Il caso Revolut tra tracciabilità e riservatezza

Quando i dati personali rendono il patrimonio on-chain un bersaglio

Nel settembre 2026, Revolut ha comunicato una violazione dei dati personali riguardante circa 700 clienti. Secondo le ricostruzioni, gli aggressori avrebbero utilizzato una casella PEC riconducibile alla Prefettura di Reggio Calabria per presentarsi come appartenenti alla Polizia postale e ottenere, attraverso ripetute richieste, documenti di identità, recapiti e cronologie delle transazioni. Il gruppo iamnotavillain, che ha rivendicato l’operazione, ha successivamente chiesto a Revolut un riscatto di 3 milioni di dollari in monero, minacciando di vendere le informazioni ad altre organizzazioni criminali. Le informazioni disponibili non indicano una compromissione dei sistemi di custodia né un trasferimento non autorizzato dei fondi: il valore dell’attacco risiede nei dati sottratti e negli utilizzi che questi possono rendere possibili.

La vicenda assume una portata più ampia per il criterio con cui sarebbero state individuate le vittime. Secondo gli aggressori, l’analisi on-chain avrebbe consentito di riconoscere flussi di valore rilevante, mentre i dati ottenuti dall’intermediario avrebbero permesso di associarli a persone specifiche. Il tema dell’osservabilità riemerge quando il gruppo cerca di monetizzare le informazioni sottratte e sceglie monero, una privacy coin progettata per rendere più difficile la ricostruzione delle transazioni. L’intera operazione risponde quindi a una logica coerente: la trasparenza della blockchain sarebbe stata sfruttata per selezionare potenziali obiettivi, mentre la riservatezza di monero è stata ricercata per ricevere il pagamento.

Dall’analisi on-chain all’identificazione dei clienti

Secondo quanto dichiarato da iamnotavillain al Financial Times, i circa 700 clienti sarebbero stati selezionati attraverso l’analisi on-chain in ragione delle disponibilità in cripto-attività associate ai loro conti. Lo stesso gruppo ha tuttavia rifiutato di descrivere il procedimento seguito e le informazioni disponibili non chiariscono quali indirizzi, transazioni o altri dati siano stati utilizzati come punto di partenza. La distinzione è sostanziale, perché una blockchain pubblica permette di osservare i trasferimenti, ma non riporta l’identità delle persone coinvolte né mostra il saldo detenuto presso un intermediario. Nel caso di un servizio di custodia, inoltre, gli indirizzi possono essere controllati dall’operatore e impiegati per conto di più clienti, rendendo impossibile attribuire una posizione individuale sulla base del solo dato on-chain.

Una ricostruzione tecnicamente compatibile con le informazioni disponibili consente comunque di delineare un possibile procedimento. Partendo da indirizzi attribuiti all’infrastruttura di Revolut, gli aggressori avrebbero potuto ricostruire i flussi in entrata e in uscita, individuare transazioni di importo elevato e analizzare gli indirizzi esterni che vi avevano interagito. Le tecniche di raggruppamento consentono poi di riconoscere insiemi di indirizzi che presentano indizi di un controllo comune, senza però identificarne il titolare. Il collegamento con una persona richiede necessariamente informazioni esterne alla blockchain. In questo caso, le richieste presentate a Revolut avrebbero potuto svolgere proprio questa funzione, permettendo di associare un indirizzo o una specifica transazione ai dati registrati nei sistemi dell’intermediario. Revolut indica infatti che, nell’applicazione della Travel Rule, conserva informazioni sul mittente e sul destinatario insieme all’identificativo della transazione. Attraverso richieste ripetute, gli aggressori avrebbero quindi potuto trasformare una selezione iniziale basata sui flussi pubblici in profili contenenti identità, recapiti, documenti e cronologie delle operazioni.

