Revolut Victime D’Ingénierie Sociale Et Fuite Bitcoin

Personne n’a forcé une serrure numérique. Personne n’a déployé un rançongiciel. Entre le 11 et le 12 septembre 2026, une simple correspondance a suffi. Elle arrivait d’une adresse qui semblait appartenir à une autorité publique. Revolut a traité la requête comme on traite une réquisition qu’on n’ose pas contester. En quelques heures, des passeports, des selfies de contrôle et des historiques de transactions Bitcoin de clients aisés ont quitté les coffres de la conformité pour atterrir chez des inconnus. Le pare-feu n’a rien vu venir, parce qu’il n’y avait rien à voir.

Quand La Confiance Devient La Seule Brèche

L’ingénierie sociale ne casse pas les machines. Elle plie les personnes. Au lieu d’attaquer un mot de passe, l’escroc construit un décor de légitimité. Ici, le décor n’était même pas une imitation. L’expéditeur disposait d’un accès réel à l’intérieur du domaine mail d’une agence gouvernementale. SPF, DKIM et DMARC ont donc tous validé le message. Revolut a cru parler à l’État. L’État n’avait rien demandé.

Ce détail change tout. Une usurpation classique se détecte souvent à un caractère de trop dans le nom de domaine. Cette fois, le domaine était authentique. Les équipes de conformité ont ouvert le dossier KYC comme elles l’auraient fait pour une enquête judiciaire réelle. Le piège n’était pas technique. Il était institutionnel.

Ce Que Contient Vraiment Le Butin

La notice envoyée aux clients concernés, relayée notamment par Mark Karpelès et le chercheur ZachXBT, dresse un inventaire glaçant. Il ne s’agit pas d’une simple adresse e-mail volée. Le paquet mélange identité civile et patrimoine numérique.

Revolut précise qu’aucune télémétrie biométrique faciale n’a été compromise. Le selfie, lui, l’a été. Couplé à une pièce d’identité et à une adresse physique, il suffit à reconstruire un visage, un foyer et un niveau de fortune. Mark Karpelès a confirmé que son propre historique figurait dans le lot. Marc Zeller, fondateur de l’Aave Chan Initiative, a résumé le sentiment d’une partie de la communauté d’une phrase sèche : le KYC n’a jamais apporté le bénéfice promis, mais il a mis beaucoup de monde en danger.

Réveil difficile, toutes mes données ont fuité chez Revolut. Un rappel cinglant que le KYC n’a jamais produit le moindre bénéfice tangible, et qu’il a mis beaucoup de monde en danger.

Marc Zeller

Pourquoi Les Protocoles Mail N’Ont Rien Détecté

SPF vérifie que le serveur a le droit d’envoyer au nom du domaine. DKIM signe le contenu pour garantir qu’il n’a pas été altéré. DMARC tranche en cas de conflit. Les trois ont donné leur feu vert, comme l’a détaillé The Block. Le message venait réellement de l’intérieur du domaine visé. Ce n’était pas un homographe. Ce n’était pas un relais pirate. C’était une boîte non autorisée, logée dans une infrastructure officielle.

Revolut n’a compris l’entourloupe qu’après coup, en rappelant l’agence elle-même. Celle-ci a répondu, gênée, n’avoir rien sollicité. Contactée par la presse, la néobanque a parlé d’une « escroquerie sophistiquée par usurpation externe ». Elle affirme avoir bloqué l’adresse compromise, alerté l’agence, la police et les régulateurs. Les systèmes et les fonds des clients resteraient intacts. Ni le nom de l’agence ni le nombre exact de victimes n’ont filtré. Revolut évoque un périmètre limité. ZachXBT y voit au contraire un ciblage prioritaire de profils fortunés.

