Un grupo que afirma estar detrás de la filtración de datos de Revolut exige un pago de aproximadamente $3 millones en Monero (XMR) y amenaza con vender información de clientes a otras organizaciones criminales si no recibe el dinero en un plazo de 24 horas, según reportó el Financial Times. La exigencia llega después de una brecha que habría expuesto información sensible de al menos 680 clientes.
El grupo, que utiliza el nombre “iamnotavillain”, publicó el ultimátum junto con un contador regresivo y solicitó alrededor de 6.000 XMR como pago. Sin embargo, existe una precisión importante: Revolut dijo a Reuters que no ha recibido contacto directo ni una demanda de rescate por parte del grupo, por lo que la exigencia publicada por los atacantes todavía no equivale a una negociación formal con la compañía.
El caso combina tres elementos especialmente sensibles para el sector financiero digital: datos personales, criptomonedas y técnicas de ingeniería social. Además, los responsables afirmaron al Financial Times que utilizaron análisis de blockchain para identificar cuentas de Revolut asociadas con clientes que mantenían cantidades significativas de criptomonedas.
TE PUEDE INTERESAR: Hacker de Coldcard ya movió el 45% de los fondos robados en los ataques
Hackers de Revolut fijan un plazo de 24 horas
La exigencia fue publicada por el grupo junto con una cuenta regresiva de 24 horas. Según el Financial Times, los atacantes amenazaron con vender los datos robados a otros grupos criminales si Revolut no entregaba los fondos solicitados.
El pago exigido está denominado en Monero, una criptomoneda diseñada para ofrecer un mayor nivel de privacidad en las transacciones que redes públicas como Bitcoin. En este caso, el grupo pidió aproximadamente 6.000 XMR, equivalentes a unos $3 millones según la valoración utilizada en el reporte.
La elección de Monero resulta especialmente relevante en un caso de extorsión digital. Mientras las transacciones de Bitcoin pueden consultarse públicamente en la cadena de bloques, Monero incorpora mecanismos destinados a ocultar elementos de las operaciones, lo que dificulta seguir directamente los movimientos de fondos.
No obstante, el hecho de que el grupo haya publicado una demanda no significa que Revolut haya aceptado negociar.
La compañía declaró a Reuters que no había recibido ninguna demanda directa de los individuos o del grupo que afirma estar detrás de la filtración. Una fuente citada por Reuters también señaló que la infraestructura principal, las bases de datos y las cuentas de clientes de Revolut no fueron hackeadas.
Al menos 680 clientes estarían afectados
El incidente habría comprometido información perteneciente a aproximadamente 680 clientes de Revolut, de acuerdo con información citada por el Financial Times y Reuters.
Entre los datos que los atacantes aseguran haber obtenido aparecen documentos utilizados durante los procesos de verificación de identidad y registros relacionados con la actividad financiera de los usuarios.
El Financial Times informó que recibió una grabación de pantalla de aproximadamente 60 segundos que aparentemente mostraba parte de la información obtenida. El material incluía pasaportes, permisos de conducción, fotografías utilizadas durante procesos de KYC y registros de transacciones, según el periódico.
La naturaleza de estos datos eleva el riesgo más allá de una simple filtración de información de contacto.
Los documentos de identidad pueden utilizarse para intentos de suplantación, mientras que los historiales financieros pueden ofrecer información sobre los hábitos, movimientos y actividad económica de una persona. En el caso de usuarios con exposición significativa a criptomonedas, el problema adquiere además una dimensión específica de seguridad.
Los atacantes buscaron a clientes con grandes posiciones en criptomonedas
Uno de los elementos más llamativos del caso es la afirmación de los atacantes de que utilizaron análisis de blockchain para identificar cuentas de Revolut vinculadas con clientes que tenían importantes cantidades de criptomonedas.
Según el grupo, esta información habría servido para seleccionar objetivos específicos dentro de los clientes afectados.
