Datalek bij Revolut: ben ik getroffen, en hoe zit het met mijn bitcoin-historie?

Update (1 november 2026): Inmiddels is de omvang duidelijker: Revolut heeft bevestigd dat documenten van zo’n 680 klanten in Europa zijn verstrekt. De vervalste verzoeken kwamen volgens berichten van Il Post en Euronews via een gecertificeerde overheidsmailbox (PEC) van de Italiaanse prefectuur Reggio Calabria, en de correspondentie liep volgens Il Post van maart tot juli 2026; het openbaar ministerie van Reggio Calabria onderzoekt onbevoegde toegang tot een IT-systeem van openbaar belang, en de Italiaanse privacytoezichthouder heeft contact opgenomen met de leidende toezichthouder in Litouwen. Een groep die de aanval opeist, eiste half september publiekelijk 6.000 monero, zo’n 3 miljoen dollar; Revolut verklaarde van die groep geen directe eis te hebben ontvangen. Op 7 oktober 2026 kondigde de topvrouw voor West-Europa, Béatrice Cossa-Dumurgier, aan dat Revolut de kosten draagt als getroffenen nieuwe identiteitsdocumenten nodig hebben. Uitkomsten van toezichthouders, boetes of arrestaties zijn tot 1 november 2026 niet bekend geworden.

Heb je een rekening bij Revolut en wil je weten of het in september 2026 bekend geworden datalek jou raakt, dan zijn er precies twee betrouwbare wegen: de melding die het bedrijf aan de getroffen klanten heeft gestuurd, en een eigen inzageverzoek op grond van artikel 15 van de Algemene verordening gegevensbescherming (AVG). Al het andere is gissen. Wie geen bericht heeft gekregen, mag daaruit nog geen geruststelling afleiden; daarmee is alleen bewezen dat er geen melding is aangekomen.

Het voorval verschilt van de datalekken waar deze sector zich doorgaans mee bezighoudt. Er werd geen server gekraakt, geen malware binnengesmokkeld en geen wachtwoord geraden. Een onbevoegde vroeg bij Revolut klantgegevens op, en het verzoek kwam via het echte, correct geauthenticeerde e-maildomein van een overheidsinstantie. Revolut behandelde het als rechtmatig en verstrekte de documenten. Voor houders van bitcoin is dat bijzonder vervelend, omdat de volledige transactiehistorie tot de verstrekte documenten behoort.

Wat Revolut heeft verstrekt en wat volgens het bedrijf buiten schot bleef

De gegevenscategorieën komen uit de berichtgeving van CoinDesk van 12 september 2026, die zich baseert op de meldingen aan getroffenen. Genoemd worden paspoorten en rijbewijzen, de selfies uit de identiteitscontrole, namen, geboortedata, beroepsgegevens, woonadressen, e-mailadressen, telefoonnummers, IBAN’s, rekeningafschriften, opnameprotocollen en de volledige transactiehistorie inclusief alle bitcoin-activiteit.

Revolut liet BeInCrypto weten dat het een geraffineerde externe identiteitsaanval had vastgesteld, waarbij een onbevoegde derde via het e-maildomein van een legitieme overheidsinstantie frauduleuze informatieverzoeken had ingediend; systemen en klantgelden zouden daar niet door zijn geraakt. Volgens het bedrijf zijn politie, privacy- en financiële toezichthouders ingeschakeld en is de betrokken instantie ingelicht dat er binnen haar domein een onbevoegd account actief is. Welke instantie dat is, maakte Revolut met verwijzing naar het lopende onderzoek niet bekend; volgens berichten uit Italië gaat het om een mailbox van de prefectuur Reggio Calabria. Het aantal getroffenen bleef aanvankelijk onduidelijk, er was sprake van een beperkt aantal; inmiddels heeft Revolut zo’n 680 getroffenen bevestigd, en onderzoeker zachXBT, via wiens tip de zaak openbaar werd, typeerde het doelwit als een kleine kring vermogende gebruikers.

Wat volgens de meldingen uitdrukkelijk niet is uitgelekt: inloggegevens, toegangscodes en de biometrische sjablonen van de gezichtsherkenning. Dat onderscheid is belangrijk, omdat het bepaalt welke beschermingsmaatregel überhaupt iets uithaalt. Een aanvaller die je wachtwoord niet heeft, sluit je met een nieuw wachtwoord ook niet buiten.

