Revolut Face À Une Rançon De 3 Millions En Monero

Une adresse officielle, un ton d’urgence, et le réflexe institutionnel de coopérer vite. C’est ainsi qu’une néobanque parmi les plus visibles d’Europe s’est retrouvée, en quelques heures, à remettre le dossier de six cent quatre-vingts clients à des inconnus. Pas de rançongiciel déployé dans les serveurs, pas d’employé soudoyé dans un centre d’appels, pas de brèche logicielle spectaculaire. Seulement une demande d’urgence qui ressemblait trop à une vraie. Le groupe qui se présente sous le nom d’iamnotavillain réclame désormais six mille moneros, soit environ trois millions de dollars. Revolut affirme n’avoir reçu aucune sommation directe et dément toute intrusion dans ses systèmes. L’ultimatum de vingt-quatre heures fixé mercredi 16 septembre 2026 est déjà derrière nous. Reste une question plus gênante que le montant : comment une procédure conçue pour sauver des vies a-t-elle pu devenir le vecteur d’une extorsion ciblée ?

Ce Que Révèle L’Affaire Revolut Au-Delà Du Chiffre

Le récit public s’est d’abord accroché au chiffre rond. Trois millions. Six mille XMR. Six cent quatre-vingts personnes. Ces volumes donnent l’illusion d’un cas isolé, presque comptable. Ils masquent un basculement plus profond. Les plateformes régulées accumulent des portraits d’identité complets parce que la loi les y oblige. Passeports, permis, selfies de vérification, historiques de mouvements : le dossier KYC n’est plus un formulaire administratif. C’est un levier. Quand ce levier bascule du mauvais côté, la transparence des blockchains publiques fait le reste. Les assaillants le disent eux-mêmes : ils ont croisé les identités obtenues avec des outils d’analyse on-chain pour isoler les portefeuilles les plus garnis. La fuite n’est pas seulement nominative. Elle est patrimoniale.

Revolut compte plus de quatre-vingts millions de clients dans le monde. Six cent quatre-vingts dossiers, c’est statistiquement une poussière. Opérationnellement, c’est une sélection. La majorité des personnes concernées se trouvent en Suisse et en France. Le reste se répartit dans trente et un autres pays européens, Royaume-Uni, Allemagne et Espagne compris. Ce n’est pas un hasard géographique. C’est le périmètre d’une usurpation construite autour d’un outil italien très particulier : la messagerie certifiée, la PEC.

La fausse réquisition qui n’avait besoin d’aucune faille

Les Emergency Data Requests, ou demandes urgentes de données, existent pour une raison humaine. Une disparition, une menace de mort, un enfant en danger : les forces de l’ordre n’ont pas toujours le temps d’attendre un juge. Les plateformes sont alors sollicitées pour livrer des informations en quelques heures. Le dispositif court-circuite le mandat classique. Il repose presque entièrement sur un unique garde-fou : la vérification de l’expéditeur. C’est précisément ce garde-fou qui a cédé.

Les messages arrivaient d’un nom de domaine officiel, rattaché à une véritable administration. Le contrôle habituel a validé la requête. Les documents transmis forment un dossier d’identité complet. Passeports. Permis de conduire. Photographies de vérification. Historiques de transactions. Le compte utilisé appartenait à la préfecture de Reggio de Calabre. L’institution dément avoir envoyé la moindre demande. L’agence italienne de cybersécurité CERT-AGID avait pourtant déjà sonné l’alarme. Depuis le début de l’année, elle recense plus de six cent cinquante incidents liés à des comptes PEC détournés ou créés de manière frauduleuse. Le mécanisme italien de la poste électronique certifiée, conçu pour donner une valeur juridique aux échanges, est devenu un trophée sur les forums clandestins.

Le procédé n’est pas neuf. Dès 2022, Bloomberg documentait une série de fausses demandes urgentes ayant trompé Apple, Meta, Discord et Snap. Les messages partaient de boîtes mail de police compromises, ensuite revendues. L’affaire Revolut n’invente pas le scénario. Elle le porte dans le monde des néobanques qui, elles, conservent à la fois l’identité civile et le fil des flux financiers. Cette double possession change la valeur de la prise.

