A Binance kriptotőzsde a múlt héten bejelentette, hogy a forró tárcáiból jogosulatlan kifizetések révén nagyjából 6,3 milliárd dollár értékű kriptovaluta tűnt el. A tőzsde előzetes megállapításai szerint a támadó egy DevOps-munkatárs feltört laptopját használhatta ki, és hozzáférést szerezhetett egy belső szolgáltatáshoz, amely lehetővé tette a jogosulatlan tranzakciók megadását. A Binance közölte, hogy a privát kulcsok kiszivárgására egyelőre nem talált bizonyítékot, a támadás pontos lefolyását pedig tovább vizsgálja. Mit árul el az eset a kriptotőzsdék biztonságáról, és hogyan védhetik jobban befektetőik az eszközeiket? Erről beszél Miloš Mázor, a Madison Six vezérigazgatója, amely a crypto4me platformot üzemelteti. Kriptovalutákba 2018 óta fektet be.
A Binance körüli aktuális biztonsági incidens ismét felvetette a kérdést, mennyire biztonságosak a kriptotőzsdék. Mit érdemes levonnunk az ilyen eseményekből, és meg kellene-e változtatniuk a hétköznapi befektetőknek, hogyan bánnak a kriptovalutáikkal?
A legfontosabbnak azt tartom, hogy a befektető tudja, kire bízza a kriptovalutáit, és hogyan védik azokat. A platform mérete és ismertsége önmagában nem garantálja a biztonságot. Az aktív kereskedésre a tőzsdének megvan a maga helye, de hosszú távú tartásnál én mindig megfontolnám saját hardvertárca használatát is. Egyetlen cég infrastruktúrája elleni támadás ráadásul nem jelenti azt, hogy valaki feltörte magát a bitcoinhálózatot.
Szerintem a piac reakciója is figyelmet érdemel. A bitcoin árfolyamának esése az incidens méretéhez képest nem tűnik kiemelkedően erősnek. Ráadásul ezzel egy időben gyengültek a részvénypiacok is, különösen a technológiai papírok. Az egész árfolyammozgást ezért nem lehet automatikusan a Binance elleni hackertámadásnak betudni; egy része összefügghet a befektetők általánosan alacsonyabb kockázatvállalási hajlandóságával.
Ezt a piac nagyobb ellenállóképességének és érettségének jeleként értékelem. Úgy vélem, néhány évvel ezelőtt egy hasonló hír valószínűleg sokkal erősebb pánikreakciót váltott volna ki. A piac ma nagyobb, és szélesebb a befektetői bázisa, így még a nominálisan rekordnagyságú lopásnak is más a relatív súlya. Ez természetesen semmit sem von le a biztonsági hiba súlyosságából, sem az érintett ügyfelek kárából.
Érdekelheti Önt: A Solana hat év legnagyobb változásán esett át
A támadással kapcsolatban úgynevezett forró tárcákról esik szó, amelyek az internetre vannak csatlakoztatva. Mi a különbség közöttük és a hideg tárcák között, és hogyan kellene egy jól védett tőzsdének elosztania az eszközöket a kétféle megőrzési mód között?
Leegyszerűsítve arról van szó, hogy az eszközökkel lehet-e az internetre csatlakoztatott rendszeren keresztül rendelkezni. A forró tárcák lehetővé teszik a kifizetések gyors feldolgozását, de jobban ki vannak téve a távoli támadásoknak. Hideg megőrzés esetén a privát kulcsok az online környezeten kívül maradnak. Maguk a kriptovaluták mindkét esetben a blokkláncon vannak nyilvántartva; offline az az eszköz van, amellyel a tranzakciót jóváhagyják.
Szerintem a forró tárcákban csak a mindennapi működéshez szükséges összegnek szabadna maradnia. Az eszközök döntő részét korlátozott hozzáférésű környezetben kellene tárolni, elkülönített jogosultságokkal és szigorúbb ellenőrzési mechanizmusokkal. Univerzálisan helyes százalék viszont nincs, ez a kifizetések volumenétől és az adott szolgáltatás működésétől függ. Fontosak az átutalási limitek és az üzemi tárcák feltöltésének független jóváhagyása is. A hideg megőrzés sem segít, ha a kezelője jóváhagy egy csalárd tranzakciót.
A eddigi elemzések szerint a támadó a tranzakciók aláírására szolgáló belső rendszert használhatta ki, nem pedig közvetlenül szerezte meg a privát kulcsot. Mit árul el egy ilyen forgatókönyv a nagy kriptoplatformok biztonsági gyengeségeiről?