Hoe je herkent of je bij de aangeschreven Revolut-klanten hoort

Revolut heeft de getroffenen naar eigen zeggen afzonderlijk aangeschreven; berichten van klanten dateren die berichten op 11 september 2026. Een openbare lijst bestaat niet, en die komt er om goede redenen ook niet. De controle ligt daarmee bij jou.

De melding van Revolut en het verschil met een phishingmail

Een melding op grond van artikel 34 AVG is de mededeling van een bedrijf aan betrokkenen dat hun gegevens bij een inbreuk in verband met persoonsgegevens met een hoog risico zijn uitgelekt. Daarin staan het voorval, de betrokken gegevenscategorieën en de aanbevolen maatregelen. Zo herken je haar: een dergelijke mededeling vraagt je niet om via een link inloggegevens in te voeren, een betaling goed te keuren of een wallet met een herstelzin te koppelen.

Precies hier begint de tweede golf. Een datalek van dit soort levert binnen enkele dagen vervalste berichten op die zich voordoen als reactie van het bedrijf, en de aanvallers beschikken deze keer over naam, woonadres, IBAN en rekeningbewegingen. Dat maakt de vervalsingen ongewoon geloofwaardig. Controleer elk binnenkomend bericht in de Revolut-app zelf in plaats van via een link uit de mail, en houd je aan de regels voor het controleren van het echte afzenderdomein.

Inzageverzoek op grond van artikel 15 AVG als betrouwbaar bewijs

Artikel 15 AVG geeft je het recht om van een bedrijf te vernemen welke persoonsgegevens het over je verwerkt en aan welke ontvangers het die heeft verstrekt. Juist het tweede deel is hier doorslaggevend: het inzageverzoek dwingt tot een uitspraak over de vraag of jouw documenten deel uitmaakten van de verstrekking. De termijn is een maand en kan in complexe gevallen met twee maanden worden verlengd, waarover het bedrijf je moet informeren.

Stel het verzoek schriftelijk op, noem het voorval met datum, vraag uitdrukkelijk om informatie over de ontvangers van je gegevens en vraag om een kopie van de melding als er een aan jou is verstuurd. Bewaar het antwoord. Wie later aanspraken wil maken of een klacht wil indienen, heeft deze correspondentie als basis nodig.

Waarom de bitcoin-transactiehistorie het gevaarlijkste deel van het pakket is

Een identiteitsbewijs is te vervangen, een IBAN te wijzigen, een woonadres in het uiterste geval zelfs te verhuizen. De bitcoin-historie verwijst daarentegen naar een openbare database die niemand kan terugdraaien. Wie je stortingen en opnames bij een aanbieder kent, kent bedragen, tijdstippen en in veel gevallen de tegenpartijen op de blockchain.

Van rekeningafschrift naar clusteranalyse van je bitcoin-adressen

Clusteranalyse is de methode om meerdere bitcoin-adressen op basis van gemeenschappelijke kenmerken aan één economische eenheid toe te wijzen, bijvoorbeeld omdat ze samen als inputs in een transactie voorkomen. Zolang niemand weet van wie een cluster is, blijft het een anonieme verzameling adressen. Een opnameprotocol met bedrag en tijdstempel levert het ontbrekende ankerpunt, en vanaf dat moment hangt aan het cluster een naam met woonadres.

Daaruit volgt een onaangename rekensom. De aanvaller ziet niet alleen dat je bitcoin bezit, maar kan via de gekoppelde adressen inschatten hoeveel er nog over is en of het in beweging is. Welke gevolgen zo’n pakket van identiteit, woonadres en traceerbaar vermogen kan hebben, beschreven we aan de hand van de gebeurtenissen in Frankrijk: ontvoeringen en afpersingen met een cryptoachtergrond begonnen daar geregeld met precies zulke lijsten.

Emergency Data Request: het mechanisme achter het vervalste overheidsverzoek

Een Emergency Data Request is een informatieverzoek van een opsporingsinstantie dat een bedrijf wegens acuut gevaar zonder rechterlijk bevel en zonder de anders gebruikelijke toetsing beantwoordt. De procedure bestaat omdat er gevallen zijn waarin uren tellen. Tegelijk is ze al jaren een bekende zwakke plek, omdat de enige toetsing de inschatting is van een medewerker die een dringend, officieel ogend verzoek voor zich heeft.

