Filtración Revolut: El Email Falso Que Pasó DMARC
Nadie forzó una cerradura. Alguien escribió una carta — y el papel con sello era auténtico.
El 12 de septiembre de 2026 Revolut empezó a comunicar a sus clientes algo que ningún banco disfruta poner por escrito: había entregado sus documentos de identidad, sus selfies de verificación, sus extractos y su historial de transacciones en Bitcoin — a una petición gubernamental que resultó ser falsa. No un dominio parecido. No un Gmail con una placa en la firma. Una petición enviada desde una cuenta no autorizada dentro del dominio de correo de una agencia real, que atravesó SPF, DKIM y DMARC como un hombre con chaleco reflectante pasando por recepción. Todas las comprobaciones automáticas dijeron que la carta era auténtica, porque todas las comprobaciones automáticas solo miran el sobre.
El Esquema en un Párrafo
Las entidades reguladas están legalmente obligadas a responder a peticiones lícitas de policía, hacienda y reguladores — a menudo rápido, a menudo sin avisar al cliente, a veces sin orden judicial. Esa obligación se ejecuta mediante procedimiento, y el procedimiento es el correo electrónico. Así que el atacante se salta el firewall del banco y ataca el papeleo: entra en un buzón gubernamental, escribe una petición idéntica a las cien anteriores y deja que cumplimiento haga la extracción por él. Los datos salen por la puerta principal, firmados, registrados, totalmente "legítimos".
No se atraca un banco que está obligado a darte el dinero si lo pides correctamente.
Respuesta Rápida
Revolut comunicó a un grupo limitado de clientes que sus expedientes de identidad y sus registros financieros — historial de transacciones en Bitcoin incluido — fueron entregados a un tercero no autorizado que los pidió con el formato de una petición policial.
El aviso a clientes empezó a circular el 11 de septiembre de 2026; Revolut confirmó el incidente en público el sábado 12, y Reuters, TechCrunch y The Register recogieron la misma declaración: una "estafa externa de suplantación", sistemas intactos, ningún fondo robado, ninguna contraseña ni PIN, y — según el investigador on-chain ZachXBT — una lista de objetivos sesgada hacia titulares de alto patrimonio. El 15 de septiembre el Financial Times situó la cifra en casi 700 clientes, recogida en otros medios como unos 680, y el regulador británico de protección de datos había abierto una evaluación. Revolut sigue sin nombrar a la agencia; quienes se atribuyen el ataque dicen que el buzón pertenecía a un sistema de correo estatal italiano, y esa afirmación es suya, no del banco.
- Expuesto: documentos de identidad, datos de contacto, selfies de verificación KYC, extractos de cuenta e historial de transacciones — con direcciones Bitcoin y referencias de pago visibles dentro de esos extractos.
- No expuesto: contraseñas, PIN, códigos de seguridad de tarjeta ni acceso a los fondos. No se movió dinero. La infraestructura de Revolut no fue hackeada.
- Haz ahora: presenta una solicitud de acceso del Artículo 15 del RGPD preguntando exactamente quién recibió tus datos y cuándo, trata como hostil cualquier llamada o correo de "seguridad", y retira de tus ahorros a largo plazo cualquier dirección que apareciera en un extracto.
La cámara acorazada resistió. Alguien simplemente se lo pidió con educación, en el papel correcto.
Serie de Investigación: Filtraciones de Datos
Esta es la Parte 3 de 3. Puertas diferentes. La misma bóveda. Cada brecha expone cómo la industria crypto falla en proteger tus datos — ya sea por la puerta lateral o la principal.
Diferentes puertas, la misma bóveda:
Parte 1
Filtración CoinTracker Mixpanel
La Filtración por Analíticas
La puerta lateral: una herramienta de terceros filtra tu email
Parte 2
ShinyHunters vs Figure
El Golpe de Ingeniería Social
La puerta principal: una llamada abre la bóveda
Parte 3
Revolut: Petición Falsa
El Ataque por Papeleo
La puerta legal: una petición lícita falsa y el banco lo entrega
La Verdad Incómoda
Cumplimiento no falló en su trabajo. Lo hizo exactamente como está diseñado — responder al Estado, responder rápido, preguntar después — y ese diseño no tiene un paso para dudar del Estado.
