Les Pirates De Revolut Exigent Trois Millions En Monero

Imaginez un compte à rebours qui clignote sur un forum, un montant fixé en Monero, et la promesse de vendre des passeports, des selfies de vérification et des historiques de transactions si personne ne paie. Ce n est pas un scénario de série. C est le dernier chapitre d une affaire Revolut devenue publique le 16 septembre 2026, lorsque le Financial Times a relaté qu un groupe se présentant sous le nom iamnotavillain exigeait 6 000 XMR, soit environ trois millions de dollars, dans un délai de vingt-quatre heures. Le plus troublant n est pas seulement la rançon. C est la manière dont les données ont quitté l établissement : pas par une brèche technique classique dans les serveurs, mais par des demandes frauduleuses habillées des apparences d une administration légitime.

Une exigence de 6000 XMR et un ultimatum public

Le récit publié mercredi s appuie sur une publication du groupe accompagnée d une horloge. Revolut aurait vingt-quatre heures pour transférer 6 000 Monero avant que les dossiers ne soient proposés à d autres organisations criminelles. Au cours approximatif de 500 dollars par unité, la facture atteint trois millions. Le choix du jeton n a rien d anodin. Monero masque par conception l expéditeur, le destinataire et le montant. Pour un rançonnage, cette opacité est un argument commercial autant qu un bouclier technique.

Au moment où le quotidien britannique a bouclé son article, aucune négociation n était confirmée. Revolut n avait pas indiqué s il répondrait, ni même reconnu formellement que ce groupe détenait bien l ensemble des fichiers. Les attaquants ont toutefois transmis une capture vidéo d une minute censée montrer une partie du butin. On y verrait des passeports, des permis de conduire, des photographies fournies lors des contrôles know your customer et des historiques de mouvements. La mise en scène vise à prouver le contrôle des données tout en maintenant la pression médiatique.

Le délai n est pas seulement une menace comptable. C est une arme psychologique destinée à forcer une décision avant que les autorités, les assureurs et les équipes internes n aient le temps d aligner une stratégie cohérente.

Un observateur habitué des dossiers de rançongiciel bancaire.

Revolut a parlé d une portion très limitée de sa clientèle. Les reportages évoquent au moins 680 comptes. L Information Commissioner s Office britannique a ouvert une enquête après la notification réglementaire. L établissement répète que ses systèmes et les fonds des clients n ont pas été pénétrés. La fuite, selon sa version, résulte de requêtes envoyées depuis une adresse utilisant le domaine d une agence gouvernementale réelle, suffisamment bien authentifiée pour franchir les filtres internes.

Comment de fausses requêtes officielles ont ouvert la porte

Contrairement à l image d un pirate qui force un pare-feu à minuit, l opération s apparenterait à une usurpation d identité institutionnelle. Les messages auraient porté des signes d authentification de domaine valides. Les procédures de Revolut destinées à juger la légitimité d une demande officielle auraient alors été satisfaites. L entreprise a livré des dossiers, puis a compris le piège, bloqué l adresse, alerté l agence concernée, les forces de l ordre, les autorités de protection des données et les régulateurs financiers.

Cette mécanique révèle une faille moins spectaculaire qu un exploit zero-day, mais souvent plus rentable : la confiance accordée à un canal qui ressemble à l Etat. Une banque ou une néobanque reçoit chaque année des demandes d autorités. Elle doit répondre vite, sous peine de sanctions. Les attaquants jouent précisément sur cette contrainte. Ils n ont pas besoin de casser le coffre s ils peuvent se faire passer pour le huissier.

Le communiqué interne aux clients dressait une liste précise. Noms complets, dates de naissance, professions, adresses, courriels, téléphones. Copies de passeports ou de permis. Autoportraits envoyés pour prouver l identité. Côté compte : IBAN, date d ouverture, statut, retraits, historiques complets. Certaines extraits mentionnaient des références de portefeuilles Bitcoin et des traces de transactions en bitcoin. Revolut a distingué les photos de contrôle d identité des données biométriques faciales de télémétrie, qu elle dit n avoir pas divulguées. Mots de passe, clés privées, codes de sécurité et détails complets de cartes n apparaissaient pas dans l inventaire public.

