Da “27 wallet a 27 superfici di attacco”: un’analisi dei casi Revolut e Kraken

Il caso Revolut mostra un nuovo tipo di attacco: non serve violare direttamente i sistemi di una banca quando si può abusare della fiducia nelle comunicazioni istituzionali. Richieste fraudolente apparentemente provenienti da un dominio governativo avrebbero portato alla consegna di dati sensibili, aprendo interrogativi sui controlli delle richieste delle autorità.

Autori: Olivia Terragni, Edoardo Faccioli, Luca Stivali, Raffaella Crisci del gruppo Dark Lab di Red Hot Cyber.

Il caso Revolut conferma che ogni infrastruttura nazionale di identità — PEC, SPID, wallet eIDAS — è una superficie di attacco all’interno di un’architettura di fiducia globale. La vulnerabilità dell’UE non è tecnica, ma sistemica: un singolo canale nazionale compromesso può esporre dati e utenti in tutto lo spazio finanziario europeo.

L’utente @StarryCook su X, nei primi giorni dell’incidente ha sintetizzato bene la posta in gioco:: «27 wallets d’identité = 27 surfaces d’attaque. La fuite Revolut me le confirme : la souveraineté se joue dans l’exploitation». Ogni Stato membro è un nodo di fiducia, e ogni nodo è un potenziale punto di rottura. La sovranità digitale non si misura nelle dichiarazioni di principio, ma nella capacità operativa di usare — o abusare di — queste infrastrutture di fiducia. Chi sa sfruttare un canale PEC compromesso, un wallet nazionale o un processo di verifica ha più potere reale di chi si limita a proclamare la propria sovranità tecnologica. Il caso Revolut è la prova concreta: un solo canale nazionale è bastato per colpire una piattaforma globale ed esporre cittadini di molti Paesi UE.

Ci troviamo oggi di fronte ad un caso che non è soltanto un “data breach” nel senso classico: è un caso di social engineering tramite abuso di un canale istituzionale  e possibile fallimento dei controlli di verifica delle richieste. Revolut ha dichiarato che i fondi dei clienti e i propri sistemi non risultavano compromessi, ma che dei dati sensibili sono stati consegnati a una parte non autorizzata dopo richieste fraudolente apparentemente provenienti da un dominio governativo legittimo (Reuters, 12/09/2026). Il caso potrebbe inserirsi in uno schema più ampio di abuso delle caselle istituzionali e dei processi con cui banche, exchange e fintech rispondono alle richieste delle autorità. Ma non è il solo.

Nel 2025, secondo un atto processuale depositato in California (John Doe v. Payward, Inc. d/b/a Kraken, San Francisco Superior Court, CGC‑26‑634771, marzo 2026), criminali hanno inviato a Kraken almeno tre email provenienti da un indirizzo sul dominio @interno.it, presentandole come richieste di un’agenzia di law enforcement italiana. Kraken ha risposto a queste email e ha divulgato dati sensibili del cliente (nome, data di nascita, indirizzo, numeri di telefono, informazioni sull’account), che sono poi stati usati per una campagna di estorsione con minacce fisiche

Nel 2026, lo schema sarebbe proseguito attraverso una PEC riconducibile alla Prefettura di Reggio Calabria e documenti presentati come Ordini europei di indagine. Nel caso Revolut, le ricostruzioni giornalistiche indicano che richieste fraudolente sarebbero state utilizzate per ottenere, anche per un periodo prolungato, fascicoli KYC di clienti ad alto patrimonio selezionati attraverso informazioni pubbliche sulla blockchain. Questi elementi suggeriscono una possibile continuità operativa, ma il collegamento tra i diversi episodi resta un’ipotesi da verificare. Gli attori (IAmNotAVillain, Revolut Smilik) sono poi passati all’estorsione e alla pubblicazione dei dati e un casinò crypto (Duel) nel frattempo ha ottenuto un contatto privilegiato con l’hacker, mentre fornitori, media e account terzi hanno continuato ad amplificare la vicenda. Gli attaccanti hanno successivamente trasformato l’operazione in un’attività di estorsione e pubblicazione di dati, aumentando l’impatto attraverso leak, canali online, media e soggetti terzi.

Il punto di arrivo è politico-normativo: Lyudmyla Kozlovska, attivista ucraina per i diritti umani e presidente della Open Dialogue Foundation (ODF) ha usato il caso come prova che la verifica delle richieste statali è impossibile e che le regole FATF, antiriciclaggio e DAC8 vanno cambiate. Le sue dichiarazioni sono rilevanti sul dibattito su verifica delle richieste statali, e i temi sulla cooperazione giudiziaria e la repressione finanziaria transnazionale.

In entrambi gli scenari, i dati sensibili dei clienti sono diventati una leva di attacco senza alcuna violazione diretta dei sistemi informatici. Nel caso Revolut, la compromissione è avvenuta tramite richieste falsificate inviate da una casella PEC istituzionale; nel caso Kraken, tramite l’abuso di accessi interni ai sistemi di supporto. Al centro di questo report vi è un paradosso normativo: le informazioni che le direttive KYC e AML obbligano a raccogliere per tutelare il sistema (identità, documenti, transazioni) sono le stesse che, se consegnate alla parte sbagliata, espongono irrimediabilmente l’utente. Da qui la doppia natura del documento: un’analisi fattuale degli eventi e un framework di riferimento per gli operatori finanziari.