Rechaza una petición policial genuina y una entidad regulada se expone a obstrucción, multas y una tarde muy mala con su supervisor. Responde a una falsa y, históricamente, casi nada ocurre. Los incentivos apuntan en una sola dirección, el reloj siempre corre, y "urgente" es la palabra mágica en todos los idiomas.
El eslabón más débil de la seguridad de tu banco no es su código. Es el miedo de su departamento legal.
La Demanda de Monero, la Cuenta Atrás y la Letra Pequeña del Seguro
El 16 de septiembre, el grupo autodenominado iamnotavillain publicó una exigencia de 6.000 XMR — unos 3 millones de dólares — con un plazo de 24 horas y la amenaza de vender los datos. La prensa recibió un vídeo de 60 segundos que, según sus reportes, mostraba pasaportes, carnés de conducir, selfies KYC e historiales de transacciones. Los atacantes dijeron que eligieron cuentas con saldos cripto importantes mediante análisis de blockchain. Son afirmaciones del grupo, no conclusiones de Revolut.
Los reportes sitúan el alcance en casi 700 clientes, también descrito como unos 680. La ICO abrió una evaluación y la FCA está en contacto con Revolut. El banco mantiene que no recibió contacto ni demanda directa del grupo. Otro reclamante había pedido antes 10.000 BTC, una cifra que iamnotavillain disputa. En otras palabras: dos bandas, dos cifras y ninguna razón para tratar una nota de rescate como una auditoría.
La corrección clave no cambia: el correo salió de un dominio gubernamental real, pero la petición era falsa y no estaba autorizada. Sobre el seguro, Insurance Business explica que muchas cláusulas de ingeniería social cubren transferencias de dinero, no transferencias de datos; una filtración documental puede caer entre una póliza de delitos y otra de ciber. Eso describe un posible vacío de cobertura, no una garantía de pago.
Anatomía de la Divulgación
Quita los comunicados y la secuencia es brutalmente simple. Alguien sin ninguna potestad para pedir nada se hace con un buzón dentro de una agencia real y envía desde ahí una petición de datos fraudulenta. El correo supera SPF, DKIM y DMARC porque salió de verdad por los servidores de esa agencia — la firma demuestra de dónde viene el sobre, y absolutamente nada sobre quién sostiene el bolígrafo. Una persona lo lee, ve una agencia real, ve una autenticación limpia, ve urgencia, y cumple.
Lo que salió del edificio no era una lista de marketing. Era un expediente: documento oficial, el selfie que te hiciste sosteniéndolo, tu dirección y teléfono, y un extracto que muestra qué moviste, cuándo y hacia quién — referencias Bitcoin incluidas.
Esa combinación es lo único que la privacidad on-chain no puede reparar después. Las monedas se pueden mover. Una foto de pasaporte unida a una dirección confirmada no se puede despublicar.
No robaron tu Bitcoin. Robaron el mapa hacia él, con tu cara grapada en la portada.
El Vocabulario, Descifrado
Seis términos cargan con todo el peso de esta historia. Todos significan algo más estrecho de lo que suenan — y en ese hueco se fueron tus datos.
SPF, DKIM y DMARC
Qué son en realidad
Tres estándares de correo que responden a una pregunta: ¿lo envió una infraestructura autorizada por el dueño del dominio y llegó sin alterarse? DMARC (RFC 7489) comprueba además que el From: visible cuadre con ese resultado.
Qué no son
Prueba de autoridad. Autentican un dominio, nunca a una persona, y jamás su potestad legal para exigir algo. Una cuenta comprometida o no autorizada dentro de una agencia real pasa las tres perfectamente — la criptografía hizo exactamente su trabajo, y su trabajo nunca fue preguntar "¿este agente existe?".
Petición de datos de emergencia (EDR)
Qué es en realidad
Un canal que permite a la policía obtener datos sin orden judicial cuando hay riesgo inmediato para la vida. La velocidad es el punto; el papeleo llega después.
