à la fois des cryptos et de votre identité. La sécurité de cette application dépend donc du niveau de surveillance du service chargé de la conformité. Quelqu’un a récemment prouvé que ce canal de surveillance peut être falsifié. L’affirmation « Vos fonds sont en sécurité » n’est pas une justification valable pour rassurer les utilisateurs, car les fonds ne sont jamais en danger – c’est plutôt le lien entre votre histoire sur la chaîne blockchain et votre visage qui est en danger. Le prix du Bitcoin est encore près de 77 000 dollars aujourd’hui, contre un minimum de 58 000 dollars sur 52 semaines. Donc, il y a vraiment de l’argent et une identité réelle liés aux applications numériques.

Deuxièmement, le modèle d’entreprise. Revolut est une entreprise privée, et elle se dirige vers une cotation publique. Une vente de actions au début de l’année 2026 était prévue…Évalué à environ 115 milliards de dollarsEt Reuters a rapporté que l’entreprise a dit aux investisseurs qu’il s’agissait de…Objectif de atteindre jusqu’à 200 milliards de dollars dans une éventuelle cotation en bourse.Ce qui compte pour une histoire de liste, ce n’est pas un seul truc particulier, mais la séquence dans laquelle il se trouve.Une affirmation selon laquelle 75 millions de dossiers clients étaient à vendreRevolut a nié toute preuve d’un nouvel accord.Un incident en 2022 qui a révélé des dizaines de milliers de clients.Et, séparément,La police de Jersey indique que la plupart des rapports de fraude récents concernent des comptes Revolut.Chacun d’eux est défendable individuellement. En série, ils décrivent une zone de conformité qui est testée depuis plusieurs directions en même temps. C’est là que le régulateur ou l’assureur peut véritablement vérifier les résultats, plutôt que de s’appuyer sur ces informations sans vérification.

Qu’est-ce qui changerait la lecture ?

Il est nécessaire de rectifier les notes avant de faire un jugement. Le fait que le piratage ait eu lieu, les données exactes concernant cet incident, ainsi que la technique d’attaque utilisée, sont confirmés par Revolut. Le fait que les informations fuites comprenaient des adresses de comptes externes est rapporté, mais n’est pas vérifié indépendamment. Ce qui est établi est plus préoccupant : il suffisait d’une demande falsifiée pour que les limites de confidentialité soient brisées pour un petit groupe de personnes riches.

Le fait que cela remette en question cette interprétation centrale n’est pas un titre de journal, mais plutôt un document. Si Revolut peut prouver que la demande avait effectivement une valeur juridique – une ordonnance légale, une citation en justice ou un ordre judiciaire qui est simplement arrivé via un site compromis – alors l’« impersonnalisation » devient une simple démarche administrative, et la violation de la confidentialité se réduit à une question de procédure. En l’absence de ce document, l’interprétation par défaut reste valable : une procédure de conformité qui accepte les identifiants sans que ceux-ci aient de valeur juridique.

Le reste, pour un lecteur de commerce américain, n’est pas une raison de paniquer concernant Revolut en particulier ; c’est plutôt une manière plus claire de comprendre chaque application de gestion de cryptos que l’on peut utiliser. La monnaie que l’on pense posséder est aussi privée que celui qui s’occupe d’elle en cas de demande – et quelqu’un a maintenant montré que cette « demande » peut être falsifiée.