La estrategia revela cómo la información pública disponible en determinadas cadenas de bloques puede combinarse con datos privados obtenidos de una plataforma financiera.
El análisis de blockchain, por sí solo, no necesariamente revela la identidad real de un propietario de criptomonedas. Sin embargo, cuando las direcciones pueden relacionarse con una cuenta de un exchange, una fintech u otro proveedor que aplica procedimientos de identificación de clientes, diferentes conjuntos de información pueden llegar a complementarse.
En este caso, los atacantes afirman haber utilizado precisamente esa capacidad de análisis para encontrar usuarios con una exposición relevante a activos digitales.
El Financial Times describió a estos clientes como usuarios con importantes tenencias de criptomonedas, mientras que los atacantes utilizaron el término “crypto whales” para referirse a algunos de sus objetivos.
Revolut no fue víctima de un hackeo convencional
El mecanismo utilizado para obtener la información es uno de los aspectos más relevantes del incidente.
De acuerdo con los avisos enviados anteriormente a clientes afectados y con la información publicada por Revolut, los atacantes se hicieron pasar por funcionarios gubernamentales y enviaron solicitudes de información que superaron los controles utilizados por la compañía.
Revolut entregó determinados registros antes de detectar que las solicitudes eran fraudulentas.
La compañía describió el incidente como una estafa sofisticada de suplantación externa, en la que una parte no autorizada utilizó un dominio de correo electrónico perteneciente a una agencia gubernamental legítima para presentar solicitudes fraudulentas de información.
Esto marca una diferencia importante frente a un ataque tradicional contra una infraestructura bancaria.
Según Revolut, sus sistemas centrales y los fondos de los clientes no fueron comprometidos. El problema se produjo cuando información de clientes fue entregada a un tercero no autorizado como consecuencia de solicitudes fraudulentas.
La compañía indicó anteriormente que había bloqueado la dirección utilizada en las solicitudes y había informado a la agencia gubernamental correspondiente, a las autoridades policiales y a los reguladores.
TE PUEDE INTERESAR: Hacker de Kelp DAO ha lavado casi 220 millones de dólares robados en el exploit
El correo electrónico se convirtió en el punto débil
El caso también pone el foco sobre uno de los problemas más difíciles de resolver en los sistemas financieros digitales: determinar si una solicitud aparentemente legítima procede realmente de una autoridad autorizada.
La información publicada por Revolut apunta a que los atacantes lograron presentar sus solicitudes desde una infraestructura asociada con un dominio gubernamental legítimo. Esto permitió que las comunicaciones fueran tratadas inicialmente como solicitudes oficiales.
El resultado fue una situación en la que la seguridad técnica de la infraestructura no fue necesariamente el principal punto de fallo.
En lugar de acceder directamente a las bases de datos de Revolut, los atacantes habrían conseguido convencer a empleados y sistemas de cumplimiento de que determinadas solicitudes de información eran legítimas.
El incidente muestra así una de las limitaciones de los controles basados exclusivamente en la autenticidad técnica de un dominio: un mensaje puede proceder de una infraestructura legítima y, aun así, representar una solicitud fraudulenta.
¿Por qué Monero es importante en la extorsión?
La elección de Monero (XMR) tampoco es un detalle menor.
Monero fue diseñado con características de privacidad que dificultan establecer públicamente quién envió una transacción, quién la recibió y cuánto dinero fue transferido. Esto contrasta con Bitcoin, cuya cadena de bloques permite observar públicamente los movimientos entre direcciones, aunque determinar la identidad detrás de una dirección puede requerir información adicional.
Para un grupo que intenta monetizar una extorsión, esa diferencia puede ser relevante.
En este caso, los atacantes no están solicitando simplemente una transferencia bancaria convencional. La exigencia de 6.000 XMR introduce una capa adicional de privacidad sobre el eventual movimiento del rescate.
Pero hasta ahora no existe confirmación de que Revolut haya realizado ningún pago.