Il valore criminale dei dati sottratti

Il valore dell’archivio non dipende dalla presenza di credenziali, chiavi private o altri elementi che consentano di trasferire direttamente le cripto-attività. Revolut ha dichiarato che i sistemi e i fondi dei clienti non sono stati compromessi. Il rischio deriva invece dalla combinazione tra identità, recapiti, documenti e cronologie delle transazioni, che permette di costruire un profilo personale e finanziario particolarmente dettagliato. Conoscendo operazioni realmente effettuate, un aggressore può impersonare Revolut o un altro intermediario, segnalare una falsa compromissione del conto e indurre la vittima a trasferire le cripto-attività verso un presunto portafoglio sicuro, accedere a un sito fraudolento oppure comunicare codici di autenticazione e frasi di recupero.

La disponibilità congiunta di un numero telefonico e di dati identificativi può inoltre agevolare un attacco di SIM swapping, attraverso il quale il criminale trasferisce il numero della vittima su una scheda sotto il proprio controllo per intercettare i codici inviati tramite SMS e tentare di reimpostare l’accesso a caselle di posta elettronica, piattaforme di scambio e altri servizi finanziari. Le copie dei documenti possono anche essere impiegate per tentare di aprire conti presso altri operatori e utilizzarli per ricevere o trasferire fondi illeciti. Il rischio più grave riguarda tuttavia l’associazione tra domicilio e presunta disponibilità in cripto-attività, che consente di selezionare le vittime per estorsioni, intrusioni domestiche o sequestri finalizzati a ottenere un trasferimento sotto coercizione. Chainalysis ha indicato la circolazione di archivi contenenti nomi, indirizzi e patrimoni in cripto-attività come uno dei possibili fattori alla base dell’aumento delle aggressioni registrato in Francia, mostrando come una violazione di dati possa trasformarsi in una minaccia fisica anche molto tempo dopo l’incidente.

Il riscatto e la scelta di monero

La disponibilità di informazioni tanto sensibili ha fornito al gruppo la leva per tentare un’estorsione nei confronti di Revolut. Il 16 settembre iamnotavillain ha pubblicato una richiesta di 6.000 XMR, circa 3 milioni di dollari, concedendo alla banca ventiquattro ore per pagare prima di mettere in vendita i documenti. Il giorno successivo Revolut ha dichiarato di non avere ricevuto comunicazioni dirette dal gruppo. È quindi documentata la pubblicazione dell’ultimatum, ma non l’avvio di una trattativa né il pagamento del riscatto.

La scelta di monero è coerente con questa logica estorsiva. La riservatezza non è una funzione opzionale, ma una proprietà incorporata nel protocollo e applicata in modo predefinito. Gli indirizzi stealth generano un riferimento diverso per ciascun pagamento, le firme ad anello impediscono di isolare pubblicamente il mittente effettivo e le Ring Confidential Transactions nascondono l’importo trasferito. La rete può così verificare la validità dell’operazione senza rendere osservabili i suoi elementi essenziali. Questa architettura rende monero particolarmente adatto quando l’obiettivo è limitare la ricostruzione dei flussi attraverso l’analisi della blockchain.

Le stesse caratteristiche ne stanno tuttavia determinando la progressiva esclusione dai mercati regolamentati. Dal 10 luglio 2027, il Regolamento (UE) 2024/1624 vieterà agli istituti di credito, agli intermediari finanziari e ai prestatori di servizi per le cripto-attività di mantenere conti che consentano l’anonimizzazione del titolare o una maggiore offuscazione delle transazioni, anche mediante anonymity-enhancing coins. Il nuovo quadro limiterà quindi fortemente la disponibilità di servizi di negoziazione e custodia di monero presso gli intermediari regolamentati nell’Unione. La disposizione non introduce un divieto generale di detenere o utilizzare il protocollo, ma ne riduce sostanzialmente l’accessibilità attraverso l’infrastruttura finanziaria europea.

Il divario tra percezione e dati

La richiesta di un riscatto in monero può apparire controintuitiva a chi osserva il settore dall’esterno. Nell’immaginario collettivo, il pagamento di un’estorsione in cripto-attività rimanda ancora quasi automaticamente a bitcoin, un’associazione consolidatasi durante la sua prima fase di diffusione, quando l’utilizzo nei mercati illegali online contribuì a definirne la rappresentazione pubblica. Questa eredità ha alimentato l’idea che bitcoin garantisca anonimato e sia quindi lo strumento più adatto a occultare proventi illeciti. La struttura del protocollo mostra una realtà diversa: le transazioni sono pseudonime, ma rimangono pubbliche e permanentemente registrate. Quando un indirizzo viene associato a una persona o a un servizio, diventa possibile ricostruirne i movimenti anche a distanza di tempo. Per chi intende nascondere stabilmente il percorso dei fondi, questa persistenza costituisce un limite strutturale.