Le Timing Qui Rend L’Affaire Encore Plus Fragile

L’incident tombe au pire moment pour l’image réglementaire de la société. En août 2026, Revolut a obtenu son agrément bancaire complet en France, après celui du Royaume-Uni. Selon TechCrunch, une introduction en bourse serait explorée à une valorisation comprise entre 150 et 200 milliards de dollars, contre 75 milliards lors de la dernière levée privée. Une fuite d’identités vérifiées n’aide pas à convaincre les superviseurs que la conformité est un réflexe et non un théâtre.

La néobanque jure que les comptes n’ont pas été touchés. C’est vrai au sens strict : personne n’a vidé un wallet depuis l’intérieur de l’appli. Le danger n’est pas là. Le danger est dehors, dans la rue, à l’adresse désormais connue, avec un historique Bitcoin désormais lisible.

La France Et La Géographie Des Wrench Attacks

Exposer une activité Bitcoin n’est pas un désagrément administratif. C’est un risque physique immédiat. La France concentre une part écrasante des agressions violentes visant des détenteurs de cryptoactifs. On les appelle, par euphémisme, les wrench attacks : la clé à molette plutôt que l’exploit zero-day.

Le Journal du Coin avait déjà chiffré une hausse de 33 % au premier semestre 2026. Fin juin, le ministre de l’Intérieur Laurent Nuñez évoquait 77 enlèvements et extorsions liés aux cryptoactifs depuis janvier 2026, contre 45 sur l’ensemble de 2025. Un dispositif d’alerte lancé au printemps a permis près de 200 interpellations, préventives ou après les faits. Le rythme s’accélère. Chaque fuite de ce type nourrit le vivier.

Les faits ne sont pas théoriques. Un couple ligoté à Alès en présence d’un enfant. Des séquestrations. Parfois des mutilations filmées pour forcer un transfert. Une famille tuée au Mexique pour un wallet supposé contenir des millions. La mécanique est toujours la même : une donnée volée devient une adresse à visiter.

Ledger, Coinbase, Puis Revolut : Trois Failles Différentes

Le précédent le plus cité reste la fuite Ledger de 2020. Plus de 270 000 clients avaient été exposés. Pendant des années, ces fichiers ont circulé sur le dark web à quelques centaines de dollars. Les acheteurs n’avaient plus besoin de tirer au hasard : ils tiraient sur des détenteurs avérés.

En mai 2025, Coinbase reconnaissait que des agents de support corrompus en Inde avaient vendu les données de près de 70 000 clients. Une tentative d’extorsion à 20 millions de dollars avait suivi. La facture totale, procès et remboursements compris, a dépassé les 400 millions. Chez Coinbase, le maillon était un sous-traitant. Chez Ledger, une base mal protégée. Chez Revolut, ni employé vénal ni serveur mal configuré. Seulement un mail qui avait l’air vrai, envoyé depuis un endroit qui, techniquement, l’était.

Le KYC Face À Son Angle Mort

Les régulateurs imposent la connaissance du client pour lutter contre le blanchiment. Sur le papier, l’intention est claire. Dans la pratique, chaque pièce collectée devient une cible permanente. Un cours de Bitcoin qui chute se rattrape. Une identité scannée, non. Couplée à un solde connu, elle n’a pas de date de péremption.

C’est l’ironie que soulignent les victimes publiques de l’affaire. On a demandé aux utilisateurs de se photographier, de scanner un passeport, de relier un IBAN à une activité on-chain, au nom de la sécurité collective. La même pile de documents sert aujourd’hui de dossier d’approche pour qui voudrait frapper à la porte.

Cela ne signifie pas que toute vérification est inutile. Cela signifie qu’une institution qui stocke ces preuves doit traiter toute demande externe, même parfaite sur le plan cryptographique du courrier, comme un événement à double contrôle humain. Un appel téléphonique vers un numéro officiel connu, pas celui figurant dans le mail. Une confirmation écrite par un second canal. Un délai obligatoire avant extraction massive.

