币圈界报道：

识别受波及的关键路径：通知与法定请求并行

若持有Revolut账户且关注2026年9月11日至12日的数据事件影响，唯有两条可信渠道可确认自身状态：一是公司直接发送的定向通知，二是依据《通用数据保护条例》第15条发起的正式个人数据访问申请。其他任何形式的推测均不可靠。未收到通知不代表无风险，仅说明未触发系统警报。

数据移交范围与未受损信息界定

据CoinDesk援引受影响客户收到的通知，本次披露涵盖护照与驾照扫描件、身份验证自拍、姓名、出生日期、职业、住址、电子邮箱、电话号码、IBAN账号、账户对账单、提款记录以及完整的比特币交易流水。值得注意的是，攻击者并未获取账户凭证或生物特征模板。

Revolut向BeInCrypto通报，该事件源于外部实体通过合法政府机构邮箱域名提交虚假紧急请求，系统误判为合规指令而予以响应。目前系统与资金安全未受影响，警方、数据保护部门及金融监管机构已介入调查。尽管具体涉事机构尚未公布，但据消息源zachXBT称，目标群体为“少数高净值用户”，影响范围有限。

确认身份：如何核实是否被纳入通知名单

Revolut明确表示，所有受影响客户均已通过私密信函单独告知，邮件发出时间为2026年9月11日。不存在公开可查的泄露名单，出于隐私保护原则亦不应存在。因此，主动核查是唯一可靠方式。

真伪辨识：官方通知与仿冒邮件的区别

根据GDPR第34条，企业须向受数据泄露影响的个体发送包含事件详情、数据类型及应对建议的正式通信。真正的通知不会要求点击链接输入密码、批准付款或关联钱包恢复短语。

然而，此事件后将出现第二阶段攻击：伪造邮件利用已知的姓名、住址、银行账号和账户动态，提升可信度。应始终在Revolut应用内查看来信，而非依赖外部链接，并严格遵循发件人域名验证指南。

行使权利：通过第15条请求获取透明度

GDPR第15条赋予个人要求企业说明其处理了哪些本人数据、并向何方披露的权利。提出书面请求时，应注明事件时间，明确询问数据接收方，并索要副本。处理期限通常为一个月，复杂情况下可延长至两个月，延期需提前告知。

保存完整回复记录至关重要——任何后续投诉或法律行动都需以此作为证据基础。

比特币历史为何构成最大威胁

身份证件可更换，银行卡号可重置，地址也可变更。但比特币交易记录属于不可逆的公共链上数据。一旦暴露，便永久留存于全球节点之中，揭示金额、时间戳及潜在交易对手。

结合对账单与地址聚类分析，攻击者能将多个看似独立的地址归入同一经济实体。当这些地址与真实姓名、住址绑定，匿名性彻底失效。

由此可能引发严重后果：掌握身份与财富信息的第三方可实施定向勒索或绑架。此类模式已在法国类似事件中得到验证，成为加密货币相关犯罪的常见起点。

漏洞入口：合法域名下的非法账户

紧急请求机制背后的攻防逻辑

紧急数据请求允许企业在面临紧迫公共安全威胁时，在无需法院令的情况下响应执法机构查询。该机制本意为保障时效，但也成为长期存在的安全盲区——最终决定权落在一线员工对“官方请求”的主观判断。

专业研究指出，攻击者常通过窃取或创建机构域名内的合法账户，以真实政府邮箱名义发送紧急请求。由于技术认证（如SPF、DKIM、DMARC）仅验证来源域名真实性，无法识别账户使用者权限，导致系统误判。

技术防线为何在此失效

SPF、DKIM与DMARC等协议用于验证邮件是否源自指定域名且传输未被篡改。它们仅解决“是否来自该域名”问题，却无法判断邮箱背后的人是否有权操作。

因此，当攻击者掌控真实域名内的账户时，所有技术检查均会通过，造成“合法外观”假象。仅依赖域名验证者，将技术通过误解为授权有效，极易中招。

更改密码的局限性与真正有效的防御措施

常规建议如换密码、启双因素认证、查设备，在此事件中仅具部分有效性。因攻击者从未获得账户凭证，新密码无法阻止其已有权限。

真正关键在于防范后续攻击：启用应用程序内提款硬确认、拒绝一切自称客服的来电并立即挂断、假设任何提及账户细节的通话均为此次事件衍生。记住，知道您最近转账金额的人，不再是通话真实的证明。