Het verloop is in de vakliteratuur goed gedocumenteerd: iemand verschaft zich toegang tot een overheidsmailbox of maakt binnen een overheidsdomein een account aan, schrijft van daaruit een dringend informatieverzoek en krijgt de gegevens, omdat de ontvanger is getraind om instanties snel te bedienen. Precies dat patroon beschrijft Revolut in zijn verklaring, waar het bedrijf spreekt van een onbevoegd account binnen het domein van een instantie.

Waarom de controle van afzenderdomein, SPF en DMARC hier niet volstond

SPF, DKIM en DMARC zijn technische methoden waarmee de ontvanger van een mail kan aantonen dat die werkelijk vanaf het opgegeven domein is verstuurd en onderweg niet is gewijzigd. Deze methoden beantwoorden één vraag: komt het bericht echt van dit domein? Over de vraag of de persoon achter de mailbox daartoe bevoegd is, zeggen ze niets.

Dat is de tegenproef bij een advies dat we zelf hebben gegeven. De controle van het afzenderdomein blijft juist en vangt het overgrote deel van de aanvallen af. Onwerkzaam wordt de controle pas op het moment dat een aanvaller een account binnen het echte domein beheert, want dan is elke technische controle doorstaan en klopt er toch niets. Wie uitsluitend op dit signaal bouwt, houdt een geslaagde authenticatie voor een geslaagde bevoegdheidscontrole.

Wat een wachtwoordwijziging na dit datalek oplevert en wat niet

Het gebruikelijke advies na een datalek luidt: wachtwoord wijzigen, tweefactorauthenticatie inschakelen, apparaten controleren. Dat klopt hier maar half, en de helft die niet werkt is de belangrijkste. Volgens de meldingen zijn er geen inloggegevens uitgelekt, maar identiteitsbewijzen en rekeninghistorie. Een nieuw wachtwoord neemt de aanvaller niets af, omdat hij het oude nooit had.

Wat echt helpt, richt zich tegen de vervolgaanvallen. Daartoe behoort in de app een harde bevestiging voor opnames te eisen, telefonische vragen van zogenaamde medewerkers principieel te weigeren en op te hangen, en bij elk telefoontje dat zich beroept op je echte rekeninggegevens ervan uit te gaan dat die gegevens uit het voorval kunnen stammen. De beller die je laatste overschrijving kent, is daarmee geen bewijs meer voor de echtheid van het gesprek.

Directe maatregelen: identiteitsfraude, rekeningbeveiliging, cryptobezit

De maatregelen vallen in twee groepen uiteen. De ene betreft je identiteit en is zinvol, los van de vraag of crypto in het spel is. De andere betreft je bezit en de vraag waar dat voortaan moet staan.

Identiteitsgegevens zijn niet terug te roepen

Een uitgelekte scan van een identiteitsbewijs blijft buiten. Wat overblijft, is in de gaten houden: controleer regelmatig je kredietregistratie op aanvragen en contracten die je niet kent, en laat je bank uitleggen welke regels gelden voor het openen van rekeningen en adreswijzigingen. Ontstaat er een vermoeden van identiteitsfraude, doe dan aangifte, omdat het bewijs van het tijdstip van misbruik later over de aansprakelijkheid beslist.

Woonadres plus bitcoin-bezit: het fysieke risico serieus nemen

Het onaangenaamste deel van dit pakket ligt buiten de digitale wereld. Wie beschikt over woonadres, foto op het identiteitsbewijs en bewijs van vermogen, heeft alles bij elkaar wat voor een aanval aan de voordeur nodig is. In de praktijk betekent dat: geen openbare verwijzingen naar cryptobezit op sociale media, pakketten met hardwareaccessoires niet op het woonadres laten bezorgen, en in gesprekken met kennissen geen bedragen noemen. Wie grotere bedragen zelf bewaart, vindt in de vergelijking van hardware wallets de apparaten die een toegangsblokkade via een extra passphrase mogelijk maken, zodat afgedwongen toegang niet het hele bezit vrijgeeft.