Cómo se abusa
Las EDR fraudulentas están documentadas, no son teoría. En 2022 se reveló que Apple y Meta habían entregado datos de usuarios a personas que usaron peticiones de emergencia falsificadas, y la fiscalía federal del Distrito Este de Nueva York acusó después a dos hombres que usaron accesos policiales robados para sacar registros y luego extorsionar a esas personas. La técnica tiene años de rastro documental, y "alguien morirá si esperas la orden" sigue siendo la frase más eficaz de la ingeniería social — porque negarse parece cometer un delito.
Excepción por petición lícita
Qué es en realidad
La base legal que permite a un banco divulgar tus datos — y a menudo callarlo — cuando lo pide una autoridad competente. En la normativa británica y europea el deber de informarte puede restringirse si avisarte perjudicaría la investigación.
La trampa que contiene
La misma excepción que protege investigaciones reales silencia a la única persona que habría detectado el fraude al instante: tú. La notificación llega después que los datos.
Selfie de verificación KYC
Qué es en realidad
La foto de vivacidad que te hiciste sosteniendo tu documento, probando que la cara y el papel coinciden.
En qué se convierte al filtrarse
Un kit listo para abrir cuentas a tu nombre y un accesorio creíble en una videollamada. Tu contraseña se cambia en nueve segundos. Tu cara no.
Historial de transacciones a nivel de extracto
Qué es en realidad
Un libro fechado de tu actividad fiat y cripto, con contrapartes, referencias y — en el caso de Revolut — direcciones Bitcoin apareciendo en los apuntes.
Por qué es la joya de la corona
Una dirección confirmada es un hilo, no un punto. Las heurísticas estándar de clustering — propiedad común de entradas y detección de cambio — arrastran el resto de la cartera a la vista. Dale a un analista una dirección Bitcoin atada a un humano con nombre y reconstruirá gran parte de su vida financiera gratis.
Ataque de la llave inglesa
Qué es en realidad
El ataque más antiguo de la criptografía: saltarse el cifrado y aplicar presión sobre quien tiene la clave. Extorsión, asalto en domicilio, secuestro.
Por qué esta filtración lo alimenta
El requisito previo es una lista corta de nombres, direcciones y saldos probados. Esta divulgación produjo exactamente ese documento — para clientes que, según la lectura de ZachXBT, parecen elegidos por patrimonio y no al azar.
La autenticación probó que la carta salió del edificio. Nadie comprobó si el hombre de dentro tenía derecho a estar allí.
Cómo Te Encuentran
Al principio nadie te buscó a ti. Buscaron un buzón, y tú estabas en el archivador de detrás. Cuatro formas en que ocurre la selección.
Un buzón gubernamental comprometido
Las cuentas de correo de una agencia se roban como cualquier otra: phishing, credenciales reutilizadas, una cuenta antigua de un proveedor que nadie cerró. Una vez dentro, el atacante no necesita falsificar nada — el dominio le firma el correo.
El buzón que decidió sobre tu privacidad está en una organización que tu banco no puede auditar y cuyo nombre nunca te dirán.
Señales públicas de patrimonio
Fundadores, fondos, carteras ruidosas, escenarios de conferencias, expedientes judiciales, listas de clientes de filtraciones anteriores. Los grandes tenedores de cripto no son difíciles de enumerar; la mayoría se enumeró sola.
Seleccionar por patrimonio es lo que convierte una petición de datos en una lista de la compra.
El banco como índice
Un neobanco con decenas de millones de clientes es el resolutor de identidades más eficiente del planeta: nombre, documento, selfie, dirección y huella on-chain en un solo registro, ya verificado.
La agregación es una ventaja hasta el día en que se convierte en la carga útil.
El silencio como cobertura
Como las peticiones lícitas pueden incluir un componente de no divulgación, la ventana entre la extracción y el aviso pertenece por completo al atacante. Ellos lo supieron antes que tú.
El retraso no es negligencia. Es el diseño de la excepción que secuestraron.
Qué Llega Después a Tu Bandeja
La divulgación es la materia prima; el seguimiento es el negocio. Estas son reconstrucciones compuestas según el patrón habitual del phishing post-filtración, escritas como se escriben de verdad — los detalles son exactamente los que un extracto filtrado permitiría usar.
