Revolut ทำข้อมูลลูกค้า 680 รายรั่วเพราะอีเมล "หน่วยงานรัฐ" ปลอมฉบับเดียว: พาสปอร์ต เซลฟี่ และประวัติ Bitcoin ทั้งหมดหลุด แฮกเกอร์เรียกค่าไถ่ 10,000 BTC — และทำไม KYC กำลังกลายเป็น "ขุมทรัพย์" ที่อันตรายที่สุดของวงการคริปโต

16 กันยายน 2026 — CryptoStockVN

ไม่มีเซิร์ฟเวอร์ใดถูกเจาะ ไม่มีกุญแจส่วนตัวใดถูกขโมย ไม่มีเงินของลูกค้าแม้แต่บาทเดียวหายไปจากบัญชี แต่ Revolut — ธนาคารดิจิทัลรายใหญ่ที่สุดของยุโรปที่มีลูกค้ากว่า 80 ล้านราย — เพิ่งต้องยอมรับว่าได้ส่งด้วยมือตัวเองสำเนาพาสปอร์ต ภาพเซลฟี่ยืนยันตัวตน หมายเลข IBAN และประวัติธุรกรรม Bitcoin ทั้งหมดของลูกค้าราว 680 ราย ให้กับคนแปลกหน้า เหตุผลคือ คนผู้นั้นส่ง "คำขอข้อมูล" จากกล่องจดหมายที่อยู่บนโดเมนของหน่วยงานรัฐจริง และฝ่ายกำกับดูแล (compliance) ของ Revolut ถือว่านั่นเป็นคำสั่งที่ชอบด้วยกฎหมาย

วันที่ 15 กันยายน เหตุการณ์ยกระดับความรุนแรงขึ้น: สำนักงานคณะกรรมการข้อมูลข่าวสารของอังกฤษ (ICO) เปิดการประเมิน สำนักงานกำกับดูแลทางการเงินอังกฤษ (FCA) ระบุว่า "กำลังทำงานร่วมกับบริษัท" และกลุ่มที่เรียกตัวเองว่า "Revolut Smilik" เริ่มเผยแพร่พาสปอร์ตและภาพเซลฟี่ทีละชุดบนอินเทอร์เน็ต พร้อมขู่จะปล่อยข้อมูลเพิ่มทุกวันจนกว่า Revolut จะจ่าย 10,000 BTC — เทียบเท่าประมาณ 780 ล้านดอลลาร์ ตามราคา Bitcoin ราว 78,000 ดอลลาร์เมื่อวันที่ 15 กันยายน บทความนี้ลำดับเหตุการณ์ตามไทม์ไลน์ วิเคราะห์ว่าทำไม "คำขอทางกฎหมาย" จึงเป็นช่องโหว่ใหญ่ที่สุดที่ไฟร์วอลล์ใดก็กันไม่ได้ และถอดบทเรียนสำหรับผู้ใช้คริปโต — รวมถึงในเวียดนาม ที่กระดานเทรดซึ่งได้รับอนุญาตทดลองกำลังเก็บข้อมูลประเภทเดียวกับที่เพิ่งรั่วไหลนี้ทุกประการ

1. ไทม์ไลน์: จากประกาศคลุมเครือสู่ตัวเลข 680 และคำขู่เรียกค่าไถ่

ตัวเลข 680 คิดเป็นเพียงประมาณ 0.00085% ของลูกค้าทั้งหมดของ Revolut แต่นี่ไม่ใช่การรั่วไหลแบบสุ่มวงกว้าง — จากการประเมินของ ZachXBT รายชื่อที่ถูกเล็งเป้ากระจุกตัวอยู่ที่ลูกค้าที่มีสินทรัพย์สูงและมีกิจกรรมคริปโตเข้มข้น เมื่อพิจารณาประเภทข้อมูลที่รั่ว โปรไฟล์ "คัดสรร" 680 ชุดอาจอันตรายกว่าอีเมลธรรมดา 68 ล้านรายการหลายเท่า

2. ข้อมูลอะไรบ้างที่หลุดออกจาก Revolut?