Deze voorzichtigheid is geen paniekreactie. Het komt overeen met wat getroffenen van eerdere lekken in deze sector achteraf hebben beschreven, en het kost niets behalve gewenning.

Hoe je je cryptobezit na een datalek opnieuw ordent

Een datalek bij een aanbieder is een goede aanleiding om je eigen verdeling tegen het licht te houden, en wel zonder haast. De beslissende vraag is daarbij minder welke aanbieder als de veiligste geldt. Zinvoller is de overweging hoeveel vermogen er überhaupt bij één aanbieder moet staan. Een handelsrekening heeft het bedrag nodig waarmee daadwerkelijk wordt gehandeld. Alles daarboven is een keuze die ook anders kan uitvallen.

Zelfbewaring betekent dat je de private keys van je eigen bezit zelf in handen hebt, in plaats van ze aan een aanbieder toe te vertrouwen. Dat verschuift het risico, het neemt het niet weg: wie zelf bewaart, draagt het verliesrisico alleen en heeft een back-upplan voor de herstelzin nodig dat een woningbrand en een verhuizing overleeft. Voor veel beleggers is een verdeling de verstandige middenweg, waarbij een klein deel handelsklaar bij de aanbieder blijft en de rest naar zelfbewaring gaat.

Belangrijk is daarbij de volgorde: eerst het back-upplan, dan de verhuizing van het bezit. Wie in de opwinding na slecht nieuws bedragen verschuift, maakt in die week doorgaans de duurste fouten.

Wat de zaak laat zien over KYC-gegevens bij cryptoaanbieders en neobanken

KYC staat voor ‘Know Your Customer’ en duidt de wettelijk verplichte identiteitscontrole aan die banken en cryptodienstverleners voor het openen van een rekening moeten uitvoeren. Over die controle valt niet te onderhandelen, en ze levert bij elke gereguleerde aanbieder een dataset op van foto op het identiteitsbewijs, selfie, adres en rekeningbewegingen. Het voorval bij Revolut laat zien dat het aanvalsoppervlak van die dataset niet alleen uit servers bestaat, maar ook uit de procedures waarmee een bedrijf informatieverzoeken beantwoordt.

Voor de keuze van een aanbieder valt daaruit een praktische vraag af te leiden: hoe gaat het bedrijf om met informatieverzoeken van overheden, publiceert het daar cijfers over, en hoe snel informeert het getroffenen? Wie een nieuw handelsplatform zoekt, vindt in het overzicht van gereguleerde cryptobeurzen de aanbieders met een vergunning binnen het Europese toezichtskader. Een vergunning is daarbij geen beschermingsbelofte tegen deze aanvalsroute, maar de toezegging dat een toezichthouder bevoegd is en meldplichten gelden.

Het voorval past in een reeks die cryptobeleggers dit jaar meermaals heeft getroffen. Het soort tekst is steeds hetzelfde, omdat de vragen dezelfde zijn; onze uitwerking over het datalek bij Trezor en het controleren of je zelf getroffen bent, is stap voor stap op deze zaak toe te passen.

Datalek bij Revolut: wat je eruit meeneemt

1. Bewijs of je getroffen bent, schat het niet. Controleer in de Revolut-app of er een melding is, en dien daarnaast een inzageverzoek in op grond van artikel 15 AVG met de uitdrukkelijke vraag naar de ontvangers van je gegevens. Wie daarna van aanbieder wil wisselen, kan de kandidaten voorsorteren met onze vergelijking van aanbieders om bitcoin te kopen.
2. Koppel je bezit los van je identiteitsdataset. Leg vast welk bedrag handelsklaar bij de aanbieder moet blijven, en breng de rest naar zelfbewaring, met een back-upplan voor de verhuizing. De keuze van het apparaat inclusief passphrase-functie staat in de vergelijking van hardware wallets.
3. Reken op de tweede golf. Houd ook weken na het voorval nog rekening met telefoontjes en berichten die je echte rekeninggegevens kennen, en behandel elk contact als onbevestigd tot je het in de app zelf hebt gezien. Heb je daarbij een softwareoplossing nodig voor het handelsklare deel, kies dan een software wallet die je zelf beheert.

(Per 12 september 2026, bijgewerkt op 1 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)

Bronnen: CoinDesk over de betrokken gegevenscategorieën en de verklaring van Revolut bij BeInCrypto.