De hecho, la compañía declaró a Reuters que no había recibido directamente una demanda del grupo, mientras que los atacantes afirmaron al Financial Times que no habían iniciado negociaciones con Revolut.
La amenaza puede ser más peligrosa para los clientes que para la infraestructura
El hecho de que Revolut asegure que sus sistemas y fondos permanecen intactos no elimina necesariamente los riesgos derivados de la filtración.
Para los usuarios afectados, la exposición de documentos de identidad y registros financieros puede abrir la puerta a nuevos intentos de fraude, ingeniería social o suplantación.
En el caso de clientes con grandes posiciones en criptomonedas, existe además un riesgo adicional: que información financiera previamente privada pueda combinarse con datos públicos de blockchain para construir perfiles más detallados sobre sus activos.
Ese aspecto explica por qué el incidente resulta particularmente relevante para el sector cripto.
La seguridad de un usuario de criptomonedas no depende únicamente de que sus claves privadas permanezcan protegidas. La privacidad sobre cuánto posee, dónde mantiene sus activos y cómo mueve su dinero también forma parte de su superficie de riesgo.
Una filtración de identidad vinculada a actividad on-chain puede proporcionar a terceros información suficiente para intentar nuevos ataques dirigidos.
Qué puede ocurrir ahora con el caso Revolut
La situación permanece abierta y existen varias cuestiones que todavía deberán aclararse.
La primera es si “iamnotavillain” realmente controla todos los datos que afirma haber obtenido. El grupo entregó al Financial Times material que aparentemente muestra información de clientes, pero las afirmaciones adicionales realizadas por los atacantes no equivalen automáticamente a hechos confirmados por Revolut o por las autoridades.
La segunda es si la exigencia de $3 millones se convertirá en una negociación real. Hasta ahora, Revolut sostiene que no ha recibido una demanda directa.
La tercera tiene que ver con el alcance final de la información comprometida y con las investigaciones de las autoridades.
Revolut ya informó del incidente a organismos policiales, reguladores y autoridades relevantes. Reuters también confirmó que la compañía está cooperando con las investigaciones relacionadas con la filtración.
Por último, el caso plantea una cuestión más amplia para bancos, fintech y exchanges: los controles de seguridad no terminan en los servidores ni en las bases de datos.
Un atacante que consigue hacerse pasar por una autoridad legítima puede intentar acceder a información sin necesidad de explotar directamente una vulnerabilidad informática. En plataformas financieras que manejan grandes cantidades de información KYC, esa posibilidad convierte los procesos de validación de solicitudes externas en una pieza crítica de la seguridad.
TE PUEDE INTERESAR: Vercel confirma brecha de seguridad mientras atacante exige $2 millones por datos internos
Un nuevo frente para la seguridad de los usuarios cripto
El caso Revolut muestra cómo una filtración de datos puede evolucionar rápidamente hacia una operación de extorsión dirigida. Los atacantes no solo buscan monetizar información robada: según sus propias declaraciones, intentaron identificar previamente a usuarios con una exposición relevante a criptomonedas.
La combinación de datos KYC, historiales financieros y análisis de blockchain puede generar un nivel de información mucho más sensible que cualquiera de esos elementos por separado.
Por ahora, el dato confirmado es que Revolut reconoce que información de clientes fue divulgada a un tercero no autorizado tras recibir solicitudes fraudulentas. La exigencia de $3 millones en Monero y la amenaza de vender los datos proceden del grupo que afirma estar detrás del incidente, mientras que la compañía sostiene que no ha recibido una demanda directa.
La diferencia es importante: el rescate está siendo anunciado públicamente por los atacantes, pero no existe todavía evidencia pública de una negociación directa con Revolut.
Para los usuarios de criptomonedas, el episodio deja además una advertencia concreta: proteger los activos digitales no implica únicamente custodiar correctamente las claves. La información que permite identificar a un propietario y estimar el tamaño de sus tenencias puede convertirse, por sí misma, en un activo de alto valor para los atacantes.