Pourquoi les profils crypto auraient été ciblés

Les auteurs ont déclaré au journal avoir recouru à l analyse de chaîne pour repérer des clients présentant d importants avoirs numériques. Si l affirmation est exacte, le fichier n aurait pas été un tirage au sort. Il aurait été filtré par la fortune apparente. L enquêteur on-chain ZachXBT avait déjà évoqué un profil de clients à fort patrimoine. Revolut n a pas confirmé cette lecture. Le discours des pirates va dans le même sens, sans preuve indépendante.

Sur un réseau public, les soldes, les transferts et les grappes d adresses restent visibles. Le chaînon manquant, c est le nom. Une néobanque qui conserve à la fois l identité vérifiée et des références de portefeuilles bitcoin offre précisément ce chaînon. Relier un visage, une adresse postale et un historique on-chain transforme une fuite administrative en carte d identité financière. C est cette combinaison qui rend le dossier plus dangereux qu une simple liste d emails.

Les conséquences ne se limitent pas à la revente du fichier. Un message d hameçonnage qui cite un vrai mouvement, une vraie date d ouverture ou un vrai numéro de document convainc bien davantage qu un courriel générique. Les victimes potentielles ne sont pas seulement britanniques. Le reportage ne précise pas si des comptes américains figurent parmi les 680. Le mélange identité plus activité crypto suffit toutefois à créer un risque pour quiconque reçoit un appel ou un texto se réclamant de Revolut, d un exchange, d une administration ou d un fournisseur de wallet.

Monero comme monnaie de rançon, et ce que cela change

Le choix de l XMR n est pas un détail de collectionneur. Une revue d août sur les monnaies de confidentialité rappelait que Monero rend la confidentialité obligatoire. Les signatures en anneau noient l expéditeur réel parmi plusieurs participants possibles. Les adresses furtives masquent le destinataire. Les transactions confidentielles en anneau dissimulent le montant. Pour un enquêteur, suivre un paiement devient nettement plus ardu que sur Bitcoin ou Ethereum, où le grand livre reste transparent.

Il serait malhonnête d en conclure que le jeton et tous ses utilisateurs sont criminels. Beaucoup y voient un outil de discrétion financière légitime. Reste que cette architecture complique le suivi des flux illicites. Un dossier distinct d août illustrait le même obstacle : après un piratage estimé à 7,9 millions de dollars chez Coinsbuy, une partie des fonds aurait été convertie en Monero, après plusieurs étapes sur des plateformes. Les cabinets d analyse ont pu tracer certains segments, puis le signal s est brouillé.

Payer en Monero n efface pas le crime. Cela allonge surtout le temps nécessaire pour relier un paiement à un visage, et ce temps est précisément ce que recherchent les auteurs d une extorsion.

Analyste spécialisé dans les flux opaques.

Pour Revolut, accepter ou refuser n est pas qu un calcul moral. Payer peut encourager d autres groupes. Refuser peut accélérer la diffusion du fichier. Les autorités déconseillent souvent le règlement. Les assureurs cyber raisonnent parfois autrement, au cas par cas, selon le coût d une fuite massive, les obligations de notification et le risque réputationnel. Rien n indique ici qu une police d assurance dicte déjà la réponse. Le silence public de la société, au moment du reportage, laisse la question ouverte.

Ce que la notice client révèle sur le périmètre réel

Lire attentivement la communication de Revolut aide à mesurer le danger sans l amplifier. Les photographies de vérification ne sont pas présentées comme de la biométrie faciale de télémétrie. Cette distinction compte. Une photo de selfie KYC permet l usurpation visuelle et le montage de dossiers. Elle n équivaut pas forcément à un modèle biométrique réutilisable dans tous les systèmes de reconnaissance. De même, l absence annoncée de clés privées et de codes de sécurité réduit le risque de vidage immédiat d un wallet non lié, mais n annule pas le risque d ingénierie sociale.

Les historiques de transactions, eux, sont une mine. Ils montrent des habitudes, des contreparties, des montants, parfois des références d adresses bitcoin. Un escroc patient peut reconstruire un calendrier de vie financière et frapper au bon moment, par exemple juste après un retrait important. Le ciblage des clients fortunés, s il est avéré, augmente encore la rentabilité de chaque appel frauduleux.

• Identité civile : nom, naissance, métier, domicile, contacts.
• Preuves d identité : passeport, permis, selfie de contrôle.
• Données de compte : IBAN, dates, statuts, retraits, historiques.
• Traces crypto : références de wallets bitcoin et mouvements associés dans certains extraits.