Il vettore di attacco e la cronologia dell’incidente

Il vettore d’attacco primario è l‘abuso del canale fiduciario. Le richieste malevole sfruttano l’implicita fiducia riposta nel mittente ufficiale (PEC, email di enti governativi, o spoofing telefonico). Tra la ricezione della richiesta e l’invio dei dati si apre una falla critica di processo. Verificare l’autenticità di un ordine delle forze dell’ordine è complesso, stretto tra l’obbligo normativo di collaborazione rapida e la mancanza di strumenti per un’autenticazione certa. A ciò si somma l’errore umano: in almeno un passaggio documentato, i dati sono stati trasmessi rispondendo direttamente all’indirizzo compromesso, senza l’attivazione di canali di verifica indipendenti (es. out-of-band). Si tratta di fallimenti procedurali.

“In una catena di fiducia tra autorità pubbliche e istituti finanziari, quali controlli spettavano a ciascun anello — l’ente titolare del canale, la banca che divulga i dati, il quadro normativo che regola le richieste — e quali sono venuti meno?” Tra la ricezione della richiesta e l’invio dei dati si apre infatti una falla critica di processo. Sebbene la compromissione tecnica riguardi il mittente, le normative (a partire dal GDPR) pongono in capo all’istituto finanziario la responsabilità ultima sui dati dei clienti. 

Questo impone alle banche l’obbligo di implementare verifiche procedurali indipendenti: in almeno un passaggio documentato, invece, i dati sono stati trasmessi rispondendo direttamente all’indirizzo compromesso, senza attivare protocolli di autenticazione out-of-band (come una verifica telefonica tramite contatti ufficiali). Questo limite dei controlli tradizionali di fronte ad attacchi basati su credenziali istituzionali rubate (es. via infostealer) sta forzando un cambio di paradigma nel settore. Un caso emblematico è l’integrazione della Dark Web Intelligence nei processi di Anti-Financial Crime. La recente partnership strategica tra Nasdaq Verafin e Q6 Cyber evidenzia la necessità sistemica di monitorare attivamente l’underground criminale per intercettare le fughe di dati in via preventiva, colmando proprio quella “zona grigia” procedurale sfruttata nei casi qui analizzati.

L’ultimo anello della catena è l’impatto reputazionale. Il dato sottratto viene impiegato non solo come merce nel mercato underground, ma come leva estorsiva: richieste di riscatto pubbliche e pressioni mediatiche su istituti esposti sui mercati dei capitali (quotazioni, listing, fiducia degli investitori). Poiché l’esecutore tecnico dell’attacco, l’estorsore e l’amplificatore mediatico non coincidono necessariamente, il report mantiene separati questi livelli, lasciando aperta l’attribuzione del movente. 

Il perimetro metodologico dell’analisi si basa esclusivamente su fonti aperte (OSINT/CTI). Ogni affermazione è accompagnata da un livello di confidenza analitica (Alta, Media, Bassa), separando i fatti comprovati dalle dichiarazioni degli attori di minaccia, che sono trattate come fonti di parte e non come prove. Nessun dato personale delle vittime è riprodotto.

Infine, l’analisi solleva un interrogativo strategico di fondo: cui prodest? Il bersaglio reale di queste campagne è il database dell’istituto finanziario (per la mera monetizzazione dei dati) o è la catena di fiducia stessa tra autorità pubbliche e soggetti privati?

Colpire il canale di comunicazione istituzionale genera un danno sistemico che supera di gran lunga il valore del singolo record esfiltrato: instilla il dubbio strutturale, rallenta la collaborazione tra law enforcement e banche, e trasforma l’obbligo di compliance in un vettore di vulnerabilità. È una dinamica che va oltre la semplice estorsione, proiettando queste operazioni in una zona grigia in cui il cybercrime finanziario sfiora il sabotaggio procedurale. Il documento non ha finalità accusatorie né stabilisce responsabilità legali; laddove i fatti non risultino accertati, lo dichiara esplicitamente. Trattandosi di un panorama di minaccia dinamico, il presente lavoro allegato a questa introduzione, è da considerarsi in continua evoluzione. Buona lettura.

Olivia Terragni

Autore, ex giornalista, laureata in Lettere e Filosofia con indirizzo storico-economico e poi in Architettura, ha poi approfondito i suoi studi in Network Economy e in Informations Economics, conclusi con un Master in Cyber Security e Digital Forensics e un Master in Filosofia e Governance del Digitale. Appassionata di innovazione tecnologica e sistemi complessi e della loro gestione nell’ambito della sicurezza e della loro sostenibilità in contesti internazionali. Criminalista. Velista ottimista.

Aree di competenza: Geopolitica, Intelligence, Minacce Ibride, Divulgazione