Seguridad Revolut: detectamos un intento de acceso no autorizado en tu cuenta vinculado a la divulgación regulatoria reciente. Para proteger tu saldo, verifica tu identidad en 2 horas: rvlt-secure-verify[.]com/id
Traducción
La filtración es el pretexto, y es un pretexto verdadero — eso lo vuelve letal. Los bancos reales no ponen un plazo y un enlace en la misma frase, ni te piden "verificar identidad" en un dominio que no es suyo. Las dos horas existen para que no pienses.
Agente [nombre], Unidad de Delitos Financieros. Sus registros de Revolut forman parte del expediente FCU-2026-4471. Confirme las direcciones Bitcoin bajo su control para poder excluirlas de la investigación.
Traducción
La policía no pide a las víctimas que envíen por correo el inventario completo de su cartera, y ningún agente real necesita que le construyas su lista de direcciones. Esto es descubrimiento de activos con placa prestada.
Representamos a clientes de Revolut afectados. Al haberse divulgado su expediente KYC, puede tener derecho a indemnización y a la eliminación de sus datos. Tasa inicial de retirada de datos: 0,05 BTC.
Traducción
Nadie puede borrar un documento ya entregado a un tercero desconocido. Quien te cobre en Bitcoin por "desfiltrar" un pasaporte te está vendiendo el segundo robo.
[Videollamada] Hola, soy del equipo de cumplimiento — veo su documento en el expediente, ¿me confirma el código de seis dígitos que acabamos de enviarle para marcar su cuenta como verificada tras el incidente?
Traducción
Tienen tu documento y tu selfie, así que la llamada arranca con datos que solo debería saber tu banco. Cualquier petición de un código es un secuestro de cuenta en curso, por muchas cosas tuyas que sepa recitar.
Tenemos su pasaporte, su dirección y su historial BTC del expediente de Revolut. Envíe 1,5 BTC a la dirección indicada en 48 horas o publicaremos sus tenencias y su domicilio.
Traducción
Extorsión construida sobre titulares: puede que no tengan nada y apuesten al ciclo de noticias. Pagar confirma tu saldo y tu disposición a pagar — los dos datos que menos te conviene vender.
Siete Señales Tras Cualquier Filtración por Petición Lícita
- •Un contacto entrante que ya conoce tu situación Quien abre con "debido a la divulgación reciente" está leyendo la prensa, no tu expediente. Los avisos genuinos llegan primero en la app.
- •Un plazo medido en horas Las entidades reguladas te dan días y canales con nombre. La urgencia es un instrumento de manipulación con acento jurídico.
- •Un enlace o un teléfono dentro del mensaje Navega siempre tú: tu propia app, el número impreso en la tarjeta, la centralita publicada de la agencia. Nunca la devolución de llamada que te ofrecen amablemente.
- •Cualquiera que pregunte qué direcciones controlas Ningún investigador, banco o exchange necesita tu lista autodeclarada de carteras. Esa pregunta tiene un único propósito.
- •Peticiones de códigos, semillas o compartir pantalla El código es el último cerrojo que queda tras una filtración documental. Leerlo en voz alta entrega la cuenta que aún tienes.
- •Ofertas de borrar o desindexar tus datos filtrados Imposible por construcción. Un "servicio de eliminación" de pago tras una filtración de identidad es una segunda estafa poniendo precio a tu pánico.
- •Silencio sobre qué autoridad interviene La correspondencia real nombra el organismo, la referencia del expediente y una vía de contacto verificable. La vaguedad no es seguridad operativa; es la pista.
Una regla sobrevive a las siete: o inicias tú el contacto, o el contacto lo controlan ellos.
La Economía
El fraude sigue la aritmética. Tres números explican por qué la carta gana siempre a la palanqueta.
Un buzón, miles de registros
Comprometer una sola cuenta de agencia cuesta un kit de phishing y paciencia. Ese activo puede apuntarse a cualquier entidad regulada del continente, una y otra vez, hasta que alguien lo note — y la petición no deja malware que detectar.
Un expediente vale más que un volcado
Las listas masivas de correos son producto de saldo. Una identidad verificada unida a un saldo cripto probado es a medida: permite abrir cuentas, suplantar con credibilidad, extorsionar con precisión y localizar físicamente, todo desde un archivo.