Anche la composizione dei flussi illeciti contraddice l’associazione automatica tra bitcoin e criminalità. Secondo il Crypto Crime Report 2026 di Chainalysis, nel 2025 gli indirizzi associati ad attività illecite hanno ricevuto almeno 154 miliardi di dollari, un dato sostenuto in larga misura dai flussi riconducibili a soggetti sanzionati. Le stablecoin hanno rappresentato l’84% del volume illecito rilevato, mentre l’incidenza complessiva delle attività illecite è rimasta inferiore all’1% del volume attribuito dalla società. Le stime vengono aggiornate quando emergono nuovi indirizzi e non comprendono ogni forma di reato, ma mostrano come i flussi criminali non siano concentrati su bitcoin e come la scelta dello strumento dipenda dalle esigenze della singola operazione.

La sicurezza oltre la custodia

Per gli intermediari, il caso Revolut mostra come la sicurezza dei servizi in cripto-attività non possa essere circoscritta alla protezione delle chiavi private e dell’infrastruttura di custodia. Nella detenzione diretta, le cripto-attività possono presentare caratteristiche assimilabili a quelle di strumenti digitali al portatore: chi acquisisce il controllo delle chiavi o induce il titolare ad autorizzare un trasferimento può spostare il valore senza disporre di un ordinario meccanismo di richiamo dell’operazione. Documenti di identità, recapiti, disponibilità e cronologie delle transazioni possono quindi trasformarsi in una mappa di potenziali obiettivi, soprattutto quando vengono collegati alle informazioni osservabili sulla blockchain. I controlli devono perciò estendersi alla verifica delle richieste provenienti dalle autorità, alla separazione degli accessi, alla minimizzazione dei dati comunicati e all’individuazione di richieste ripetute o anomale. Le informazioni disponibili non indicano una compromissione dei sistemi di custodia di Revolut: il rischio emerso riguarda piuttosto i processi attraverso i quali soggetti esterni possono ottenere accesso ai dati dei clienti.

Per chi detiene patrimoni rilevanti in cripto-attività, la scelta dell’intermediario non dovrebbe quindi dipendere soltanto dalla solidità finanziaria, dall’offerta o dalle misure adottate per custodire le cripto-attività, ma anche dalla capacità di proteggere le informazioni che ne rivelano l’esistenza e l’entità. Il fatto che l’incidente abbia riguardato una realtà strutturata come Revolut non dimostra l’impreparazione dell’intermediario, ma evidenzia come il rischio residuo rimanga presente anche nelle organizzazioni più mature e possa concentrarsi sui processi operativi anziché sull’infrastruttura tecnologica.

Conclusioni

Il caso Revolut mostra come la sicurezza delle cripto-attività non riguardi soltanto la loro custodia. Le informazioni che collegano un’identità a disponibilità e operazioni finanziarie possono diventare esse stesse uno strumento di attacco. L’elemento più significativo della vicenda risiede nell’asimmetria tra la trasparenza on-chain, che sarebbe stata utilizzata per selezionare potenziali obiettivi, e la riservatezza ricercata attraverso monero per ricevere il riscatto. Questa dinamica evidenzia anche i limiti dell’associazione tra bitcoin e criminalità, poiché i diversi protocolli offrono livelli di tracciabilità profondamente differenti. Per gli intermediari, la protezione deve quindi estendersi ai processi di accesso e comunicazione dei dati; per i clienti, la capacità di tutelare queste informazioni diventa un criterio essenziale nella scelta dell’operatore. Senza esprimere un giudizio sull’affidabilità di Revolut, l’incidente mostra come la protezione dei dati costituisca una componente integrante della sicurezza patrimoniale.