Um grupo de hackers que se identifica como "iamnotavillain" exigiu 6.000 XMR, cerca de 3 milhões de dólares, à Revolut, alegando possuir dados pessoais de 680 clientes da fintech. O grupo estabeleceu um prazo de 24 horas na quarta-feira, 16 de setembro, ameaçando publicar o material caso não fosse pago em Monero, uma criptomoeda focada em privacidade.

Segundo a Revolut, os dados não foram obtidos através de uma falha nos seus próprios sistemas. Em vez disso, a empresa afirma que o material foi entregue através de uma conta de correio certificado comprometida, conhecida na Itália como PEC, pertencente à Prefeitura de Reggio Calabria. A prefeitura negou ter enviado qualquer pedido desse tipo. O mecanismo descrito assemelha-se a um Emergency Data Request, uma ferramenta legal normalmente usada por autoridades policiais para obter rapidamente informações de utilizadores junto de empresas em casos urgentes.

A Revolut afirma que o material exfiltrado inclui passaportes, cartas de condução, fotografias de KYC e históricos de transações. A maior parte dos clientes afetados está na Suíça e em França, com o restante distribuído por 31 outros países europeus, incluindo o Reino Unido, a Alemanha e a Espanha. A Revolut declara servir mais de 80 milhões de clientes a nível mundial, o que significa que as 680 contas afetadas representam uma fração reduzida da sua base de utilizadores.

Um padrão de pedidos fraudulentos

A agência italiana de cibersegurança CERT-AGID registou mais de 650 incidentes relacionados com contas PEC sequestradas ou criadas de forma fraudulenta desde o início do ano, sugerindo que o método usado contra a Revolut não é uma tática isolada.

A exigência de resgate do iamnotavillain surge depois de um pedido anterior e distinto, noticiado pelo Financial Times, no qual um autor que se identificava como "Revolut Smilik" exigiu 10.000 BTC, então avaliados em mais de 780 milhões de dólares, à empresa. O iamnotavillain rejeitou essa reivindicação anterior como fraudulenta, afirmando que se baseava apenas numa simples amostra de dados.

A Revolut afirma que não ocorreu qualquer roubo de fundos e que não anunciou o pagamento de qualquer resgate.

O papel do Monero e incidentes anteriores

A escolha do Monero para a exigência de resgate é notável dada a acessibilidade cada vez menor desta moeda nas principais corretoras. A Binance retirou o Monero da listagem em 2024, e a Kraken restringiu subsequentemente o ativo para utilizadores europeus.

As tentativas de extorsão contra empresas ligadas às criptomoedas têm-se tornado mais frequentes. A Coinbase revelou, em maio de 2025, que contratados tinham sido subornados a partir do estrangeiro para divulgar dados de quase 70.000 utilizadores, acompanhados de uma exigência de resgate de 20 milhões de dólares em bitcoin. O diretor executivo Brian Armstrong recusou-se a pagar, redirecionando antes essa quantia para uma recompensa por informações que levassem à detenção dos responsáveis. A Coinbase estimou os custos de remediação entre 180 milhões e 400 milhões de dólares.

A Ledger sofreu uma violação de dados em 2020, e os riscos vão além do roubo digital: o cofundador David Balland esteve em cativeiro antes de ser libertado pelo GIGN francês em janeiro de 2025.