Pourquoi le Monero plutôt qu’un torrent de bitcoins

Au premier récit, la rançon avait l’air démesurée. Un acteur baptisé Revolut Smilik aurait réclamé dix mille bitcoins, plus de sept cent quatre-vingts millions de dollars selon le Financial Times. iamnotavillain qualifie cette revendication d’imposture, montée selon lui sur un simple échantillon. Lui maintient six mille XMR. Le choix n’est pas cosmétique.

Le Monero s’appuie sur des signatures de cercle, des adresses furtives et le RingCT. L’émetteur, le destinataire et le montant d’un transfert deviennent difficiles à lire pour les outils qui font le quotidien des enquêteurs sur Bitcoin ou Ethereum. Cette propriété a un prix de marché. Binance a retiré le XMR de son catalogue en 2024. Kraken a suivi pour les utilisateurs européens. La demande, elle, n’a jamais disparu. Dans un chantage, l’intérêt n’est pas la liquidité immédiate sur une grande place. C’est la rupture de la chaîne de traçabilité.

Payer n’achète qu’une promesse de suppression, dans un marché où les bases exfiltrées se recyclent indéfiniment.

Constat désormais banal dans les dossiers d’extorsion de données

Coinbase avait tranché une question voisine dès mai 2025. Des sous-traitants du support, soudoyés depuis l’étranger, avaient livré les informations de près de soixante-dix mille utilisateurs. Les maîtres chanteurs exigeaient vingt millions de dollars en bitcoins. Brian Armstrong a refusé et transformé la somme en récompense pour toute information menant à une arrestation. La plateforme a ensuite chiffré sa facture de remédiation entre cent quatre-vingts et quatre cents millions de dollars. Le parallèle n’est pas parfait. Là, la compromission passait par des humains à l’intérieur du périmètre. Ici, elle passe par une procédure légitime détournée. Le résultat, pour la victime finale, se ressemble : une identité qui voyage, une estimation de patrimoine qui circule, une confiance qui se fissure.

Le vrai risque n’est plus seulement numérique

On parle trop vite de phishing quand une base fuit. Le danger, pour les six cent quatre-vingts personnes concernées, dépasse largement le courriel piégé. Depuis des années, les listes nominatives de détenteurs alimentent un marché de l’agression physique, les fameuses wrench attacks. La fuite de la base clients de Ledger en 2020 a nourri des vagues de menaces pendant des mois. La France a connu une série d’enlèvements visant des figures du milieu. David Balland, cofondateur de Ledger, en a payé le prix : séquestré puis libéré par le GIGN en janvier 2025.

Revolut n’a signalé aucun vol de fonds. La néobanque n’a annoncé aucun paiement. Pour les clients exposés, le préjudice se situe ailleurs. Pièce d’identité, adresse, estimation des avoirs : ces éléments circulent déjà ou peuvent circuler. Aucun changement de mot de passe ne rattrape une photocopie de passeport. La routine de prudence n’a pas changé depuis dix ans, mais elle reprend une urgence concrète. Garder les clés sur un appareil dédié. Taire ses positions. Se méfier de tout interlocuteur qui se réclame du support. Ces phrases sonnent comme des slogans. Elles deviennent des réflexes de survie dès que le nom, le visage et le solde se retrouvent dans le même dossier.

La transparence des registres contre le secret des identités

L’ironie de cette affaire est presque scolaire. Les blockchains publiques doivent leur auditabilité à la visibilité des flux. Cette qualité rassure les régulateurs, les auditeurs, parfois les investisseurs. Elle devient un handicap dès qu’une identité fuit par ailleurs. Croiser une adresse connue et un nom civil n’exige plus un laboratoire d’État. Des outils commerciaux le font tous les jours, pour des enquêtes légitimes comme pour des chasses moins avouables. Les attaquants affirment avoir isolé les soldes les plus élevés précisément ainsi. Qu’ils disent vrai sur l’ampleur de leur tri ou qu’ils enjolivent leur butin, le principe tient : la donnée d’identité multiplie la donnée on-chain.