La société a qualifié l incident d arnaque d usurpation externe sophistiquée et maintenu que ses systèmes restaient sûrs. Elle n a pas nommé l agence dont le domaine a servi de couverture, ni expliqué comment les attaquants ont obtenu l usage d un compte opérant via ce domaine. Ce trou narratif alimente les spéculations : boîte compromise chez un tiers, relais interne malveillant, faille chez un prestataire de messagerie. Aucune de ces hypothèses n est établie dans les sources publiques reprises ici.

Le précédent réglementaire et le regard de Londres

Le Royaume-Uni traite déjà le dossier sous l angle de la protection des données. L ouverture d une procédure par l Information Commissioner s Office n préjuge pas d une amende. Elle signifie que le régulateur examinera la notification, les mesures prises, le délai de détection et la qualité des contrôles appliqués aux demandes officielles. Pour une néobanque qui grandit vite et sert une clientèle internationale, cet examen n est pas cosmétique. Il interroge la gouvernance des accès aux dossiers sensibles, surtout lorsque la demande arrive avec les apparences de l Etat.

Les autorités financières regarderont aussi le volet conduite. Même si les fonds n ont pas bougé, une fuite d identifiants et d historiques peut entraîner des fraudes ultérieures dont les clients tiendront la banque pour responsable, au moins moralement. La communication qui minimise le nombre de comptes tout en reconnaissant la gravité des pièces exposées devra rester cohérente. Trop d optimisme attire le soupçon. Trop d alarme crée une panique inutile.

Dans le paysage européen, ce type d affaire s inscrit dans une série plus large : demandes administratives falsifiées, compromission de messageries officielles, revente de packs KYC sur des marchés occultes. Les établissements qui traitent à la fois fiat et crypto accumulent un cocktail de données particulièrement convoité. Ils deviennent des cibles de choix, non parce que leur code est forcément plus faible, mais parce que le butin est plus complet.

Risques concrets pour les clients, y compris aux Etats-Unis

Même sans confirmation d un sous-ensemble américain parmi les 680 dossiers, les conseils de prudence valent pour toute personne dont l identité bancaire et crypto pourrait circuler. Revolut indique côté Etats-Unis qu elle n appelle pas à l improviste pour exiger un paiement ou des codes. Le bon réflexe reste de vérifier toute prise de contact via le canal d assistance intégré à l application, jamais via un numéro reçu par SMS.

La Federal Trade Commission oriente les personnes exposées vers IdentityTheft.gov, avec des démarches adaptées au type de donnée. Les tentatives d hameçonnage peuvent être signalées sur ReportFraud.ftc.gov. Le Internet Crime Complaint Center du FBI demande, pour les fraudes crypto, des adresses de portefeuille, des montants, des types d actifs, des empreintes de transaction et des horodatages. Ces détails, s ils sont conservés par la victime, accélèrent le travail des enquêteurs même lorsque la rançon initiale a été exigée en Monero.

Le danger le plus immédiat n est souvent pas le vol de fonds sur Revolut. C est la reconstruction d une identité assez riche pour tromper un autre service : un exchange, un courtier, un opérateur téléphonique, parfois un notaire en ligne. Les selfies KYC accélèrent les fraudes d ouverture de compte. Les historiques servent de script. Les adresses postales permettent des attaques plus physiques, du courrier piégé au changement d adresse frauduleux.

Ce que l affaire dit de la confiance KYC

Depuis des années, les plateformes accumulent des scans de documents pour satisfaire la lutte contre le blanchiment. Cette accumulation crée un paradoxe. Plus l institution est conforme, plus elle devient un entrepôt d identités. Les régulateurs exigent la collecte. Les pirates convoitent le stock. Les clients, eux, n ont souvent pas d alternative s ils veulent convertir des euros en bitcoin ou l inverse.

L usurpation d une demande gouvernementale met en lumière un angle mort. Les procédures anti-fraude sont souvent conçues contre le client malhonnête, pas contre l administration fantôme. Vérifier un domaine, une signature DKIM, un ton administratif, ne suffit plus si l attaquant contrôle réellement un compte situé derrière ce domaine. La question n est plus seulement « le message a-t-il l air officiel ». Elle devient « l autorité citée a-t-elle vraiment initié cette requête, par un canal hors bande ».

