La plataforma financiera Revolut ha admitido haber divulgado documentos de identidad, autorretratos de verificación y registros completos de transacciones con bitcoin de un grupo indeterminado de usuarios, todo ello como consecuencia de una petición que simulaba provenir de una entidad estatal. El requerimiento, que llegó a través de un dominio oficial legítimo y logró sortear los tres mecanismos estándar contra la falsificación de correos electrónicos, fue atendido sin objeciones. Solo después de procesar la solicitud, al establecer contacto con el organismo por un canal alternativo, la compañía se percató de que ningún funcionario había enviado dicha comunicación.
El eslabón vulnerable: los procesos internos, no la tecnología
En este caso no se registró ningún ataque a los servidores, ni presencia de software malicioso, ni sustracción de contraseñas. El punto débil no fue la infraestructura técnica, sino un protocolo operativo. Revolut respondió a un mecanismo diseñado para atender peticiones legales de autoridades, y ese canal resultó ser más sencillo de falsificar que de resguardar. La solicitud no requirió vulnerar ninguna barrera digital: le bastó con aparentar autenticidad.
Este episodio redefine el enfoque que cualquier poseedor de bitcoin debería tener al confiar sus datos a un intercambio o a una institución financiera regulada. El debate habitual sobre seguridad se centra en la solidez criptográfica de las llaves privadas y en la capacidad de la red Bitcoin para resistir ataques de fuerza bruta. Sin embargo, la puerta que se abrió aquí no guarda relación con esa capa de protección.
La información comprometida no se limita a un correo electrónico y una clave, que pueden modificarse en cuestión de minutos. Se trata de una identidad integral: documento de viaje, autorretrato de verificación, residencia y el rastro de las carteras utilizadas para adquirir, vender o retirar bitcoin. Esta combinación no expira ni puede renovarse. Un usuario puede cambiar de dirección en la cadena de bloques, pero no puede alterar su rostro ni su número de pasaporte.
El eslabón que nadie audita con el mismo rigor que el código
Los intercambios y las empresas fintech destinan sumas considerables a blindar sus sistemas de custodia, sus billeteras frías y su infraestructura de firma. Esa inversión es lógica, pues ahí se encuentra el dinero. No obstante, el caso de Revolut evidencia que el mismo nivel de exigencia no se aplica a las directrices internas que determinan a quién se entrega información cuando alguien se presenta con apariencia de autoridad.
Un dominio de correo verificado no acredita identidad; únicamente confirma que el mensaje se originó en ese servidor. La confusión entre ambos conceptos es precisamente el flanco que un atacante necesita aprovechar. Revolut disponía de un paso adicional —verificar la solicitud a través de un canal independiente antes de proceder—, pero esa verificación se realizó después de la entrega, no antes.
Esta no es una falla exclusiva de Revolut. Es una vulnerabilidad estructural de cualquier plataforma que acumule grandes volúmenes de datos de identidad exigidos por las normativas KYC y que gestione respuestas a solicitudes legales basadas, en última instancia, en el criterio de un empleado frente a un correo urgente. Cuanta más información centraliza una entidad para cumplir con los requisitos regulatorios, mayor es el incentivo para quien logre imitar a una autoridad.
De la filtración a la extorsión
El incidente no concluyó con la notificación a los clientes afectados. Según informes posteriores, el atacante comenzó a divulgar fragmentos de los datos sustraídos y a exigir un rescate para detener nuevas publicaciones, en un esquema de chantaje escalonado que convierte cada día sin acuerdo en una nueva amenaza de exposición.
Ese giro es el que debería generar mayor preocupación entre los usuarios identificados en el paquete filtrado. Un pasaporte y un autorretrato no solo sirven para vender en foros ilegales; también pueden emplearse para orquestar ataques de suplantación dirigidos, incluidos intentos de recuperación de cuentas en otras plataformas que utilizan verificación facial como prueba de identidad. Cruzar ese material con un historial de operaciones en bitcoin revela al atacante no solo quién es la víctima, sino también cuánto valor tiene atacarla.
Es justo señalar un matiz: Revolut afirma que sus sistemas y los fondos de los clientes no se vieron comprometidos, y que la telemetría biométrica derivada de los autorretratos —no solo la imagen— no formó parte de lo filtrado. Esa distinción es real, pero limita el daño solo marginalmente: la combinación de documento, rostro e historial financiero sigue siendo, por sí sola, suficiente para el tipo de fraude dirigido que más debería inquietar a un usuario identificado públicamente.
Tampoco es la primera vez que Revolut enfrenta un incidente de esta naturaleza. En 2022, otra brecha en la empresa también se originó en ingeniería social sobre un empleado, y no en una falla de infraestructura. El patrón se repite porque el problema nunca fue exclusivamente técnico.
Los poseedores de bitcoin que confían sus datos a plataformas reguladas dependen, en la práctica, de que un empleado identifique correctamente un correo fraudulento un martes cualquiera. Esa es una de las superficies de ataque del sistema financiero que promete protegerlos: no el algoritmo que resguarda las claves, sino la política que decide quién puede pedir qué, y con qué prueba.