Les protocoles de confidentialité existent pour cette raison. Ils ne sont pas tous des outils de crime. Ils répondent aussi à une demande banale : ne pas afficher son patrimoine au premier venu. Le Monero occupe cette niche depuis longtemps, avec les limites que l’on connaît : liquidité réduite sur les grandes places européennes, suspicion réglementaire, usage mixte. Le choisir comme monnaie de rançon n’est donc pas un manifeste idéologique. C’est un calcul de furtivité.

Ce que la PEC italienne dit de la confiance numérique européenne

La poste électronique certifiée italienne devait simplifier la vie administrative. Un message PEC a, dans de nombreux cas, une valeur juridique supérieure à un courriel ordinaire. Les entreprises y voient un tampon. Les administrations y voient un canal. Les fraudeurs y voient une clé. Quand plus de six cent cinquante incidents de comptes PEC compromis ou fictifs s’accumulent en quelques mois, le tampon perd de son encre. Une préfecture réelle, un domaine réel, une requête formulée dans le langage de l’urgence : le cocktail suffit à faire sauter les filtres humains pressés.

On aurait tort de réduire l’épisode à une négligence italienne. Les demandes urgentes existent aux États-Unis, au Royaume-Uni, dans une grande partie de l’Union. Partout, le même dilemme. Trop vérifier, c’est risquer de ralentir une enquête vitale. Trop faire confiance, c’est ouvrir la porte. Les équipes conformité des fintechs travaillent déjà sous tension, entre obligations de coopération et peur du régulateur. Une fausse EDR exploite exactement cette tension. Elle ne casse pas un pare-feu. Elle accélère une procédure.

Revolut, le statut d’intermédiaire et le poids du KYC

Revolut n’est pas un exchange décentralisé. C’est une néobanque qui a construit une offre crypto à l’intérieur d’un cadre bancaire. Cette position lui impose de connaître ses clients mieux que beaucoup de plateformes nées dans le Web3. Le dossier d’entrée est riche. Trop riche, dès qu’il voyage. Les photos de vérification, en particulier, ont une valeur durable. On change un mot de passe. On ne change pas un visage. On ne change pas non plus facilement un numéro de passeport volé qui peut servir à d’autres fraudes, des mois plus tard, dans d’autres secteurs.

La communication de l’entreprise insiste sur deux points : pas d’intrusion dans les systèmes, pas de demande de rançon reçue directement. Ces précisions visent à calmer le marché et le superviseur. Elles ne règlent pas la question des 680 personnes. Pour elles, le débat juridique sur la qualification de l’incident — erreur de process, ingénierie sociale, violation de données — viendra après. Le temps immédiat est celui de la surveillance personnelle : mouvements inhabituels, tentatives d’usurpation, approches physiques, appels d’un faux support.

Une histoire déjà écrite chez d’autres géants

Apple, Meta, Discord, Snap : la liste de 2022 montrait déjà que la taille n’immunise pas. Plus une entreprise est habituée à parler aux polices du monde entier, plus elle possède des canaux d’urgence. Plus ces canaux existent, plus ils peuvent être imités. Les forums clandestins ont industrialisé la revente d’accès mail institutionnels. Ce n’est plus l’exploit d’un lone wolf. C’est une filière. L’affaire Revolut s’inscrit dans cette filière, avec une particularité crypto : la possibilité d’estimer un butin sans même entrer dans le compte.

Sur une chaîne publique, une adresse abondamment utilisée raconte une histoire. Volumes. Fréquence. Interactions avec des plateformes. Même sans solde exact à la virgule, on peut ranger des profils. Les personnes « intéressantes » au sens des attaquants ne sont pas nécessairement des baleines institutionnelles. Ce peuvent être des entrepreneurs discrets, des familles qui ont converti une partie d’un patrimoine, des early adopters qui n’ont jamais appris à se taire. La sélection de 680 dossiers parmi plus de 80 millions de clients raconte cette logique de triage.

Payer ou ne pas payer : le précédent Coinbase et la leçon amère

La tentation du paiement est toujours la même. Faire taire. Racheter du temps. Obtenir une suppression. L’expérience des fuites massives dit autre chose. Une base circule, se copie, se revend, se recoupe. La suppression promise n’est pas un contrat exécutoire. Coinbase a choisi l’affichage inverse : refus, prime, coût de remédiation assumé au grand jour, même si ce coût se chiffre en centaines de millions. Revolut, à cette heure, n’a pas dit avoir payé. Rien n’indique un règlement en XMR. L’ultimatum est passé. Le silence qui suit un ultimatum n’est jamais un verdict. Il peut signifier un refus, une négociation parallèle, une simple fin de communication publique.

