Revolut entregou KYC e histórico crypto a pedido falso

Este incidente não é um vazamento no sentido técnico convencional e não deve ser tratado como tal. Nenhum sistema da Revolut foi comprometido. O que ocorreu foi que um ator não identificado — atuando sob o alias IAmNotAVillain e posteriormente associado ao grupo Revolut Smilik — obteve acesso ou controle operacional sobre uma caixa de e-mail dentro do domínio oficial de uma agência governamental não divulgada, e usou essa posição para submeter requisições fraudulentas de dados de clientes. As mensagens carregavam autenticação técnica válida vinculada ao domínio governamental (SPF/DKIM/DMARC passaram), e foram processadas pela equipe da Revolut como requisições legítimas de aplicação da lei. A Revolut descreve o mecanismo como 'um sofisticado esquema externo de personificação'. Essa caracterização é tecnicamente precisa mas omite a falha de controle central: a autenticação do canal de comunicação foi confundida com verificação da autoridade e legitimidade do pedido em si.

O vetor é documentado pelo FBI desde novembro de 2024 como EDR fraud (Emergency Data Request fraud). A particularidade aqui é que o ator não apenas formatou a requisição de forma convincente — aparentemente operou a partir de infraestrutura governamental real, o que elimina o sinal de alerta mais básico (domínio suspeito). Screenshots publicados pelo próprio ator em Telegram apontam para um domínio italiano; reportagem da Recorded Future News menciona autoridades italianas que não responderam a pedidos de comentário. A alegação mais extensa — de que o ator comprometeu sistemas da Polícia italiana e usou European Investigation Orders (EIOs) fraudulentos contra a entidade lituana Revolut Bank UAB — permanece não verificada e deve ser tratada como lead, não como fato. A Revolut não confirmou a identidade da agência impersonada.

O pacote de dados entregue é excepcionalmente denso por combinar quatro categorias em uma única transação: identidade (nome, data de nascimento, ocupação), contato (endereço postal, e-mail, telefone), documentação KYC (passaporte ou CNH + selfie de onboarding), e dados financeiros (IBAN, extratos, histórico completo de transações incluindo Bitcoin). A Revolut clarificou que a telemetria biométrica de reconhecimento facial usada internamente para validar selfies não foi compartilhada. Ainda assim, a combinação de selfie + documento físico + endereço residencial + histórico crypto vinculado a uma carteira real representa capacidade ofensiva que vai muito além de fraude financeira: permite ataques de apresentação contra sistemas de liveness detection em terceiras plataformas, falsificação de documentos com template real e deanonimização de holdings crypto com geolocalização física.

A questão regulatória é multijurisdicional. A Revolut opera como banco britânico (regulada pela PRA e FCA) e como banco lituano (Revolut Bank UAB, supervisionada pelo BCE e pelo Banco da Lituânia, com a Inspeção Estatal de Proteção de Dados da Lituânia como autoridade-líder de supervisão transfronteiriça de dados para clientes do EEE). A ICO britânica confirmou ter recebido notificação e estar avaliando o caso; a FCA declarou estar em contato com a empresa. Sob o UK GDPR e o GDPR da UE, exposição de documentos de identidade e dados biométricos de alto risco obriga comunicação direta aos titulares — o que a Revolut fez via e-mail individual antes da confirmação pública, o que é positivo. As sanções potenciais chegam a £17,5 milhões ou 4% do faturamento global anual em cada jurisdição. Nenhuma multa foi anunciada até o fechamento deste relatório.

O timing amplifica o impacto institucional. O incidente torna-se público nove dias depois de a Revolut obter aprovação condicional do OCC para um charter bancário nos EUA — o marco regulatório mais significativo de sua história americana, com lançamento previsto para o primeiro semestre de

2027. A empresa também está em negociações finais com o Banco de Israel e em expansão simultânea na França, Austrália e outros mercados. O OCC reservou-se o direito de alterar ou revogar a aprovação condicional se as circunstâncias se deteriorarem. Investigações formais abertas por ICO e FCA, especialmente se resultarem em conclusões de controle inadequado, são relevantes para esse processo.

Dois elementos pedem cautela analítica. Primeiro: o número de 680 clientes é um piso de notificação, não um perímetro forense confirmado. A Revolut não divulgou quantas requisições separadas foram cumpridas nem em que período; a perda de dados real pode ser maior. Segundo: a demanda de 10.000 BTC (~US$ 782 milhões) é caracteristicamente absurda — nenhuma empresa pagaria esse valor —, o que sugere que o objetivo primário do ator pode ser outro: reputação como grupo de ameaça, venda fragmentada dos dados em fóruns, ou extorsão individual das vítimas de alto patrimônio identificadas. O Telegram do grupo Revolut Smilik foi suspenso após as publicações iniciais, o que é consistente com remoção por violação de termos — mas não com um ator que abandonou a operação.

Aproximadamente 680 clientes confirmados — concentrados em países como França, Suíça, Irlanda (12), Espanha (25) e Romênia (27), com cerca de 30 países afetados no total — tiveram entregues a terceiros não autorizados seus documentos de identidade, dados de contato, selfies de verificação KYC, IBANs e histórico completo de transações, incluindo atividade Bitcoin. Esses dados não podem ser revogados da mesma forma que uma senha ou número de cartão: um passaporte comprometido permanece comprometido até sua renovação. O perfil dos afetados — confirmado como orientado a indivíduos de alto patrimônio por ZachXBT e corroborado pela publicação de dados de executivos, atletas e artistas pelo ator — eleva o risco de extorsão individual direcionada, sim, mas também de ataques secundários sofisticados contra outras plataformas que dependem dos mesmos documentos para onboarding. A ICO e a FCA abriram avaliações formais. A OCC mantém reserva de direito de revisar a aprovação condicional do charter bancário americano. Nenhuma perda de fundos de clientes foi confirmada.