La selección gana al volumen
Las informaciones describen un número limitado de afectados, aparentemente sesgado hacia los ricos. Menos víctimas, más valor cada una, menos ruido, detección más lenta. No es un ataque masivo fallido; es la forma buscada.
Cómo Funciona, Paso a Paso
Cinco etapas, y ni una línea de código de exploit en toda la cadena.
1. Tomar el buzón
Se obtiene una cuenta no autorizada en un dominio gubernamental real — con phishing, comprada, o simplemente nunca dada de baja.
Es el único paso técnicamente interesante, y ocurre en un sitio que tú no puedes auditar.
2. Escribir como el regulador
La petición imita las reales: departamento correcto, referencia plausible, lenguaje normativo, campos de datos definidos, cláusula de urgencia y, con frecuencia, la instrucción de no avisar al cliente.
La fluidez en el formato es la credencial. Cumplimiento reconoce la forma antes que el fondo.
3. Pasar todas las comprobaciones
SPF alinea, DKIM valida, DMARC informa "pass". Nada se marca, porque nada se está falsificando.
Y peor: el registro guarda al remitente como verificado, así que cuando alguien revisa el expediente, las pruebas le dan la razón al atacante.
4. Cumplimiento entrega
Una persona pesa el riesgo de obstrucción contra el riesgo del cliente bajo presión de tiempo y libera el archivo: documentos, selfie, extractos, historial de transacciones.
El fallo es de procedimiento, no técnico — y el procedimiento es justo lo que nadie somete a prueba de estrés.
5. Monetizar el expediente
Luego llega la cola larga: phishing a medida, suplantación, extorsión, clustering on-chain desde las direcciones divulgadas y, en el peor caso, una lista corta para coacción física.
La filtración termina en un día. La exposición dura mientras los documentos sean válidos.
Cómo Se Desarrolla Esto
Tres casos compuestos construidos sobre el patrón documentado del fraude posterior a una divulgación y el análisis on-chain. Los detalles están anonimizados y combinados; la mecánica no es inventada.
Todos empiezan igual — con un dato absolutamente auténtico en manos de un desconocido.
El fundador que recibió una llamada muy bien informada
Cuarenta horas después del aviso, alguien le citó su número de documento, su domicilio registrado y una transferencia del mes anterior, y le pidió el código de la app para "bloquear la cuenta ante la filtración". Colgó, abrió la app él mismo y no encontró ningún incidente — solo un inicio de sesión en curso esperando el código que estuvo a punto de leer.
"Sabía todo lo que sabe mi banco. Justo por eso debí darme cuenta de que no era mi banco."
La dirección que se desplegó en una cartera entera
Una sola dirección Bitcoin en un extracto filtrado fue toda la entrada. Dos de sus pagos antiguos se habían gastado juntos en una misma transacción, que es cuanto necesita la heurística de entradas comunes para declararlos del mismo dueño; la detección de cambio recorrió después ese historial año a año. Seis días más tarde un correo de extorsión citaba su saldo exacto al decimal.
"No adivinaron mis tenencias. Se las presentó mi propio extracto bancario."
La firma de recuperación que solo quería una tasa pequeña
Un despacho de aspecto profesional ofreció "retirar y desindexar" el expediente KYC divulgado por 0,05 BTC por adelantado, con número de caso y cuenta atrás incluidos. El archivo, por supuesto, ya estaba en un buzón desconocido y nadie podía recuperarlo a ningún precio.
"No puedes recomprar una fotografía. Solo puedes dejar de pagar por ella."
Metodología: composiciones montadas a partir de las informaciones públicas sobre este incidente (12 de septiembre de 2026), el historial documentado de peticiones de datos de emergencia fraudulentas y las heurísticas estándar de clustering de Bitcoin. No se identifica a ningún cliente, nombre o cartera real, y ninguna cifra aquí se presenta como pérdida oficial.
Por Qué Funciona Con Gente Prudente
Quienes caen aquí no son descuidados. Son correctamente respetuosos con la autoridad, y ese es el exploit.
La autoridad cortocircuita el escepticismo
Un papel con sello oficial traslada la carga de la prueba al que lo recibe. A los responsables de cumplimiento se les paga por cooperar con el Estado, y dudar parece el riesgo en lugar de la salvaguarda.