Pour les clients, cette ambiguïté est froide. Ils ne contrôlent ni la décision de l’entreprise ni le comportement du groupe. Ils contrôlent seulement leur exposition résiduelle : ce qu’ils laissent visible on-chain, ce qu’ils disent en privé, la manière dont ils stockent ce qui reste hors de la néobanque.

Wrench attacks, enlèvements et le prix du silence

Le mot anglais est brutal et précis. Une clé à molette. La violence basse technologie contre la richesse haute technologie. Dès que des listes associent un nom, une adresse postale et une réputation de détenteur, des acteurs sans compétence cryptographique entrent en scène. La France a appris cette leçon dans la douleur, avec des séquestrations visant des personnalités du secteur. L’affaire Balland a rappelé que le risque n’était plus théorique. Une fuite de 680 identités n’équivaut pas à 680 agressions. Elle augmente toutefois la surface. Elle fournit un annuaire. Elle permet de prioriser.

Les conseils qui circulent alors sont connus jusqu’à l’usure. Ne pas étaler son patrimoine. Varier les habitudes de déplacement. Séparer le quotidien bancaire et le stockage long terme. Se méfier des rendez-vous improvisés. Ces phrases fatiguent. Elles fatiguent moins que l’alternative. Le paradoxe du secteur est là : plus la crypto se banalise, plus le nombre de cibles banales augmente. Plus le KYC s’étoffe, plus la cible devient lisible.

Ce que les régulateurs regarderont maintenant

Une néobanque européenne qui remet des dossiers sur la foi d’une PEC usurpée attire l’œil des superviseurs. Pas seulement britanniques. Français, suisses, allemands, espagnols : les clients concernés relèvent de plusieurs autorités. La question ne sera pas seulement « qui a piraté ». Elle sera « comment une demande urgente est-elle authentifiée ». Double confirmation vocale ? Rappel sur un numéro connu ? Vérification croisée avec un point de contact diplomatique ? Chaque couche supplémentaire ralentit les vraies urgences. Chaque couche manquante accélère les fausses.

Le cadre MiCA a poussé les acteurs vers plus de documentation, plus de traçabilité, plus de conservation. Cette conservation est une arme à double tranchant. Elle aide l’enquête légitime. Elle enrichit le butin illégitime. Les prochains audits de process ne porteront pas seulement sur les wallets internes. Ils porteront sur la messagerie, sur les listes blanches de domaines gouvernementaux, sur la formation des équipes qui traitent les EDR à deux heures du matin.

Les clients suisses et français au centre de la carte

Que la majorité des dossiers concerne la Suisse et la France n’est pas un détail de communiqué. Ces deux pays concentrent une population crypto relativement aisée, une culture de la confidentialité patrimoniale, et des réseaux d’attaques physiques déjà observés. La Suisse reste un carrefour de fortunes discrètes. La France a vu se succéder des affaires d’enlèvement liées aux cryptos. Une liste nominative qui mélange ces deux géographies a une valeur particulière pour qui cherche autre chose qu’un dump anonyme sur un forum.

Les personnes concernées n’ont pas toutes des soldes spectaculaires. Certaines ont simplement un dossier complet et une activité on-chain assez lisible pour être classées. C’est suffisant. Dans ce type d’opération, l’attaquant n’a pas besoin que toutes les cibles soient des millionnaires. Il a besoin que quelques-unes le soient, et que le reste serve de volume, de preuve, de pression.

Le rôle des outils d’analyse on-chain dans la sélection

Les entreprises d’intelligence blockchain vendent leurs services aux banques, aux offices, aux assurances. Les mêmes graphes, les mêmes clusters, les mêmes heuristiques peuvent être détournés. Relier une identité KYC à une adresse n’est pas de la magie. C’est souvent le résultat d’un dépôt, d’un retrait, d’une réutilisation d’adresse, d’un commentaire trop bavard sur un forum ancien. Une fois le lien fait, le registre public travaille tout seul. Il raconte les mois suivants. Il raconte parfois les années suivantes.