จดหมายแจ้งเตือนของ Revolut ระบุข้อมูลสี่กลุ่มที่อาจถูกเปิดเผย เมื่อนำมาวางเรียงกัน มันคือ "แฟ้มประวัติฉบับสมบูรณ์" ที่ผู้โจมตีทุกคนใฝ่ฝัน:

• ตัวตน: ชื่อ-นามสกุล วันเกิด อาชีพ
• ช่องทางติดต่อ: ที่อยู่ไปรษณีย์ อีเมล หมายเลขโทรศัพท์
• เอกสาร KYC: สำเนาพาสปอร์ตหรือใบขับขี่ พร้อมภาพเซลฟี่ยืนยันตัวตนที่ถ่ายตอนเปิดบัญชี
• บันทึกทางการเงิน: รายการเดินบัญชี หมายเลข IBAN ประวัติการถอน และประวัติธุรกรรมทั้งหมด รวมถึงกิจกรรม Bitcoin

Revolut เน้นว่าข้อมูลไบโอเมตริกที่ใช้จับคู่เซลฟี่กับเอกสาร (biometric telemetry) ไม่ได้ถูกแบ่งปัน แต่นั่นไม่ได้ลดความร้ายแรงลงเลย: ผู้โจมตีไม่ต้องการอัลกอริทึมจดจำใบหน้าของ Revolut — พวกเขามีใบหน้าจริง พาสปอร์ตจริง และที่อยู่บ้านจริงอยู่ในมือแล้ว

สิ่งที่ทำให้กรณีนี้ต่างจากข้อมูลธนาคารรั่วทั่วไปโดยสิ้นเชิงคือการผสมระหว่างตัวตนจริงกับประวัติ Bitcoin ธุรกรรม Bitcoin เปิดเผยบนบล็อกเชนแต่ไม่ระบุตัวตน พลังการปกป้องอยู่ตรงที่ไม่มีใครรู้ว่าแอดเดรสไหนเป็นของใคร เมื่อธนาคารนำชื่อ ภาพใบหน้า ที่อยู่บ้านมาผูกกับประวัติการถอน BTC ของลูกค้า ชั้นป้องกันนั้นก็หายไปโดยสิ้นเชิง ผู้ไม่ประสงค์ดีสามารถตามรอยแอดเดรสที่ลูกค้าถอนไป ประเมินยอดคงเหลือปัจจุบัน และรู้แน่ชัดว่าต้องไปบ้านใคร

3. ช่องโหว่ไม่ได้อยู่ในโค้ด: "คำขอทางกฎหมาย" คือประตูหลังที่ถูกต้องตามกฎหมาย

ธนาคาร กระดานเทรด และกระเป๋ารับฝากทุกแห่งมีหน่วยงานที่ทำหน้าที่ตอบคำขอจากเจ้าหน้าที่รัฐโดยเฉพาะ: ศาล ตำรวจ สรรพากร หน่วยงานป้องกันการฟอกเงิน หน่วยนี้ถูกออกแบบมาให้ให้ความร่วมมือ เพราะการปฏิเสธหรือล่าช้าอาจถือเป็นการขัดขวางการสอบสวน และนี่คือจุดที่ผู้โจมตีเล็งเป้า

ตามคำชี้แจงของ Revolut อีเมลปลอมมีข้อมูลรับรองการยืนยันโดเมนที่ถูกต้อง — กล่าวคือ ไม่ใช่อีเมลที่ "ดูคล้าย" แต่เป็นอีเมลที่ออกจากโครงสร้างพื้นฐานของหน่วยงานรัฐนั้นจริง ๆ (บัญชีถูกยึด พนักงานภายในใช้ในทางมิชอบ หรือมีช่องโหว่ในการสร้างบัญชี) สำหรับระบบกรองอีเมล นี่คืออีเมลที่สะอาดหมดจด สำหรับเจ้าหน้าที่กำกับดูแล นี่คือหนังสือราชการจากรัฐ ไม่มีไฟร์วอลล์ การยืนยันสองชั้น หรือการตรวจสอบโค้ดใดจะหยุดมันได้ — เพราะระบบทำงานตรงตามที่ออกแบบไว้ทุกประการ

คำถามสามข้อที่ Revolut ยังไม่ตอบ และคำตอบจะเป็นตัวกำหนดระดับความผิดของบริษัทต่อหน้า ICO:

1. หน่วยงานใดถูกแอบอ้าง? Recorded Future News ระบุว่าเอกสารเรียกค่าไถ่ที่แพร่บน Telegram ชี้ไปยังโดเมนของอิตาลี แต่ Revolut ไม่ยืนยัน และทางการอิตาลียังไม่ตอบกลับ ข้อมูลที่ว่าผู้โจมตีใช้เอกสารปลอมรูปแบบ "คำสั่งสอบสวนยุโรป" (EIO) มานานหลายเดือนยังเป็นเพียงข้อสงสัย
2. มีคำขอกี่รายการที่ได้รับการตอบสนอง และใช้เวลานานเท่าใด? ข้อมูล 680 ชุดน่าจะไม่ได้อยู่ในอีเมลฉบับเดียว หากผู้โจมตีส่งคำขอกระจายหลายสิบฉบับและได้รับคำตอบทั้งหมด ปัญหาไม่ใช่พนักงานคนเดียวประมาท แต่คือกระบวนการที่ไม่มีขั้นตอนตรวจสอบไขว้ (โทรกลับหน่วยงานผ่านเบอร์สาธารณะ ตรวจสอบหมายเลขคดี ยืนยันลายเซ็นดิจิทัล)
3. นิติบุคคลใดเป็นผู้ดำเนินการ? ใบอนุญาตธนาคารยุโรปของ Revolut อยู่ภายใต้ Revolut Bank UAB ในลิทัวเนีย ซึ่งกำกับโดย ECB และธนาคารกลางลิทัวเนีย หากโต๊ะรับคำขอทางกฎหมายที่วิลนีอุสคือจุดที่ข้อมูลไหลออก นอกจาก ICO (อังกฤษ) แล้ว ทั้งหน่วยงานคุ้มครองข้อมูลลิทัวเนียและ ECB ต่างก็มีอำนาจกำกับดูแล

การโจมตีรูปแบบนี้มีชื่อเรียกเฉพาะในวงการความปลอดภัย: "คำขอข้อมูลฉุกเฉินปลอม" (fraudulent emergency data request) เคยโจมตี Apple, Meta, Discord และแพลตฟอร์มใหญ่อีกหลายแห่งในช่วงปี 2021–2023 ส่วนใหญ่เพื่อเอาที่อยู่ IP และหมายเลขโทรศัพท์ สิ่งใหม่ในกรณี Revolut คือเป้าหมาย: ไม่ใช่ข้อมูลระบุตัวตนธรรมดา แต่เป็นแฟ้ม KYC ฉบับสมบูรณ์ของกลุ่มผู้ถือสินทรัพย์ดิจิทัลจำนวนมาก — นั่นคือขั้นเตรียมการสำหรับการโจมตีถัดไปที่มีมูลค่าสูงกว่ามาก

4. 10,000 BTC: ตัวเลขเหลือเชื่อและสารที่แท้จริง

การเรียก 10,000 BTC (~780 ล้านดอลลาร์) จากบริษัทที่เพิ่งได้รับการประเมินมูลค่าหลายหมื่นล้านดอลลาร์อาจฟังดู "สมเหตุสมผล" ตามตรรกะของผู้เรียกค่าไถ่ แต่แทบแน่นอนว่าจะไม่ได้รับการตอบสนอง: การจ่ายค่าไถ่ให้ผู้ที่มีข้อมูลอยู่แล้วไม่ได้เอาข้อมูลคืนมา มีแต่ยืนยันว่า Revolut เป็นเป้าหมายที่คุ้มค่าจะโจมตีอีก City AM ระบุว่าทั้งสองฝ่ายยังไม่มีการติดต่อกันโดยตรง และ Revolut ไม่ยืนยันการเจรจาใด ๆ

ตัวเลขนี้ควรอ่านเป็นข้อความที่ส่งถึงเหยื่อ 680 ราย ไม่ใช่ถึง Revolut: "ข้อมูลของคุณจะถูกเปิดเผยทีละวัน" สำหรับผู้ถือคริปโต ผลลัพธ์ที่เกิดขึ้นจริงจากการถูกเปิดเผยพาสปอร์ต + เซลฟี่ + ที่อยู่ + ประวัติ Bitcoin ได้แก่:

• การโจมตีทางกายภาพ ("$5 wrench attack"): เมื่อคนร้ายรู้ว่าคุณมี BTC เท่าไรและอยู่ที่ไหน รหัสผ่านที่แข็งแกร่งที่สุดก็ไร้ความหมาย ปี 2025–2026 มีคดีลักพาตัวและบังคับเจ้าของกระเป๋าเกิดขึ้นต่อเนื่องในฝรั่งเศส สเปน และสหรัฐฯ
• ยึดซิม (SIM swap): ด้วยหมายเลขโทรศัพท์ วันเกิด ที่อยู่ และภาพพาสปอร์ต ผู้โจมตีมีวัตถุดิบเพียงพอที่จะโน้มน้าวผู้ให้บริการเครือข่ายให้ออกซิมใหม่ แล้วข้ามการยืนยัน OTP ที่กระดานเทรดอื่น ๆ
• ฟิชชิงตามบริบท (contextual phishing): อีเมล "จาก Revolut" ที่ระบุจำนวนเงินและวันที่คุณถอน BTC ได้ถูกต้อง จะน่าเชื่อถือกว่าอีเมลหลอกลวงทั่วไปหลายเท่า
• เปิดบัญชีปลอม: พาสปอร์ต + เซลฟี่ คือชุด KYC ครบถ้วนสำหรับเปิดบัญชีในชื่อเหยื่อที่กระดานเทรดอื่น เพื่อใช้ฟอกเงินหรือกู้ยืมโดยไม่มีหลักประกัน

5. ความเสี่ยงทางกฎหมายของ Revolut: GDPR ใบอนุญาตสหรัฐฯ และคำถามเรื่อง "หน้าที่ระมัดระวัง"

ตาม UK GDPR ICO สามารถปรับได้สูงสุด 17.5 ล้านปอนด์ หรือ 4% ของรายได้ทั่วโลก แล้วแต่จำนวนใดสูงกว่า แต่ค่าปรับไม่ใช่ความเสี่ยงที่ใหญ่ที่สุด สามสิ่งที่น่ากังวลกว่า:

• จังหวะเวลา เหตุการณ์เกิดขึ้นเพียงสัปดาห์เศษหลัง OCC อนุมัติแบบมีเงื่อนไขให้ธนาคารสหรัฐฯ ของ Revolut FDIC และเฟด — สองด่านที่เหลือ — ตรวจสอบความสามารถในการบริหารความเสี่ยงด้านปฏิบัติการอย่างเข้มงวดมาก กระบวนการกำกับดูแลที่ถูกอีเมลหลอกได้ ยากจะเกิดขึ้นในจังหวะที่เลวร้ายกว่านี้
• ความรับผิดทางแพ่ง หากเหยื่อรายใดถูกทำร้ายร่างกายหรือสูญเสียทรัพย์สินเพราะข้อมูลรั่ว คำถาม "Revolut ปฏิบัติหน้าที่ระมัดระวังในการยืนยันคำขอเพียงพอหรือไม่" จะถูกยกขึ้นในศาล ไม่ใช่แค่ต่อหน้า ICO
• ความเชื่อมั่นของกลุ่มลูกค้าที่มีค่าที่สุด ลูกค้าคริปโตสินทรัพย์สูงคือกลุ่มที่สร้างค่าธรรมเนียมธุรกรรมสูงสุดให้ Revolut และเป็นกลุ่มที่พร้อมจะจากไปที่สุดเมื่อรู้สึกว่าตัวตนของตนถูกมองข้าม

ต้องให้ความเป็นธรรมกับ Revolut ในประเด็นหนึ่ง: บริษัทได้บล็อกที่อยู่อีเมลหลังตรวจพบ แจ้งหน่วยงานที่ถูกแอบอ้าง ตำรวจ หน่วยงานคุ้มครองข้อมูล และหน่วยงานกำกับดูแลทางการเงิน พร้อมติดต่อลูกค้าแต่ละรายโดยตรง ความเร็วในการตอบสนองนี้ดีกว่ามาตรฐานอุตสาหกรรมมาก ปัญหาอยู่ที่ขั้นตอนก่อนหน้านั้น — ขั้นตอนที่ควรมีคนถามว่า "ทำไมหน่วยงานรัฐจึงต้องการภาพเซลฟี่และประวัติ Bitcoin ของคน 680 คน?"