Certaines institutions mettent en place un second facteur institutionnel : rappel téléphonique vers un numéro connu, portail d autorités dédié, limitation des extractions massives, journalisation fine de chaque export. Rien n indique publiquement où se situait Revolut sur cette échelle au moment des faits. L enquête de l ICO pourrait précisément porter sur ce point. En attendant, d autres établissements feraient mieux de tester leurs propres circuits de demandes officielles comme on teste un plan d incendie.

Analyse de chaîne, vie privée et fausse piste morale

Il est tentant de conclure que les clients visés l ont cherché en détenant du bitcoin. Ce raisonnement est paresseux. Détenir un actif transparent n autorise personne à livrer votre passeport à un groupe criminel. Inversement, utiliser Monero pour une rançon n invalide pas le droit d autres personnes à chercher de la confidentialité financière. Les deux plans doivent rester séparés.

L analyse de chaîne est un outil neutre. Les enquêteurs s en servent pour suivre des vols. Les attaquants s en servent pour classer des cibles. Les journalistes s en servent pour vérifier des récits. Ce qui change ici, c est l appariement avec un fichier nominatif sorti d une néobanque. Sans ce fichier, une adresse bitcoin reste souvent un alias. Avec ce fichier, l alias redevient une personne, une rue, un visage.

Les défenseurs de la confidentialité diront que cette affaire plaide pour des outils qui rompent ce lien. Les régulateurs diront qu elle plaide pour plus de surveillance des flux. Les deux camps tireront la couverture. Le lecteur peut retenir une leçon plus terre à terre : dès qu un intermédiaire connaît à la fois votre nom et vos adresses on-chain, cette connaissance devient un actif attaquable. Diversifier les points de dépôt, limiter les mentions de wallets dans les relevés, et traiter les selfies KYC comme des documents aussi sensibles qu un mot de passe, n est plus une lubie de paranoïaque.

Médias, preuve vidéo et théâtre de la rançon

La séquence d une minute envoyée au journal joue un rôle classique. Elle doit convaincre sans tout livrer. Trop de détails, et le fichier perd de la valeur marchande. Trop peu, et personne ne croit la menace. Les médias se trouvent alors dans une position inconfortable : relayer assez pour informer les victimes potentielles, sans servir de vitrine publicitaire au groupe.

Le nom iamnotavillain participe de la même mise en scène. Il suggère une posture presque ironique, comme si l extorsion était un mal nécessaire. Ce genre de signature vise parfois à se distinguer des gangs plus brutaux, à laisser une porte ouverte à la négociation, ou simplement à occuper l espace informationnel. Il ne dit rien de fiable sur l éthique réelle des auteurs.

Le compte à rebours de vingt-quatre heures, lui, est un classique du rançongiciel. Il comprime le temps de décision. Il force les comités de crise à se réunir la nuit. Il alimente les titres. Une fois l échéance passée, deux issues fréquentes existent : la vente effective du fichier, ou une nouvelle relance avec un prix révisé. Les observateurs jugeront sur pièces dans les jours qui suivent la publication initiale.

Ce que Revolut peut encore clarifier sans aggraver le risque

Une communication utile n a pas besoin de livrer un mode d emploi aux imitateurs. Elle peut préciser la fenêtre temporelle des requêtes frauduleuses, le type de contrôles désormais ajoutés, et la manière dont un client peut savoir s il figure dans le périmètre. Elle peut aussi dire, sans nommer l agence, si la compromission semble externe à cette administration ou liée à une boîte précise. Ces éléments aident les autres banques à durcir leurs propres filtres.

Sur le fond, l établissement a intérêt à séparer trois messages que le public mélange souvent. Premier message : les soldes n ont pas été siphonnés via une intrusion système. Deuxième : des données personnelles sensibles ont bien quitté le cadre prévu. Troisième : le risque désormais est surtout la fraude ciblée, pas le crash de l application. Tant que ces trois plans restent distincts, la confiance peut se reconstruire. Dès qu on les fusionne, le soupçon s installe.

Les clients, de leur côté, peuvent exiger plus de sobriété dans la conservation. Faut-il vraiment garder indéfiniment un selfie et un scan de passeport après la vérification initiale, au-delà des obligations légales minimales. La question dépasse Revolut. Elle concerne tout le secteur des comptes qui touchent à la crypto. Moins on stocke, moins on a à perdre lorsqu une demande officielle se révèle être un costume.