Cette réalité devrait faire réfléchir au-delà de Revolut. Toute plateforme qui mélange identité civile et rails crypto crée un index. Plus l’index est propre, plus il est dangereux s’il sort. Les utilisateurs qui croient encore qu’un compte régulé est un coffre-fort d’anonymat se trompent de siècle. Le compte régulé est un coffre-fort d’identité. L’anonymat, s’il existe encore, se joue ailleurs, avec d’autres compromis et d’autres risques.

Ce que change — et ne change pas — un ultimatum écoulé

Vingt-quatre heures, c’est un format de théâtre. Cela force les rédactions. Cela met une horloge sur les réseaux. Cela n’oblige personne à payer. Une fois le délai passé, plusieurs scénarios coexistent. Le groupe publie un échantillon plus large pour relancer la pression. Il se tait et revend en privé. Il se fragmente, comme souvent, entre plusieurs revendeurs. Une autre signature, Revolut Smilik, a déjà brouillé le tableau avec une exigence en bitcoins jugée fantaisiste. Dans les fuites, le bruit concurrent fait partie du décor. Il ne prouve ni l’ampleur réelle ni l’absence de danger.

Pour la rédaction d’un journal spécialisé, la discipline consiste à séparer les faits établis des revendications. Fait établi : des données ont été transmises à la suite de messages usurpant une administration. Fait établi : un groupe public réclame 6 000 XMR. Fait établi : Revolut nie la rançon directe et l’intrusion système. Revendication : le tri par richesse on-chain. Revendication : l’exclusivité du butin face à une autre signature. Entre les deux, le lecteur a besoin d’air, pas d’une épopée.

Les réflexes qui restent utiles sans magie

On ne referme pas une fuite d’identité avec un tutoriel. On peut cependant réduire la suite. Surveiller les comptes e-mail associés aux ouvertures de compte. Activer partout une authentification résistante au SIM swap. Considérer que le support n’appelle presque jamais le premier. Séparer nettement ce qui reste sur une néobanque et ce qui ne devrait plus jamais y dormir. Documenter, pour soi, les dates et les canaux officiels au cas où une usurpation d’identité administrative arriverait ensuite. Ces gestes n’effacent pas un passeport copié. Ils limitent la seconde vague.

Privacy coins, retraits d’exchange et signal politique

Chaque affaire de rançon en Monero relance le même débat réglementaire. Faut-il interdire ce qui se trace mal ? Faut-il accepter qu’une monnaie difficile à suivre existe comme l’espèce existe ? Binance et Kraken ont déjà tranché pour une partie de leur public européen. Le XMR n’a pas disparu pour autant. Il s’est déplacé. Les rançons le rappellent avec une régularité triste. Ce n’est pas un argument suffisant pour confondre tout usage confidentiel avec l’extorsion. C’est un argument suffisant pour comprendre le choix des maîtres chanteurs.

Bitcoin reste traçable, même mélangé, même sauté de plateforme en plateforme, pour peu que l’enquête ait du temps et des partenaires. Le Monero retire une grande partie de cette prise. D’où son prix d’usage dans ces dossiers. D’où aussi la nervosité des compliance officers dès que le mot apparaît dans un incident.

La communication de crise d’une néobanque sous pression

Revolut doit parler à plusieurs publics à la fois. Les clients exposés veulent des faits et une protection. Les autres clients veulent une assurance que leurs dossiers n’ont pas suivi. Le régulateur veut une chronologie. Le marché veut savoir si l’action vaut encore le récit de croissance. Démentir l’intrusion technique est logique si l’attaque est sociale. Démentir la rançon directe l’est aussi si le chantage circule d’abord dans la presse et sur X. Reste le trou : comment une requête a-t-elle été jugée assez authentique pour déclencher l’envoi de 680 dossiers ?

Les entreprises détestent raconter leurs procédures internes. Elles ont raison sur un point : publier le mode d’emploi aide le prochain attaquant. Elles ont tort sur un autre : le flou nourrit toutes les hypothèses, y compris les plus coûteuses en réputation. Le bon équilibre, rarement atteint, consiste à dire assez pour que les victimes se protègent, sans livrer la cartographie exacte du service juridique.

