Revolut lekt klantdata aan criminelen, nu eisen hackers 10.000 Bitcoin

Digitale bank Revolut heeft paspoorten, huisadressen en complete transactiegeschiedenissen in Bitcoin (BTC) uitgeleverd aan oplichters. Niet door een hack, maar door een vervalst overheidsverzoek dat langs alle interne controles glipte. Inmiddels blijkt dat ook Nederlandse klanten zijn getroffen. De criminelen publiceren gegevens van slachtoffers en eisen 10.000 Bitcoin van Revolut. Als de bank niet betaalt, dreigen ze iedere dag meer klantgegevens openbaar te maken.

Revolut trapt in de val

Revolut bevestigde het datalek afgelopen zaterdag. Het verzoek kwam binnen via het officiële e-maildomein van een overheidsinstantie, compleet met geldige domeinverificatie. Technisch klopte alles. Alleen het account erachter was niet geautoriseerd.

Revolut leverde de gegevens aan en nam pas daarna zelf contact op met de instantie. Toen pas bleek het verzoek vals.

“Bij ontdekking hebben we het adres onmiddellijk geblokkeerd en de betreffende overheidsinstantie gewaarschuwd, net als opsporingsdiensten, gegevensbeschermingsautoriteiten en financiële toezichthouders”, zei een woordvoerder van Revolut. De systemen en de tegoeden van klanten bleven volgens de bank buiten schot.

Revolut begon in 2015 in Londen als prepaidkaart voor reizigers en telt inmiddels meer dan 70 miljoen klanten. De bank heeft geen kantoren en bedient Europa vanuit een Litouwse vergunning.

Naast betalen, sparen en beleggen kunnen gebruikers er ook crypto kopen. Die tak draait al sinds 2017 en kreeg in 2024 een eigen handelsapp.

Wat het Revolut datalek blootlegde

De buit is fors: volledige namen, geboortedata, beroepen, huisadressen, telefoonnummers, kopieën van paspoorten of rijbewijzen en verificatieselfies. Daarbovenop IBAN-nummers, rekeningoverzichten, opnamegegevens en de volledige transactiegeschiedenis inclusief alle Bitcoinactiviteit. Biometrische gezichtsgegevens gingen volgens de verstuurde mails niet mee.

Hoeveel klanten geraakt zijn, wil Revolut niet zeggen. Het zou om een “zeer beperkt” aantal gaan. Bij tientallen miljoenen gebruikers is één op de duizend al tienduizenden mensen.

Inmiddels staat vast dat de criminelen een deel van de buit daadwerkelijk online publiceren. BNR Nieuwsradio kreeg onder meer gegevens van betaalrekeningen, verificatieselfies en kopieën van identiteitsbewijzen te zien.

Daar zitten ook paspoortkopieën van Nederlanders tussen, waaronder die van zangeres Yade Lauren. Daarnaast zijn identiteitsbewijzen uit onder meer Duitsland, Bulgarije, Malta en Zuid-Korea gepubliceerd.

In meerdere gevallen lijken vermogende personen het doelwit. Zo werden ook gegevens van Felix Römer, eigenaar van cryptocasino Gamdom, gepubliceerd. Römer bevestigde op X dat zijn gegevens waren gelekt en reageerde: “Ah wtf @Revolut.”

Dat sluit aan bij de eerdere inschatting van onchain-onderzoeker ZachXBT, die het incident aankaartte in een Telegram-bericht. Volgens hem lijkt het lek klein in omvang en waren juist vermogende klanten het doelwit.

De criminelen voeren de druk ondertussen verder op. Volgens berichten die door Coin Bureau zijn gedeeld, eisen ze 10.000 BTC van Revolut en dreigen ze iedere dag meer klantgegevens te publiceren totdat de bank betaalt. Die losgeldeis is niet door Revolut bevestigd.

Waarom raakt dit bitcoinbezitters harder?

Revolut verzamelt paspoorten en selfies om te voldoen aan identiteits- en witwasregels. De Bitcoin bewaart de bank ook, want klanten krijgen geen eigen wallet.

Alle munten gaan op één hoop, en een intern kasboek houdt bij welk deel van wie is. Precies die informatie is nu bij criminelen terechtgekomen. Een naam, een huisadres en het bijbehorende cryptovermogen, netjes bij elkaar.

Dat is de koppeling die de openbare blockchain zelf nooit maakt. Die legt elk bedrag vast, maar nooit wie erachter zit en waar diegene woont.

Wie een goedgevulde rekening had, kan nu dus op een lijst staan die criminelen precies vertelt welk doelwit de moeite waard is. Dat risico wordt groter nu de aanvallers daadwerkelijk gegevens van slachtoffers publiceren en dreigen daar dagelijks mee door te gaan.

Precies daarvoor liggen ze op de loer. Eerder leidde de omkoping van externe supportmedewerkers bij Coinbase tot een vergelijkbaar lek.

En dit jaar vinden er steeds meer fysieke aanvallen plaats op cryptobezitters. Beveiligingsbedrijf CertiK zag in de eerste helft 124 miljoen dollar buitgemaakt bij overvallen met geweld of dreiging, terwijl heel 2025 uitkwam op zo’n 132 miljoen dollar.