即时应对：身份安全与加密资产保护

应对策略分为两类：一类关乎身份完整性，另一类聚焦资产存放位置。

ID信息无法回收

已被泄露的身份文件持续存在于外界。建议定期监控信用报告，排查未知查询与合同签署。若发现异常，应及时报警，时间点将影响责任归属。德国金融监管机构已多次警示此类风险，相关警告可在BaFin公开文件中查阅。

住址加持仓：警惕物理层面威胁

家庭住址、身份证照与财富证明的组合，足以支持面对面攻击。实际操作中应避免在社交平台透露持币情况，硬件钱包不寄送至住宅地址，日常对话中不提及具体金额。对于大额持有者，可选择具备额外密码短语锁定功能的硬件钱包，以防胁迫下意外释放全部余额。

这种谨慎非恐慌行为，而是行业早期受害者普遍采取的有效习惯，仅需调整日常行为即可实现。

投诉前必做：建立完整证据链

德国用户应向何处申诉

德国客户通常与位于立陶宛的Revolut Bank UAB签订合同，该公司由立陶宛央行与欧洲央行双重许可运营，并在德国设有分支机构。根据其隐私政策，立陶宛数据保护机构为牵头监管单位。具体负责实体可能随产品类型与签约时间变化，建议查阅合同条款确认。

投诉流程具有先后顺序：先向公司提出第15条请求，待回复或超期后再向监管机构举报。根据GDPR，居住地监管机构有权受理跨境案件，但需以先前沟通为基础，否则缺乏支撑。

重新规划加密资产配置时机

数据事件是审视持仓结构的理想契机，不必急于行动。核心问题是：单一平台应保留多少资产？交易所需金额之外的部分，属于战略决策范畴。

自我托管意味着自行保管私钥，风险转移而非消除。每个自托管者必须承担丢失风险，并制定抗灾备份计划，包括防火、搬迁场景下的恢复方案。多数投资者选择折中方案：小额留存在平台用于交易，其余转入自我托管。

顺序至关重要：先完成备份计划，再执行转移。情绪波动期间的仓促操作，往往导致年度最昂贵的错误。

KYC数据的深层风险暴露

KYC即“了解你的客户”，是受监管机构强制要求的身份核验流程。它生成包含证件照、自拍照、住址与账户活动的完整档案。此次事件揭示：该档案不仅面临服务器入侵风险，也暴露于企业对外部请求的响应机制中。

因此，选择新平台时，应评估其对官方查询的处理方式、数据披露政策及通知时效。可参考符合欧洲监管框架的受许可交易所列表，许可证虽非绝对安全保证，但确保有监管主体负责并履行报告义务。

本事件加入今年多起打击欧洲加密用户的链条。内容形式一致，根源相同。此前关于Trezor数据泄露的分析，已为当前案例提供了充分预警。

常见疑问解答：厘清误解

我的资金是否处于危险之中？

公司声明系统与账户资金未受影响，无其他信息与此相悖。事件本质为文件移交，而非账户入侵。风险集中于事后滥用信息的可能性。

我需要更换比特币地址吗？

对已披露的历史记录而言，更换地址无效，因链上数据不可更改。但对于未来收款，使用新地址并将余额保留在与提款直接关联的地址上仍属明智之举。

夏季数百万记录泄露的说法是否属实？

这是另一事件。2026年7月暗网曝光的大规模数据集，未显示与9月请求有关联。两者数据类别与攻击路径不同，混为一谈具有误导性。

如何确认邮件真实？

仅凭邮件无法确认。应打开官方应用检查是否收到相同信息。在此情境下，域名验证更显重要，因技术通过不等于授权有效。

事件核心要点总结

勿凭猜测判断是否受影响。

在应用内核查通知，并独立发起第15条请求，明确询问数据接收方。有意更换服务商者，可通过受监管交易所概览缩小候选范围。

将资产配置与身份信息解耦。

确定交易所需额度，其余部分转入自我托管，且务必事先建立备份计划。支持密码短语功能的设备可在硬件钱包比较中查找。

预判二次攻击。

未来数周内将出现大量电话与消息，对方掌握真实账户信息。在应用内确认前，一律视为未验证。若需交易工具，软件钱包比较可辅助筛选。

(截至2026年9月12日。本文不构成投资建议。价格与费用结构可能变动；购买前请与服务提供商核实条款。)

来源：CoinDesk关于数据类别披露，以及Revolut对BeInCrypto的声明。