Mientras Wall Street descansa, los índices sintéticos de Deriv generan volatilidad real 24/7 → Empezá a operar.
Espacio patrocinadoUn grupo que se hace llamar «iamnotavillain» colgó el miércoles 16 de septiembre una cuenta regresiva de 24 horas en un sitio de fuga, exigiendo 6.000 monero -unos 3 millones de dólares- a cambio de no vender a otras redes criminales los archivos de alrededor de 680 clientes de Revolut.
La cifra, publicada junto a un reloj que marca el ultimátum, supone una rebaja drástica frente a los 10.000 bitcoin -cerca de 780 millones a precios de mediados de mes- que habían circulado por Telegram el fin de semana, atribuidos a una marca rival bautizada «Revolut Smilik» que iamnotavillain acusa de ser un impostor al que se le pasó una muestra de datos para atribuirse la brecha entera.
Conviene sostener la distinción desde el principio, porque de ella depende toda la lectura del caso: esto no fue un asalto a la infraestructura de Revolut, sino la explotación del eslabón humano y procedimental que conecta a un banco con la autoridad estatal.
Un correo desde dentro, no una llave forzada
Revolut ha descrito el episodio como un «sofisticado fraude de suplantación externa» en el que un tercero no autorizado usó el dominio de correo de una agencia gubernamental legítima para cursar solicitudes fraudulentas de información, insistiendo en que sus sistemas y los fondos de los clientes permanecieron intactos y en que bloqueó la dirección en cuanto detectó el engaño.
El matiz que vuelve el caso inquietante es que los mensajes pasaron los controles estándar de autenticación -SPF, DKIM y DMARC-, de modo que el banco los trató como requerimientos legales genuinos y entregó los expedientes sin fricción.
No hizo falta derrotar cifrado alguno ni penetrar servidor alguno. La petición no llegó en un membrete falso desde una dirección externa, sino desde un buzón estatal real, y esa procedencia es precisamente lo que la hizo difícil de rechazar.
Según relataron los propios atacantes al Financial Times, la operación se prolongó durante meses: dijeron haber contactado a Revolut «hace un par de meses» haciéndose pasar por una entidad policial italiana y haber pedido de forma repetida direcciones, teléfonos e historiales de transacciones de clientes concretos, con el banco cumpliendo, en sus palabras, «como un buen chico».
Varias fuentes apuntan al sistema de correo certificado italiano -se menciona la PEC de la Prefectura de Reggio Calabria-, aunque Revolut no identificó ni la entidad suplantada ni el país de origen, y el alcance del compromiso del lado italiano sigue siendo una afirmación no verificada hasta que se pronuncien las autoridades.
Identidad verificada cruzada con datos on-chain
El gancho para cualquiera que siga de cerca el cripto no está en el rescate, sino en el método de selección de las víctimas. Los atacantes aseguran haber usado análisis de blockchain para identificar qué cuentas de Revolut concentraban tenencias significativas, de manera que el objetivo no fue una base de datos genérica sino un listado depurado de «ballenas».
El material comprometido incluye nombres, fechas de nacimiento, direcciones, teléfonos, documentos de identidad, selfies de verificación, extractos bancarios y listas completas de transacciones.
Entre los afectados figura Mark Karpelès, exdirector ejecutivo de Mt. Gox, cuya notificación -según reportó The Block- detallaba IBANs, registros de retiros e historiales enteros de movimientos, y que criticó abiertamente que Revolut entregara datos sensibles por el mero hecho de que la solicitud aparentara venir de una dirección gubernamental verificada.
Ahí reside el daño duradero: un activo robado puede devolverse, pero una identidad filtrada no. El cruce de expedientes KYC verificados con la trazabilidad de la cadena entrega a cualquier estafador un guion perfecto, capaz de dirigirse a la víctima con su nombre real, una transacción concreta y un documento auténtico por delante.
La privacidad de Monero como infraestructura de extorsión
La elección de la moneda no es anecdótica. Los delincuentes reclamaron el pago en Monero, diseñado para ofuscar emisor, receptor e importe, justo la propiedad que convierte a esta red en el raíl preferido de la extorsión digital y que contrasta con la promesa de trazabilidad total que la banca tradicional le vende a los reguladores mientras reconstruye sus sistemas sobre blockchain.
El detalle procesal, sin embargo, matiza el sensacionalismo del reloj: Reuters afirma que Revolut no había recibido ninguna demanda directa ni contacto de los atacantes, y los propios hackers reconocieron al FT que al momento de la publicación no había habido negociación alguna.
La cuenta regresiva es pública en el sitio de fuga, pero el canal con el banco no está confirmado, lo que deja abierta la posibilidad de que el ultimátum funcione más como palanca mediática que como negociación real.
Un charter bancario y una pregunta incómoda
El momento agrava la exposición reputacional. La Oficina del Contralor de la Moneda de EE.UU. (OCC) acaba de conceder a Revolut la aprobación condicional para constituir un banco nacional, de modo que la pregunta sobre cómo protege el neobanco -con más de 80 millones de clientes- los datos de identidad que le exige la propia regulación llega en el peor instante posible.
En Reino Unido, la Oficina del Comisionado de Información (ICO) abrió una investigación tras la notificación del banco. El episodio deja una lección que trasciende a Revolut: mientras el sector destina fortunas a blindar la capa criptográfica, el frente real se ha desplazado al procedimiento, y el Banco de Pagos Internacionales ya advirtió que la IA está comprimiendo la ventana de explotación de semanas a minutos, abaratando la suplantación plausible y acelerando su despliegue.
