| Wat je moet weten |
|---|
| 1Valse e-mail vanaf een echt overheidsdomein haalde op 11 september 2026 klantdata op bij Revolut, inclusief bitcoin-transacties. |
| 2Blootgestelde data kan identiteitsdocumenten, verificatiebeelden, rekeninggegevens en bitcoin-transacties van getroffen klanten omvatten. |
| 3Onderzoeker ZachXBT meldt dat de aanval mogelijk gericht was op klanten met een groot vermogen. |
| 4Revolut bedient wereldwijd 80 miljoen klanten en biedt bitcoin-diensten aan via de Cypriotische MiCA-vergunning van Revolut Digital Assets Europe. |
Hoe een valse ambtsmail Revolut misleidde
Een aanvaller kreeg toegang tot een account binnen het domein van een overheidsinstantie, of registreerde er zelf een. Vanaf dat account ging een verzoek om klantgegevens naar Revolut. De mail droeg geldige domeinauthenticatie. Revolut verwerkte het verzoek dus als een rechtmatige ambtelijke vraag. Dat werkte, tot nu. Pas na eigen navraag bij de instantie zelf bleek het verzoek vals, de instantie zelf had niets gevraagd.
Revolut bevestigde de zaak op 12 september en noemt het incident zelf een geraffineerde impersonatiefraude. Onafhankelijke berichtgeving bij Security Affairs bevestigt welke datacategorieen precies uitlekten, van geboortedatum tot rekeningoverzicht. Het bedrijf blokkeerde het mailadres, informeerde de instantie en meldde de zaak bij toezichthouders. Systemen en klanttegoeden bleven ongemoeid, aldus Revolut. Welke overheidsinstantie erbij betrokken was, maakt het bedrijf niet bekend. Revolut bedient wereldwijd 80 miljoen klanten.
Marktcontext per 11.35 CET. Bitcoin noteert 76.550 dollar, omgerekend ruim 66.000 euro. Dat is 1,2 procent onder de 24-uurs high van 77.490 dollar en nagenoeg gelijk aan de 24-uurs low. De koers staat over het etmaal 1 procent lager. Het wereldwijde 24-uurs volume bedraagt ruim 15,2 miljard dollar. Bron, Kraken en CoinGecko.
Wat het Revolut-datalek betekent voor de Nederlandse gebruiker
Revolut Digital Assets Europe verkreeg volgens de berichtgeving over de MiCA-vergunning op 23 oktober 2025 een vergunning van CySEC. Een Europees paspoort gaat over het aanbieden van diensten. Het zegt niet welke klanten door dit datalek zijn getroffen. Controleer de betrokken entiteit en toegestane diensten in het register van de AFM. Revolut heeft het aantal getroffenen en de betrokken landen of markten niet openbaar gespecificeerd. Daarmee is betrokkenheid van Nederlandse klanten niet vastgesteld.
Wie in dezelfde blootgestelde data zijn naam en bitcoin-adres tegenkomt, loopt risico op gerichte phishing en afpersing. Dat komt boven op het gewone risico van identiteitsfraude. Dat maakt dit lek anders dan een gewoon datalek bij een bank. Een eerder overzicht van de MiCA-vergunningen bij 29 Nederlandse cryptobedrijven laat zien hoe divers de operationele eisen in de praktijk uitpakken. Toezicht op papier is niet automatisch bescherming tegen een phishingmail met een geldig overheidsdomein.
Wat cryptobeleggers nu kunnen checken
Wie via Revolut bitcoin aanhoudt, kan nagaan of er een waarschuwingsmail van 11 september in de inbox staat. Revolut noemt geen totaal aantal getroffen klanten. Wacht niet af. Verander geen wachtwoord via een link uit een onverwachte mail. Log liever rechtstreeks in via de officiele app. Zet waar mogelijk meldingen voor nieuwe aanmeldingen aan. Meld verdachte mails apart bij de klantenservice, ook als het overheidsdomein er echt uitziet.
Bij het kiezen van een dienst zijn accountbeveiliging, de verwerking van persoonsgegevens en de bewaring van crypto verschillende vragen. De vergelijking van crypto-apps helpt die functies uit elkaar te houden. Een eigen cryptowallet geeft andere verantwoordelijkheden voor sleutelbeheer; een overstap verwijdert geen persoonsgegevens die een dienst al heeft ontvangen.
| Checklist na het Revolut-datalek |
|---|
| 1Waarschuwingsmail Revolut verstuurd op 11 september 2026. |
| 2Bevestiging van het lek volgde op 12 september bij The Block. |
| 3MiCA-vergunning Revolut Digital Assets Europe actief sinds 23 oktober 2025. |
| 4Betrokken landen of markten zijn niet openbaar gespecificeerd. |
| 5Revolut bedient wereldwijd 80 miljoen klanten, een exact aantal getroffenen ontbreekt in de mededeling. |
Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.
Correctie 15 september 2026: een MiCA-paspoort bewijst niet dat Nederlandse klanten door het lek zijn getroffen. Die conclusie is verwijderd, evenals de niet-onderbouwde koppeling met de CLARITY Act.
