Lo stato di revoca è il segnale che un verificatore usa per determinare se una credenziale è ancora valida oppure è stata ritirata dall'emittente. Nei sistemi di identità decentralizzata, una credenziale può essere valida al momento dell'emissione e in seguito diventare revocata perché è stata smarrita, compromessa, scaduta in anticipo o non soddisfa più una policy. Controllare lo stato di revoca è essenziale perché una credenziale firmata può comunque sembrare autentica anche dopo che l'emittente l'ha invalidata.
Negli attacchi, un avversario può rubare un wallet, copiare una credenziale o riprodurre una vecchia credenziale che non dovrebbe più essere accettata. Se il verificatore non controlla correttamente lo stato, l'attaccante può continuare a usare una credenziale dopo che è stata ritirata. I difensori mitigano questo rischio con status list, controlli di revoca online, credenziali a breve durata e una gestione attenta della cache. La sfida consiste nel bilanciare sicurezza, privacy e disponibilità, poiché i controlli di revoca devono essere affidabili senza esporre dati utente non necessari.