Los datos exactos compran confianza al instante
En cuanto alguien recita tu número de documento y una transacción real, tu cerebro deja de auditar y empieza a ayudar. La precisión filtrada convence más que cualquier placa falsa.
La fatiga de filtraciones embota la reacción
Tras años de correos de aviso, "tus datos fueron expuestos" suena a ruido de fondo. Esta vez es distinto en naturaleza: el expediente que salió es el mismo que usarías para demostrar que tú eres tú.
El reloj está puesto para ganar al papeleo
El plazo no está ahí para ponerte nervioso. Abrir tu app, llamar al número de tu tarjeta, esperar el aviso oficial de tu banco — todo eso tarda más de dos horas. La prisa no atropella a la víctima; adelanta a los sistemas que habrían desmentido la historia.
Aquí nadie cayó por mala tecnología. Todos cayeron por buenos modales bajo presión de tiempo.
Cinco Reglas Que Sí Sirven
- 1. Presenta una solicitud del Artículo 15 y pregunta quién recibió tus datos El Artículo 15 del RGPD te permite pedir los datos personales que se tienen sobre ti y los destinatarios a los que se comunicaron. Pregunta con precisión: qué categorías se liberaron, en qué fecha, a qué organismo y con qué base legal. El rastro documental es la única palanca del cliente, y obliga a que la respuesta esté por escrito.
- 2. Retira toda dirección que apareciera en un extracto Trata cualquier dirección Bitcoin divulgada como pública y atribuida a ti para siempre. Mueve las tenencias a largo plazo a direcciones nuevas generadas por una cartera hardware, evita consolidar monedas viejas y nuevas en una misma transacción, y deja de reutilizar direcciones para cobrar.
- 3. Verifica la autoridad, nunca al mensajero Ante cualquier cosa que diga ser policía, hacienda o tu banco: cuelga y contacta con la institución por un número que hayas buscado tú — la tarjeta, la web oficial, la centralita publicada. Si la petición es genuina, sobrevive a una devolución de llamada. Si muere al verificarla, era el ataque completo.
- 4. Refuerza lo que todavía se puede cambiar Tus documentos son estáticos; tus accesos no. Segundo factor por app o hardware en todo, ningún código por SMS en nada financiero, un alias único por servicio financiero, una contraseña verbal de atención telefónica si tu proveedor la ofrece, y una contraseña nueva en el buzón que lo recibe todo.
- 5. Asume riesgo físico y compórtate de forma aburrida Si tu identidad ya está ligada a un saldo probado, deja de anunciar ambas cosas. Sin capturas de cartera, sin reclamar direcciones en público, sin direcciones en tus perfiles sociales. Reparte tenencias entre varias carteras para que ni una incautación ni una confesión lo vacíen todo, y guarda un saldo pequeño y visible como señuelo para el momento en que alguien insista.
Actualización del expediente
Añadida la actualización de septiembre de 2026 más arriba: la exigencia de rescate de 6.000 XMR con plazo de 24 horas, un alcance reportado de unos 680-700 clientes, la evaluación de la ICO y el contacto de la FCA, la reclamación rival de 10.000 BTC y por qué las cláusulas de seguro de ingeniería social que cita la prensa sectorial describen un posible vacío de cobertura y no un pago prometido a los clientes de Revolut.
Historial anterior
- Primera publicación: cómo un correo enviado desde un dominio gubernamental real transportaba una petición de datos falsa y no autorizada, qué registros de clientes quedaron expuestos y las cinco reglas que detienen el mismo truco.
¿Recibiste un Mensaje Sospechoso?
Usa nuestro detector con IA para analizar posibles estafas al instante.
Sigue investigando
Si tienes ahora mismo el mensaje, el enlace o el contrato delante, pásalo por el detector de estafas IA gratuito, que puntúa el texto, el dominio imitador y el contrato y te devuelve un informe permanente que puedes compartir.
La lista de clientes es la próxima campaña de phishing — esa cadena está documentada en nuestro hub sobre filtraciones de datos y fugas de proveedores.
Las listas de phishing casi nunca salen de la billetera: la brecha de datos de CoinTracker a través de su proveedor de analítica Mixpanel expuso correos y fragmentos de wallets — sin claves robadas, pero con una lista de objetivos ya cualificada.