Ce Que Revolut Dit Avoir Fait Ensuite

La riposte officielle tient en quelques phrases. Blocage de l’adresse. Information de l’agence usurpée. Saisine de la police et des régulateurs financiers. Assurance que les fonds n’ont pas bougé. Rien de plus n’a été confirmé sur une indemnisation, ni sur la liste précise des personnes prévenues.

Pour les clients français, une voie existe indépendamment des démarches de la société : saisir la CNIL au titre du RGPD en cas de violation de données personnelles. Cette option reste ouverte même si Revolut a déjà alerté les autorités sectorielles.

Comment Une Demande Légale Devrait Être Traitée

Les réquisitions existent. Les banques y répondent tous les jours. Le problème n’est pas d’obéir à la loi. Le problème est de confondre un en-tête authentique avec une intention authentique. Un domaine gouvernemental compromis n’est plus une hypothèse d’exercice. C’est un vecteur documenté.

• Vérifier hors bande : rappeler l’agence via un standard public, jamais via le fil du mail reçu.
• Limiter l’export : extraire le strict nécessaire, jamais l’historique Bitcoin complet par défaut.
• Journaliser le doute : toute demande atypique doit laisser une trace interne avant envoi.
• Prévenir le client : dans les cas non urgents, un préavis réduit le risque d’extorsion silencieuse.

Aucun audit de code ne remplace ce coup de fil. Les protocoles d’authentification du courrier ont fonctionné exactement comme prévu, du premier au dernier octet. Ils n’ont jamais été conçus pour dire si la personne derrière la boîte avait le droit d’être là.

Ce Que Les Clients Peuvent Faire Sans Attendre

Changer un mot de passe Revolut ne répare pas un passeport scanné. En revanche, quelques gestes réduisent la surface utile pour un agresseur.

Surveiller les mouvements inhabituels sur le compte et sur les adresses Bitcoin historiques. Activer toutes les alertes de connexion. Envisager un changement d’adresse postale si le patrimoine exposé est élevé. Documenter la notification reçue pour d’éventuelles démarches CNIL ou assurances. Éviter de confirmer publiquement des soldes. Les réseaux sociaux restent une source secondaire que les extorqueurs recoupent avec les fuites.

Les utilisateurs non notifiés ne sont pas automatiquement à l’abri. Revolut parle d’un périmètre limité. L’histoire des fuites montre que les périmètres s’élargissent souvent après les premières communiqués.

Une Leçon Qui Dépasse Une Seule Néobanque

Le secteur aime répéter que la blockchain est transparente et que la sécurité est une affaire de clés privées. Cette affaire rappelle une évidence moins glamour. La majorité des points de contact entre un citoyen et le monde crypto passent encore par des entreprises réglementées, des selfies, des PDF et des boîtes mail. C’est là que se joue désormais une part du risque physique.

Revolut n’a pas inventé la faille humaine. Elle l’a simplement illustrée avec une clarté rare : quand le courrier est authentique, la procédure interne devient le dernier rempart. Si ce rempart se contente de cocher des en-têtes, le dossier KYC voyage.

Les clients fortunés ciblés selon ZachXBT n’ont pas besoin d’un roman d’espionnage pour comprendre la suite. Une adresse, un visage, un historique. Le reste n’est plus de la cybersécurité. C’est de la sûreté personnelle.

Il reste des zones d’ombre. Le nom de l’agence. Le nombre réel de dossiers. L’existence ou non d’une rançon, évoquée ailleurs dans la presse le soir même. Tant que ces points ne sont pas tranchés, la seule certitude tient dans le mécanisme : un accès mail légitime a suffi à ouvrir ce que les murs techniques avaient fermé.

Dans les mois qui viennent, les régulateurs français et britanniques jugeront si cette « bonne foi raisonnable » suffit. Les clients, eux, jugeront sur un critère plus simple. Est-ce que leur porte, désormais, est encore anonyme ?