Une adresse e-mail gouvernementale authentique, une demande d’urgence, et 680 dossiers clients qui changent de mains. En effet, Revolut a reconnu avoir transmis des données personnelles à des individus se faisant passer pour des agents publics. Un groupe se faisant appeler « iamnotavillain » réclame aujourd’hui 6 000 XMR, soit environ 3 millions de dollars. Revolut dément toutefois avoir reçu la moindre demande directe de sa part.
Le groupe a fixé un ultimatum de vingt-quatre heures à la néobanque britannique, mercredi 16 septembre. Il est aujourd’hui écoulé, et rien n’indique qu’un paiement ait eu lieu. Il affirme avoir sélectionné ses victimes grâce à des outils d’analyse blockchain. Objectif : cibler les comptes aux portefeuilles crypto les plus garnis.
Points clés
Le groupe « iamnotavillain » réclame 6 000 XMR, environ 3 millions de dollars ; l’ultimatum de 24 heures, fixé le 16 septembre, est déjà dépassé
Revolut a livré les données de 680 clients via un compte de messagerie certifiée (PEC) usurpé d’une préfecture italienne
Passeports, permis de conduire, photos KYC et historiques de transactions figurent parmi les documents exfiltrés
Coinbase avait refusé une rançon comparable de 20 millions de dollars en 2025, pour une remédiation estimée jusqu’à 400 millions
Revolut dément toute intrusion dans ses systèmes et affirme n’avoir reçu aucune demande de rançon directe
Revolut piégé par une fausse réquisition d’urgence
L’attaque n’a réclamé ni faille logicielle ni employé retourné. Les pirates ont exploité le mécanisme des Emergency Data Requests (EDR). Ces demandes permettent aux forces de l’ordre de solliciter les plateformes lorsqu’une vie est jugée en danger. Le dispositif court-circuite le mandat judiciaire par construction : l’urgence ne laisse pas le temps de passer devant un juge. Ainsi, les entreprises répondent en quelques heures.
Tout repose donc sur un unique garde-fou, la vérification de l’expéditeur. C’est là que Revolut a cédé. Les messages provenaient d’un nom de domaine officiel appartenant à une véritable agence gouvernementale. Par conséquent, le contrôle habituel a validé la requête sans sourciller. Les documents récupérés forment un dossier d’identité complet, notamment passeports, permis de conduire, photos KYC et historiques de transactions. KYC désigne l’identification imposée aux acteurs régulés (Know Your Customer).
Le compte utilisé appartient à la préfecture de Reggio de Calabre, qui dément avoir envoyé la moindre requête. L’agence italienne de cybersécurité CERT-AGID avait pourtant déjà tiré la sonnette d’alarme. Elle recense plus de 650 incidents liés à des comptes PEC détournés ou frauduleusement créés depuis le début de l’année. La majorité des 680 clients touchés se trouvent en Suisse et en France. Le reste se répartit dans 31 autres pays européens, dont le Royaume-Uni, l’Allemagne et l’Espagne.
Le procédé traîne depuis des années. Bloomberg avait documenté dès 2022 une série de fausses EDR ayant berné Apple, Meta, Discord et Snap. Les messages provenaient de boîtes mail de police compromises, ensuite revendues sur des forums clandestins. Sur les plus de 80 millions de clients revendiqués par Revolut, les pirates ont touché 680 comptes. Ce tri fait toute la valeur de l’opération pour les assaillants. Ils affirment avoir isolé les soldes les plus élevés en croisant adresses publiques et identités connues. La transparence des registres, précieuse pour auditer un protocole, devient également un handicap dès qu’une identité fuit par ailleurs.
Rançon en Monero : pourquoi les pirates de Revolut ont choisi le XMR
La rançon a d’abord semblé bien plus salée. Un acteur baptisé « Revolut Smilik » avait réclamé 10 000 BTC, soit plus de 780 millions de dollars, selon le Financial Times. iamnotavillain qualifie cette revendication d’imposture, montée selon lui sur un simple échantillon de données. Lui maintient sa demande à 6 000 XMR.
Le choix du Monero n’a rien d’arbitraire. Signatures de cercle, adresses furtives et RingCT masquent l’émetteur, le destinataire et le montant de chaque transfert. De fait, les outils de traçage qui font le quotidien des enquêteurs sur Bitcoin ou Ethereum n’y trouvent aucune prise. Cette même propriété a un prix. Binance a retiré le XMR de son catalogue en 2024, puis Kraken a fait de même pour les utilisateurs européens. La demande, elle, n’a jamais faibli.
Payer n’achèterait qu’une promesse de suppression, dans un marché où les bases exfiltrées se recyclent indéfiniment. D’ailleurs, Coinbase avait tranché la question dès mai 2025. Des sous-traitants du support client, soudoyés depuis l’étranger, avaient livré les informations de près de 70 000 utilisateurs. Les maîtres chanteurs exigeaient 20 millions de dollars en bitcoins. Brian Armstrong a refusé et converti la somme en récompense pour toute information menant à l’arrestation des responsables. La plateforme chiffre depuis sa facture de remédiation entre 180 et 400 millions de dollars.
Wrench attacks : le vrai risque pour les clients exposés
Le danger dépasse largement le hameçonnage. Les listes nominatives de détenteurs alimentent depuis des années un marché de l’agression physique, les fameuses wrench attacks. Par exemple, la fuite de la base clients de Ledger en 2020 a nourri des vagues de menaces pendant des mois. La France a aussi connu une série d’enlèvements visant des figures du milieu. David Balland, cofondateur de Ledger, en a payé le prix : séquestré puis libéré par le GIGN en janvier 2025.
Revolut n’a signalé aucun vol de fonds à ce stade et la néobanque n’a annoncé aucun paiement. Pour les 680 clients concernés, le préjudice se situe ailleurs : pièce d’identité, adresse et estimation des avoirs circulent déjà. Cependant, aucun changement de mot de passe ne rattrape cela. Restent les réflexes martelés depuis dix ans. Garder ses clés sur un appareil dédié, taire ses positions, se méfier de tout interlocuteur se réclamant du support. La routine n’a pas changé, mais elle vaut un rappel pour quiconque détient des cryptomonnaies.