6. ภาพใหญ่: KYC กำลังกลายเป็น "ขุมทรัพย์" ที่ทั้งอุตสาหกรรมต้องเฝ้าระวัง

กรณี Revolut ไม่ได้เกิดขึ้นโดดเดี่ยว ในสัปดาห์เดียวกัน Swiss Bitcoin Pay ถูกโจมตีทางไซเบอร์แยกต่างหากจนข้อมูลผู้ใช้รั่ว วันที่ 11 กันยายน IDScan ยืนยันการรั่วไหลของใบขับขี่ 153 ล้านฉบับบนดาร์กเว็บ และวันที่ 15 กันยายน กฎหมาย Cyber Resilience Act ของสหภาพยุโรปมีผลบังคับใช้ กำหนดให้ผู้พัฒนากระเป๋าคริปโตต้องรายงานช่องโหว่ภายใน 24 ชั่วโมง

ภาพรวมคือ: กฎระเบียบป้องกันการฟอกเงินทั่วโลกบังคับให้สถาบันการเงินทุกแห่ง — รวมถึงกระดานเทรดคริปโต — ต้องเก็บรวบรวมและเก็บรักษาหลายปีซึ่งเอกสารประจำตัว ภาพใบหน้า และประวัติธุรกรรมของลูกค้า ผลลัพธ์คือคลังข้อมูล KYC ขนาดมหึมานับพันแห่งกระจายทั่วโลก แต่ละแห่งล้วนเป็นเป้าหมาย และแต่ละแห่งล้วนมี "ประตูที่ชอบด้วยกฎหมาย" สำหรับเจ้าหน้าที่รัฐ ยิ่งมีหน่วยงานที่มีอำนาจร้องขอมากเท่าไร โดเมนที่อาจถูกแอบอ้างก็ยิ่งมากเท่านั้น

วงการคริปโตเคยถกเถียงเรื่อง "KYC ขั้นต่ำ" และ "การพิสูจน์แบบไม่เปิดเผยข้อมูล" (zero-knowledge proof) สำหรับตัวตน — ที่ให้คุณพิสูจน์ได้ว่าอายุเกิน 18 หรือไม่อยู่ในบัญชีคว่ำบาตร โดยไม่ต้องยื่นสำเนาพาสปอร์ต กรณี Revolut คือข้อโต้แย้งที่หนักแน่นที่สุดสนับสนุนแนวทางนั้นนับตั้งแต่เหตุการณ์ Ledger รั่วเมื่อปี 2020: ข้อมูลที่ไม่ได้ถูกเก็บ คือข้อมูลที่ไม่มีวันรั่ว

7. บทเรียนสำหรับเวียดนาม: กระดานเทรดทดลอง กฎหมายคุ้มครองข้อมูลส่วนบุคคล และผู้ใช้

เวียดนามอยู่ในช่วงเริ่มต้นของการสร้างตลาดสินทรัพย์ดิจิทัลที่มีการกำกับดูแล: กลไกทดลองตามมติที่ 05/2025/NQ-CP กำหนดให้กระดานเทรดที่ได้รับอนุญาตทำ KYC อย่างครบถ้วน ขณะที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มีผลตั้งแต่ 1 มกราคม 2026 กำหนดหน้าที่และบทลงโทษต่อองค์กรที่ประมวลผลข้อมูล กรณี Revolut แสดงให้เห็นสามสิ่งที่ควรออกแบบตั้งแต่ต้นแทนที่จะแก้ทีหลัง:

1. กระบวนการยืนยันคำขอของเจ้าหน้าที่รัฐต้องเป็นกระบวนการสองทาง: รับหนังสือผ่านช่องทางทางการ โทรกลับผ่านเบอร์ที่ประกาศสาธารณะ ตรวจสอบเลขที่หนังสือ — ห้ามตอบเพียงเพราะโดเมนอีเมล แม้โดเมนนั้นจะเป็น ".gov.vn" ก็ตาม
2. แยกคลังข้อมูล KYC ออกจากข้อมูลธุรกรรม และจำกัดสิทธิ์การเรียกดูทั้งสองพร้อมกัน อันตรายใหญ่ที่สุดในกรณี Revolut คือตัวตนและประวัติ Bitcoin ถูกส่งออกพร้อมกันเป็นชุดเดียว
3. แจ้งเตือนอย่างโปร่งใสและรวดเร็วต่อลูกค้าที่ได้รับผลกระทบ — Revolut ใช้เวลาไม่ถึงสองวันจากจดหมายแจ้งเตือนถึงการยืนยันต่อสาธารณะ นี่คือมาตรฐานที่ผู้ใช้เวียดนามควรเรียกร้องจากกระดานเทรดในประเทศ