Azt mutatja, hogy a biztonság nem ér véget a privát kulcsnál. A támadónak nem kell ellopnia, ha rá tudja venni a legitim rendszert, hogy helyette írjon alá egy jogosulatlan tranzakciót. A blokklánc ilyenkor érvényesnek ismerheti el az aláírást, de nem ismeri fel, hogy az az ügyfél akaratával vagy a tőzsde szabályaival ellentétes volt.
A kulcsok védelménél ezért ugyanilyen fontos a hozzáférések kezelése és annak ellenőrzése, hogy mit írnak alá valójában. A Binance esetében azonban végleges technikai következtetést egyelőre nem vonnék le. A cég közölte, hogy nem talált bizonyítékot a privát kulcsok kiszivárgására, ugyanakkor több ponton is elismerte az infrastruktúra megsértését. A támadás pontos lefolyását a vizsgálatnak kell tisztáznia.
Milyen biztonsági intézkedésekkel kellene rendelkeznie egy kriptotőzsdének, hogy egyetlen rendszer feltörése ne vezethessen az ügyfélalapok nagymértékű elvesztéséhez? És milyen szerepet játszik ebben a területen az európai szabályozás, különösen a DORA-rendelet?
A rendszernek számolnia kell azzal, hogy egy-egy számítógép, fiók vagy munkatárs kompromittálódhat. Egy ilyen hiba nem tehetné lehetővé, hogy valaki szabadon rendelkezzen az ügyfelek teljes vagyonával. Az alap a hatáskörök és hozzáférések szétválasztása, a tranzakciós limitek, a szokatlan átutalások folyamatos figyelése és azok gyors leállításának lehetősége. A jelentős műveleteknek valóban független jóváhagyáson kell átmenniük. Több aláírás nem elég, ha az összes jóváhagyó ugyanarra a megtámadott rendszerre hagyatkozik.
A DORA ebből a szempontból azért fontos, mert a technológiai kockázatok kezelését számon kérhető kötelezettséggé teszi. 2025. január 17-től a MiCA szerint engedélyezett kriptoszolgáltatókra is alkalmazandó. Magában foglalja az információs és kommunikációs technológiákkal (IKT) kapcsolatos kockázatok kezelését, az IKT-val összefüggő súlyos incidensek kezelését és bejelentését, a digitális működési rezilienciatesztelést, valamint a külső IKT-szolgáltatókkal kapcsolatos kockázatok kezelését. Semmilyen szabályozás nem garantálja, hogy nem történik támadás. Olyan keretet teremt viszont, amelyben a cégnek rendszeresen irányítania kell a biztonságot, és képesnek kell lennie a működés helyreállítására.
A Madison Six teljesíti mindazokat a biztonsági és működési kötelezettségeket, amelyek ránk mint engedélyezett szolgáltatóra vonatkoznak, beleértve a MiCA és a DORA követelményeit is. A crypto4me szolgáltatásnál többfaktoros hitelesítést, titkosítást és rendszeres penetrációs teszteket alkalmazunk. Az engedély megszerzésével számunkra nem ér véget a biztonságon végzett munka; az a működés állandó része.
Ne hagyja ki: A 10 legjobb kriptovaluta 1 dollár alatt
Az incidenssel kapcsolatban szóba kerül az EIP-7702 technológia is, amely lehetővé teszi a hétköznapi kriptotárcák funkcióinak bővítését. Jelenthet-e a visszaélés vele kockázatot a kisbefektetőknek is? Hogyan ismerhetik fel, hogy a tárca használata közben veszélyes jogosultságot adnak meg?
Igen. Az EIP-7702 lehetővé teszi, hogy egy hétköznapi Ethereum-fiók okosszerződés-funkciókat használjon, például több műveletet összevonjon, vagy valaki mással fizettesse meg a tranzakciós díjat. A felhasználó eközben olyan felhatalmazást ír alá, amely a fiókjához egy konkrét programkódot rendel. Ha a felhasználó káros vagy megbízhatatlan kód hozzárendelését engedélyezi, ezzel a támadó lehetőséget kaphat arra, hogy bizonyos műveleteket végezzen az eszközeivel, mégpedig az adott kódból következő jogosultságok keretein belül. Egy ilyen beállítás az eredeti tranzakció befejezése után is fennmaradhat.