Ledger nunca pide las 24 palabras, y en eso se apoya la estafa de la carta falsa de Ledger, que roba la frase semilla por correo postal y código QR — cartas impresas, un dispositivo en su caja y una semilla que el remitente ya conoce.
Conclusiones Clave
- 1.Revolut no fue hackeado. Se lo pidieron — desde una cuenta no autorizada en un dominio gubernamental real — y respondió.
- 2.SPF, DKIM y DMARC autentican un dominio, nunca la autoridad de una persona. Pasar las tres prueba que la carta salió del edificio, nada más.
- 3.La carga útil fue identidad más historial on-chain: pasaporte, selfie, dirección, extractos, referencias Bitcoin. Esa combinación no se cambia, solo se sobrevive.
- 4.Las direcciones divulgadas no se quedan aisladas. El clustering va de una dirección confirmada a casi toda la cartera, y una cartera conocida junto a un domicilio conocido deja de ser un problema de privacidad para ser uno físico.
- 5.Tu defensa también es de procedimiento: Artículo 15 para saber qué salió, direcciones nuevas para lo que queda, y no verificar nunca a nadie por un canal que él eligió por ti.
“La carta era real.”
La autoridad, no.
Preguntas Frecuentes
Fuentes y Citas
Investigación compilada de datos de blockchain disponibles públicamente, informes de seguridad y documentación de la comunidad.
techcrunch.com · Fecha no publicada o no verificada
techcrunch.com · Fecha no publicada o no verificada
TradingView · 12 sept 2026
TradingView · 12 sept 2026
www.reuters.com · Fecha no publicada o no verificada
www.reuters.com · Fecha no publicada o no verificada
www.theregister.com · Fecha no publicada o no verificada
www.theregister.com · Fecha no publicada o no verificada
the Guardian · 17 sept 2026
the Guardian · 17 sept 2026
www.securityweek.com · Fecha no publicada o no verificada
página índicewww.securityweek.com · Fecha no publicada o no verificada
The Irish Times · Fecha no publicada o no verificada
The Irish Times · Fecha no publicada o no verificada
The Irish Times · Fecha no publicada o no verificada
The Irish Times · Fecha no publicada o no verificada
www.coindesk.com · Fecha no publicada o no verificada
www.coindesk.com · Fecha no publicada o no verificada
OCCRP · Fecha no publicada o no verificada
OCCRP · Fecha no publicada o no verificada
Cointelegraph · 17 sept 2026
Cointelegraph · 17 sept 2026
Insurance Business · 15 sept 2026
Insurance Business · 15 sept 2026
cryptoslate.com · Fecha no publicada o no verificada
página índicecryptoslate.com · Fecha no publicada o no verificada
crypto.news · 12 sept 2026
página índicecrypto.news · 12 sept 2026
The Crypto Times · 12 sept 2026
The Crypto Times · 12 sept 2026
ETHNews · 12 sept 2026
página índiceETHNews · 12 sept 2026
www.justice.gov · Fecha no publicada o no verificada
www.justice.gov · Fecha no publicada o no verificada
IETF Datatracker · Fecha no publicada o no verificada
IETF Datatracker · Fecha no publicada o no verificada
ICO · Fecha no publicada o no verificada
ICO · Fecha no publicada o no verificada
www.ic3.gov · Fecha no publicada o no verificada
página índicewww.ic3.gov · Fecha no publicada o no verificada
Verificación: Referencias on-chain: no se publican para este caso.
Metodología: Cada caso requiere al menos dos fuentes independientes antes de publicarse, más evidencia on-chain verificable cuando existe un rastro público. Estándares completos: /es/methodology
Aviso legal: Esta evaluación se basa en datos disponibles públicamente, incluidos registros on-chain, comunicados oficiales e incidentes documentados. Es un análisis periodístico y educativo, no asesoramiento legal, una acusación de conducta delictiva ni una resolución judicial. Las empresas, proyectos, dominios, carteras y personas nombradas se describen según las fuentes citadas; una empresa puede aparecer porque fue suplantada por estafadores, no porque hiciera algo indebido. Si crees que algo es inexacto o está desactualizado, escribe a cryptostrapon@pm.me y lo corregiremos registrando el cambio. Política editorial