สำหรับผู้ใช้รายบุคคล ไม่ว่าจะใช้ Revolut หรือกระดานเทรดใด หลักการป้องกันง่าย ๆ ไม่กี่ข้อ: อย่าใช้หมายเลขโทรศัพท์เดียวกันสำหรับธนาคารและกระดานเทรดคริปโตทุกแห่ง ตั้งรหัส PIN ซิมและขอให้ผู้ให้บริการล็อกการเปลี่ยนซิมทางโทรศัพท์ ใช้กุญแจความปลอดภัยฮาร์ดแวร์แทน OTP ทาง SMS อย่าเก็บสินทรัพย์จำนวนมากไว้ในที่ที่ผูกกับตัวตนจริงหากไม่จำเป็น และถือว่าอีเมลใดที่อ้างถึงธุรกรรมเฉพาะของคุณเป็นสิ่งน่าสงสัยจนกว่าจะยืนยันผ่านแอปทางการ

บทสรุป

Revolut ไม่ได้ถูกแฮกในความหมายทั่วไป และนั่นอาจเป็นสิ่งที่น่ากลัวที่สุด ฝ่ายกำกับดูแลที่ทำหน้าที่ของตนอย่างถูกต้อง — ให้ความร่วมมือกับเจ้าหน้าที่รัฐ — กลายเป็นช่องทางส่งออกข้อมูลที่อ่อนไหวที่สุดของลูกค้าคริปโตผู้มั่งคั่ง 680 ราย เพียงเพราะไม่มีใครตั้งคำถามย้อนกลับ ค่าไถ่ 10,000 BTC แทบแน่นอนว่าจะไม่ถูกจ่าย ICO อาจปรับหรือไม่ปรับ ใบอนุญาตธนาคารสหรัฐฯ อาจล่าช้าไปไม่กี่เดือน แต่สำหรับคน 680 คนที่พาสปอร์ต ใบหน้า และกระเป๋า Bitcoin ถูกวางเรียงกันบน Telegram ความเสียหายไม่มีวันสิ้นสุด

บทเรียนใหญ่ที่สุดไม่ได้เป็นของ Revolut เพียงผู้เดียว แต่เป็นของระบบการเงินทั้งหมดที่กำลังเปลี่ยนสู่ดิจิทัล: เมื่อทุกสถาบันถูกบังคับให้ต้องรู้ว่าลูกค้าของตนคือใคร คำถามที่สำคัญที่สุดจึงกลายเป็น — ใครมีสิทธิ์ถาม และจะรู้ได้อย่างไรว่าผู้ถามนั้นเป็นของจริง

ข้อจำกัดความรับผิดชอบ: บทความนี้มีวัตถุประสงค์เพื่อให้ข้อมูลและการวิเคราะห์เท่านั้น ไม่ใช่คำแนะนำด้านการลงทุน กฎหมาย หรือความปลอดภัยส่วนบุคคล ข้อมูลรวบรวมจากแหล่งสาธารณะ ณ วันที่ 15 กันยายน 2026 (เวลาอังกฤษ) เหตุการณ์ยังคงดำเนินอยู่ และรายละเอียดบางส่วน (หน่วยงานที่ถูกแอบอ้าง จำนวนคำขอ ตัวตนของกลุ่มเรียกค่าไถ่) ยังไม่ได้รับการยืนยันโดยอิสระ ราคา Bitcoin ผันผวนสูง การแปลง 10,000 BTC ≈ 780 ล้านดอลลาร์อ้างอิงราคาราว 78,000 ดอลลาร์ ณ วันที่ 15 กันยายน ผู้อ่านควรศึกษาด้วยตนเองและพิจารณาความเสี่ยงก่อนตัดสินใจ

แหล่งอ้างอิง: The Crypto Times (15 ก.ย. 2026) — "Revolut Data Breach Hits 680 Customers, UK Opens Probe as Hackers Demand 10,000 Bitcoin"; Help Net Security (14 ก.ย.) — "What we know about the Revolut data breach so far"; The Register (14 ก.ย.) — "Revolut falls for fake government requests, hands over customer data"; Financial Times และ City AM (15 ก.ย.); Reuters และ TechCrunch (12 ก.ย.) — คำยืนยันของ Revolut; RTÉ, El Español, Profit.ro (15 ก.ย.) — ตัวเลขรายประเทศ; Recorded Future News — สมมติฐานโดเมนอิตาลี; Bloomberg และ Banking Dive (3 ก.ย.) — การอนุมัติแบบมีเงื่อนไขของ OCC; KuCoin Daily Market Report (15 ก.ย.) — ราคาตลาด