Figyelmeztető jel a tárca „frissítésére”, delegálására vagy olyan aláírásra irányuló váratlan kérés, amelynek következményeit nem magyarázzák el érthetően. Az, hogy nem jelenik meg azonnali fizetés, még nem jelenti azt, hogy az aláírás ártalmatlan. Ha nem tudom, pontosan mit és kinek hagyok jóvá, nem erősítem meg. Az oldal lecsatlakoztatása ráadásul nem szünteti meg az már megadott delegálást. A hardvertárca sem akadályozza meg, hogy a felhasználó maga írjon alá egy veszélyes jogosultságot. Az EIP-7702 szerepét egy konkrét támadásban ugyanakkor ellenőrzött technikai megállapítások alapján kell megítélni.
Az Európai Unió fokozatosan vezeti be a MiCA-szabályokat a kriptovalutákkal kapcsolatos szolgáltatások nyújtóira. Mi a gyakorlati különbség a hétköznapi befektető szempontjából az engedélyezett és az engedéllyel nem rendelkező platform használata között, különösen biztonsági incidens esetén?
Éppen a Binance tőzsdének, amelyet az aktuális hackertámadás sújtott, még nem sikerült megszereznie a MiCA-engedélyt. A mi társaságunk, a Madison Six, amely a crypto4me szolgáltatást üzemelteti, 2025. december 18-a óta rendelkezik vele a Szlovák Nemzeti Bank engedélye alapján. Az engedély kiterjed az ügyfelek kriptoeszközeinek megőrzésére és kezelésére is. Végigmentünk az engedélyezési eljáráson, és a kapcsolódó biztonsági, szervezeti és tőkekövetelményeket folyamatosan teljesítjük.
Az engedélyezett szolgáltatónál van egy konkrét jogi személy, amely európai szabályozó felügyelete alatt áll. Meg kell felelnie a tőke- és szervezeti követelményeknek, védenie kell az ügyféleszközöket, és kezelnie kell a panaszokat. Incidens esetén az ügyfél így lényegesen világosabb jogi környezetbe kerül. Egy külföldi, engedély nélküli platformnál jogainak érvényesítése jóval nehezebb lehet.
Az engedélyt azonban mindig közvetlenül az ESMA vagy a nemzeti szabályozó nyilvántartásában ellenőrizném. Nem elég egy ismert logó vagy a weboldalon szereplő állítás. Fontos, hogy az ügyfél melyik társasággal köt szerződést, és hogy ez a társaság mely szolgáltatásokra rendelkezik engedéllyel. A szabályozás növeli a szolgáltató felelősségét és átláthatóságát, önmagában azonban nem szünteti meg sem a működési kockázatot, sem a kriptovaluták árfolyamingadozását.
Ne hagyja ki: A MiCA valóban átalakítani kezdi a kriptopiacot
A nagy kriptoplatformok hasonló támadások után megígérhetik, hogy megtérítik az ügyfelek veszteségeit. Milyen védelemre van azonban a befektetőknek valóban jogi igényük? És létezik a kriptoszektorban bármi, ami összevethető a banki betétbiztosítással?
A döntő tényező a szolgáltató jogi rezsimje, az adott szolgáltatás és a veszteség körülményei. A MiCA előírja, hogy a letétkezelő felel az ügyfelek kriptoeszközeinek vagy hozzáférési eszközeinek elvesztéséért, ha az neki betudható incidens következménye. Ez a felelősség a elveszett eszközök veszteség időpontjában érvényes piaci értékére korlátozódik. Nem arról van tehát szó, hogy bármilyen kárt automatikusan, minden körülmények között megtérítenének.
Maguk a kriptoeszközök nem tartoznak az európai, 100 ezer euróig terjedő banki betétbiztosítási rendszer védelme alá. A tőzsdék tartalékalapja, például a SAFU sem ilyen törvényi rendszer. Az esetleges magánbiztosításnál ismerni kell annak hatályát és kizárásait. És még ha az ügyfélnek van is jogi igénye, a tényleges kifizetés függ a cég vagyoni helyzetétől és az igény érvényesíthetőségétől is. A kártérítési ígéretet ezért a konkrét feltételek és a későbbi lépések alapján kell értékelni.
Biztonsági incidenseknél egyes stablecoinok kibocsátói zárolhatják az ellopott eszközöket. Az átlagos befektető számára ez a lehetőség elsősorban előny, vagy bizonyos kockázatokat is rejt? Hogyan viszonyul ehhez a kérdéshez az európai szabályozás?