Ce que cette affaire dit du métier de journaliste crypto

Un tweet du Financial Times, une capture, une signature inconnue, un montant en XMR : la machine médiatique s’emballe en quelques minutes. Il faut alors tenir deux lignes. Ne pas offrir de tribune gratuite à qui gonfle un butin. Ne pas minimiser une fuite d’identité réelle. Le groupe a intérêt à paraître plus grand qu’il n’est. L’entreprise a intérêt à paraître plus hermétique qu’elle n’est. Le lecteur, lui, a intérêt à savoir si son nom peut être dans la liste et ce que cela implique concrètement.

C’est pourquoi le détail italien compte davantage que le cours du Monero à l’instant T. Une préfecture, un standard PEC, une alerte CERT-AGID déjà ancienne : voilà la mécanique. Le montant de trois millions est un accessoire de narration. Il peut bouger. La mécanique, elle, se reproduira ailleurs si rien ne change dans la façon d’authentifier l’urgence.

Vers une authentification plus lente, donc plus sûre ?

Après chaque scandale de fausse réquisition, des consultants vendent la même recette. Rappeler. Recouper. Exiger un second canal. Créer un annuaire vérifié des contacts forces de l’ordre. Former les équipes de nuit. Tout cela coûte. Tout cela froisse les polices qui veulent des réponses en une heure. Tout cela, pourtant, devient moins négociable à mesure que les bases KYC prennent de la valeur au marché noir.

On peut parier que plusieurs fintechs européennes révisent déjà leurs playbooks cette semaine. On peut aussi parier que la prochaine usurpation utilisera un autre pays, un autre tampon, un autre vocabulaire d’urgence. L’attaquant n’a pas besoin de percer le cœur du système d’information. Il a besoin d’une procédure qui fait autorité et d’un humain chargé de la faire vivre.

Le patrimoine crypto n’est plus seulement un solde

Pendant des années, le discours grand public a réduit le risque à la perte de clés ou au piratage d’un hot wallet. Cette affaire ramène une évidence plus ancienne que Bitcoin : le patrimoine attire dès qu’il est nommé. L’identité civile est le nommage. Le registre public est le compteur. Ensemble, ils transforment un utilisateur de néobanque en cible éventuellement physique. Ce n’est pas une raison pour quitter le secteur. C’est une raison pour cesser de parler de « simple appli » comme on parle d’un compte de restauration rapide.

Les six cent quatre-vingts personnes concernées n’ont rien demandé de spectaculaire. Elles ont ouvert un compte, envoyé une pièce, parfois acheté un peu d’ether ou de bitcoin depuis une interface claire. Elles découvrent que la clarté a un envers. Les dossiers les plus propres sont les plus exportables.

Une conclusion provisoire, le temps que les listes circulent

Au moment où ces lignes s’écrivent, l’ultimatum est mort. Le Monero n’a pas, publiquement, changé de mains en six mille unités vers une adresse de rançon revendiquée. Revolut tient sa ligne : pas d’intrusion, pas de chantage reçu en direct. Les clients exposés, eux, n’ont pas de ligne aussi nette. Leur identité a voyagé. Leur exposition on-chain éventuelle peut être relue. Leur tranquillité physique dépendra moins d’un communiqué que de la discrétion des semaines qui viennent.

L’enseignement durable n’est pas que le Monero servirait « forcément » aux rançons. Il n’est pas non plus que Revolut serait « forcément » plus fragile qu’une banque de réseau. Il est plus sec. Les procédures d’urgence sont devenues des surfaces d’attaque. Les dossiers KYC sont devenus des actifs. Les registres publics sont devenus des amplificateurs. Tant que ces trois pièces resteront assemblées sans friction, d’autres groupes trouveront plus simple d’imiter une préfecture que de forcer un coffre.

Les lecteurs qui n’étaient pas dans les 680 dossiers peuvent détourner le regard. Ce serait une erreur de confort. La prochaine liste portera un autre logo. Le canal sera un autre pays. Le montant sera un autre ticker. Le schéma, lui, est déjà écrit. Une adresse qui a l’air vraie. Une vie qu’on dit en danger. Un dossier qui part trop vite. Et, quelque part, quelqu’un qui mesure ensuite, sur une chaîne transparente, si la cible valait le détour.