Une leçon plus large pour l écosystème crypto-bancaire

Les néobanques ont popularisé l ouverture de compte en quelques minutes. Cette fluidité repose sur des flux automatisés de documents. Les attaquants l ont compris. Ils ne visent plus seulement la clé USB oubliée ou le poste d un stagiaire. Ils visent le process qui, chaque jour, fait entrer et sortir des identités par dizaines de milliers. Un process rapide est un process que l on n interrompt pas assez souvent pour demander : cette autorité a-t-elle vraiment écrit.

Le marché crypto, déjà habitué aux hacks de ponts et aux drains de contrats, découvre ici une vulnérabilité plus administrative. Pas de transaction malveillante à annuler. Pas de signature à révoquer sur la chaîne. Seulement des vies financières reconstituables à partir de PDF et de selfies. C est moins spectaculaire qu un exploit, et parfois plus durable. Un fichier d identité se revend pendant des années. Un smart contract vidé se remarque en une heure.

La prochaine crise de confiance ne viendra pas forcément d une ligne de code. Elle viendra d une boîte mail qui avait l air d appartenir à l Etat.

Juriste spécialisé dans la finance numérique.

Les plateformes auraient intérêt à cartographier leurs dépendances : quels domaines officiels sont autorisés, quels volumes d export sont anormaux, quels employés peuvent extraire un pack complet. Elles devraient tester des scénarios d usurpation comme elles testent déjà les scénarios de phishing client. Le client n est plus le seul maillon faible. Le guichet qui croit parler à une préfecture l est devenu.

Après l ultimatum, ce qu il faudra surveiller

Plusieurs signaux diront si l affaire s arrête à une tentative d extorsion médiatisée ou si elle bascule vers une diffusion. Apparition d extraits supplémentaires. Offres sur des marchés occultes. Vague de fraudes ultra personnalisées. Communiqués complémentaires de Revolut. Suites données par l ICO. Eventuelle identification de l agence dont le domaine a servi de couverture. Chacun de ces éléments modifiera la lecture.

Il faudra aussi observer le prix demandé. Un groupe qui n obtient rien peut baisser sa mise, changer d actif, ou fragmenter le fichier pour le vendre à la pièce. Un groupe qui obtient un paiement disparaît parfois, parfois revient. L histoire des rançons n offre aucune garantie. Elle offre seulement des régularités statistiques que les équipes de crise connaissent trop bien.

Pour le lecteur qui n a pas de compte Revolut, le dossier reste instructif. Il montre comment une monnaie conçue pour la discrétion devient l unité de compte d une extorsion. Il montre comment l analyse de chaîne, célébrée comme outil de transparence, peut servir à trier des victimes. Il montre surtout que la frontière entre banque et crypto n protège plus personne : les données voyagent d un monde à l autre, et les attaquants aussi.

Garder la mesure sans baisser la garde

Rien dans les éléments publics n autorise à crier au pillage total de Revolut. Les fonds, selon l entreprise, n ont pas été pris. Les systèmes, selon elle, n ont pas été forcés. Cette réserve compte. Elle n autorise pas non plus à hausser les épaules. Six cent quatre-vingts dossiers d identité enrichis d historiques, s ils sont authentiques, suffisent à nourrir des campagnes de fraude pendant longtemps. Le chiffre est petit à l échelle d une base mondiale. Il est énorme à l échelle d une vie privée.

La bonne attitude n est ni la panique, ni le déni. C est la vérification froide. Changer les réflexes de confiance téléphonique. Traiter les documents KYC comme des originaux. Comprendre qu un détail vrai dans un message n est plus une preuve d authenticité, mais parfois la preuve inverse : quelqu un a lu votre dossier. Dans les semaines qui viennent, les clients les plus exposés ne seront pas forcément ceux qui ont le plus de bitcoin. Ce seront ceux qui croiront encore qu un interlocuteur bien informé est forcément légitime.

L affaire Revolut, ramenée à l essentiel, n est pas seulement une histoire de trois millions en Monero. C est le portrait d un secteur où l identité est devenue un actif aussi liquide qu un jeton, et où une demande qui porte le cachet du pouvoir peut ouvrir des tiroirs que le meilleur pare-feu laissait fermés. Le compte à rebours des pirates finira par s arrêter. La question des entrepôts d identités, elle, restera posée longtemps après que l horloge aura atteint zéro.