Lopás esetén ez jelentős előny, mert a gyors zárolás megakadályozhatja az ellopott tokenek további átutalását. Ez azonban nem jelenti a pénz automatikus visszajuttatását a károsultaknak. Ennek további sorsáról az illetékes jogi eljárásban döntenek.
Egyúttal ez azt is mutatja, hogy az ilyen stablecoin az adott kibocsátótól és annak jogköreitől függ. A zárolás összefügghet például szankciókkal vagy az illetékes hatóság döntésével, és átmenetileg elérhetetlenné teheti az eszközöket olyan ember számára is, aki maga semmit sem követett el. A befektetőnek ezért tudnia kell, ki bocsátja ki a tokent, és milyen feltételekkel korlátozható a használata.
A MiCA szabályozza a kibocsátók engedélyezését, a fedezetet és az érintett stablecoinok birtokosainak jogait. Az elektronikus pénz tokenek esetében névértéken történő visszaváltási jogot állapít meg. A szankciókhoz és a pénzmosás elleni küzdelemhez kapcsolódó kötelezettségek a szabályok további rétegét alkotják. Az európai szabályozás egyértelműbb feltételeket teremt, de a kibocsátó jogköre az egyes tokenek zárolására ettől nem szűnik meg.
A nagyszabású kriptotámadások mögött nemcsak technikai sebezhetőségek állnak, hanem az emberi tényező és a social engineering is. Milyen módszereket használnak ma a támadók a leggyakrabban, és mire figyeljenek maguk a kriptofelhasználók?
A támadók gyakran az emberen keresztül keresik az utat. Az ügyfélszolgálatot, kollégákat vagy üzleti partnereket utánozzák, hamis álláshirdetéseket küldenek, és megpróbálják rávenni az áldozatot egy program telepítésére vagy egy csalárd kérés jóváhagyására. Célzott támadásoknál hetekig építhetik a bizalmat. A mesterséges intelligencia ráadásul megkönnyíti számukra a meggyőző üzenetek, valamint hamis hang vagy videó készítését.
A nyilvánosan elérhető információk és az amerikai biztonsági szervek következtetései szerint a támadás egy észak-koreai hackercsoporthoz köthető. A támadás pontos technikai lefolyása a nyomozás tárgya marad.
A felhasználók számára ebből elsősorban a független ellenőrzés szükségessége következik. A kijelzőn megjelenő ismert név sem elégséges bizonyíték a személyazonosságra. Egy váratlan kérést alkalmazás telepítésére, távoli hozzáférésre vagy pénzátutalásra egy másik, korábban ismert elérhetőségen ellenőriznék.
Érdekelheti Önt: Top kripto podcastok
Nagy hackertámadások után gyakran megjelennek csalárd kártérítési ajánlatok és hamis ügyfélszolgálatok is. Miből ismerheti fel a befektető az ilyen csalást, és milyen információkat nem kérhet soha tőle egy legitim szolgáltató?
A csalók a félelmet és a sürgetést használják ki. Azt állítják például, hogy azonnal csatlakoztatni kell a tárcát egy kártérítési weboldalhoz, díjat kell fizetni a feloldásért, vagy az eszközöket át kell utalni egy „biztonságos címre”. Gyanús a állítólagos ügyfélszolgálattól érkező kéretlen privát üzenet is.
A legitim ügyfélszolgálat nem fog seedet, privát kulcsot vagy jelszót kérni az ügyféltől. Az egyszer használatos bejelentkezési vagy engedélyezési kódokat sem diktáltathatja. Az a kód, amelyet a hivatalos alkalmazásba saját bejelentkezéskor ad meg, más helyzet, mint amikor idegennek mondja el. Ugyanilyen óvatosan kell megítélni a tranzakció vagy jogosultság aláírására irányuló kéréseket.
Az ügyfélszolgálatot magam keresném meg a hivatalos alkalmazáson vagy kézzel megnyitott weboldalon keresztül. Ha személyazonosságot vagy tranzakciót kell igazolni, annak ellenőrzött csatornán kell zajlania. Az ellopott kriptovaluták visszaszerzéséért állítólagos adó vagy előleg befizetésének kérése erős figyelmeztető jel.
Az ilyen incidensek egyes befektetőket arra késztethetnek, hogy a kriptoeszközeiket a tőzsdéről saját tárcába helyezzék át. Mikor van értelme az önálló őrzésnek, és mikor lehet ehelyett biztonságosabb egy szabályozott szolgáltató igénybevétele?
Hosszú távú tartásra megfelelő megoldásnak tartom a hardveres tárcát, ha a befektető érti a használatát, és biztonságosan meg tudja őrizni a helyreállítási kifejezést. Közvetlen irányítást kap az eszközei felett, de egyúttal átveszi a felelősséget a biztonsági mentésért, az átutalások helyességéért és az esetleges öröklésért. Az elveszett seedet semmilyen ügyfélszolgálat nem állítja ki újra.
Annak, aki a helyreállítási kifejezést a telefonjára mentené, e-mailben küldené el, vagy rendszeresen jóváhagyna ismeretlen kéréseket, biztonságosabb lehet a minőségi szabályozott letétkezelés. Ugyanígy praktikus lehet az aktív kereskedéshez. Fontos összevetni mindkét változat valós kockázatait és a saját képességeinket. Sok befektetőnek van értelme a kombinációnak: a hosszú távú részt önállóan tartani, a szolgáltatónál pedig a kereskedésre szánt eszközöket hagyni.
Egyes tőzsdék biztonsági incidenseknél átmenetileg felfüggesztik a kifizetéseket és az átutalásokat. Hogyan különítheti el az ügyfél a megelőző biztonsági intézkedést a platform működésével kapcsolatos súlyosabb problémáktól? És mennyiben segít neki a tőzsde megbízhatóságának megítélésében az úgynevezett proof of reserves?
Maga a kifizetések felfüggesztése még nem feltétlenül jelent fizetésképtelenséget. Támadás esetén szükséges lehet a további veszteségek megakadályozásához. Az ügyfélnek figyelnie kell a kommunikáció konkrétságát és rendszerességét, a korlátozások terjedelmét, és azt, hogy a bejelentett lépések ténylegesen megvalósulnak-e. Figyelmeztető jel a határidők magyarázat nélküli ismételt eltolása vagy a kifizetést újabb befizetéshez kötő követelés. A jó kommunikáció azonban önmagában nem bizonyítja a cég pénzügyi egészségét.
A Binance november 1-jével bejelentette a kifizetések fokozatos helyreállítását és az ellopott eszközök mintegy 90 százalékának pótlását saját forrásból. Az ügyfélegyenlegek fedezetének pótlása pedig nem azonos azzal, hogy visszaszerzik az ellopott eszközöket az elkövetőktől.
A proof of reserves segíthet ellenőrizni egyes eszközöket, és az alkalmazott módszertől függően azt is, hogyan viszonyulnak a kimutatott ügyfélegyenlegekhez. Általában azonban nem ad teljes képet az összes kötelezettségről, az eszközök esetleges megterheléséről, sem a belső kontrollok minőségéről. Hasznos kirakós-darab, de nem teljes értékű gazdálkodási audit, és nem garancia a kifizetések jövőbeli elérhetőségére.
Ne hagyja ki: A kriptovaluták leggyorsabb elterjedésével rendelkező TOP 10 ország
Ha zárásként néhány alapvető szabályt kellene ajánlania az átlagos európai befektetőnek, amelyet a kriptoeszközök tartásakor és kereskedésekor érdemes követni, melyek lennének azok?
Saját stratégiával kezdeném. Tudnám, miért vásárolok kriptovalutát, mennyi időre, és mekkora esést vagyok képes pénzügyileg és pszichésen elviselni. A befektetés nagyságának igazodnia kell a teljes vagyonhoz, és nem szabad veszélyeztetnie a mindennapi költségvetést. A gyors áremelkedés vagy az esés miatti félelem nyomása alatt hozott döntés általában drága.
Ezután ellenőrizném a szolgáltatót és az őrzés módját. A fiókot erős, egyedi jelszóval és többfaktoros hitelesítéssel védeném, lehetőleg biztonsági kulccsal vagy passkey-jel, ha a szolgáltatás támogatja. A saját tárca helyreállítási kifejezését offline őrizném, és senkinek sem árulnám el.
Minden átutalás előtt ellenőrizném a teljes címet és a megfelelő hálózatot, új címnél pedig először kis próbaösszeget küldenék. Nem írnék alá olyan jogosultságot, amelyet nem értek, és folyamatosan képezném magam. A legfontosabbnak azt tartom, hogy megértsük: a befektetési stratégia és az őrzés biztonsága összetartozik. Egy jó vásárlási döntést is leértékelhet egyetlen felesleges biztonsági hiba.
A fotó forrása: Miloš Mázor archívuma
