Kryptomenová burza Binance minulý týždeň oznámila, že z jej horúcich peňaženiek odišli pri neoprávnených výberoch kryptomeny v hodnote približne 6,3 miliardy dolárov. Podľa predbežných zistení burzy mohol útočník využiť kompromitovaný notebook pracovníka DevOps a získať prístup k internej službe, ktorá umožnila zadávať neautorizované transakcie. Binance uviedla, že zatiaľ nenašla dôkaz o úniku súkromných kľúčov, presný priebeh útoku naďalej vyšetruje. Čo incident vypovedá o bezpečnosti kryptomenových búrz a ako môžu investori lepšie chrániť svoje prostriedky? O tom hovorí Miloš Mázor, generálny riaditeľ spoločnosti Madison Six, ktorá prevádzkuje platformu crypto4me. Investovaniu do kryptomien sa venuje od roku 2018.
Aktuálny bezpečnostný incident okolo Binance znovu otvoril otázku, nakoľko sú kryptomenové burzy bezpečné. Čo by sme si z podobných udalostí mali odniesť a mali by zmeniť spôsob, akým bežní investori nakladajú so svojimi kryptomenami?
Za najdôležitejšie považujem, aby investor vedel, komu svoje kryptomeny zveruje a ako sú zabezpečené. Veľkosť platformy ani jej známosť samy osebe bezpečnosť nezaručujú. Pre aktívne obchodovanie má burza svoje miesto, ale pri dlhodobom držaní by som vždy zvažoval aj vlastnú hardvérovú peňaženku. Útok na infraštruktúru jednej spoločnosti pritom neznamená, že niekto prelomil samotnú bitcoinovú sieť.
Pozornosť podľa mňa zaslúži aj reakcia trhu. Pokles ceny bitcoinu mi vzhľadom na rozsah incidentu nepripadá mimoriadne výrazný. V rovnakom čase navyše oslabovali akciové trhy, najmä technologické tituly. Celý cenový pohyb preto nemožno automaticky pripísať hacku Binance; časť môže súvisieť so všeobecne nižšou ochotou investorov podstupovať riziko.
Vnímam to ako znak väčšej robustnosti a vyspelosti trhu. Domnievam sa, že pred niekoľkými rokmi by podobná správa pravdepodobne vyvolala výraznejšiu panickú reakciu. Trh je dnes väčší a má širšiu investorskú základňu, takže aj nominálne rekordná krádež má inú relatívnu váhu. To samozrejme nijako nezmenšuje závažnosť bezpečnostného zlyhania ani ujmu dotknutých klientov.
Mohlo by Vás zaujímať: Solana prešla najväčšou zmenou za šesť rokov
V súvislosti s útokom sa hovorí o takzvaných horúcich peňaženkách, ktoré sú pripojené k internetu. Aký je rozdiel medzi nimi a studenými peňaženkami a ako by mala dobre zabezpečená burza rozdeľovať prostriedky medzi oba typy úschovy?
Zjednodušene ide o to, či možno s prostriedkami nakladať prostredníctvom systému pripojeného k internetu. Horúce peňaženky umožňujú rýchlo spracúvať výbery, ale sú viac vystavené vzdialeným útokom. Pri studenej úschove zostávajú súkromné kľúče mimo online prostredia. Samotné kryptomeny sa v oboch prípadoch evidujú na blockchaine; offline je prostriedok, ktorým sa transakcia schvaľuje.
V horúcich peňaženkách by podľa mňa mala zostávať len suma potrebná na bežnú prevádzku. Prevažná časť aktív by mala byť uložená v prostredí s obmedzeným prístupom, oddelenými oprávneniami a prísnejšími kontrolnými mechanizmami. Univerzálne správne percento však neexistuje, závisí od objemu výberov a fungovania konkrétnej služby. Dôležité sú aj limity prevodov a nezávislé schvaľovanie dopĺňania prevádzkových peňaženiek. Ani studená úschova nepomôže, ak jej obsluha schváli podvodnú transakciu.
Podľa doterajších analýz mohol útočník zneužiť interný systém na podpisovanie transakcií, nie priamo získať súkromný kľúč. Čo podobný scenár vypovedá o bezpečnostných slabinách veľkých kryptomenových platforiem?
Ukazuje to, že bezpečnosť nekončí pri samotnom súkromnom kľúči. Útočník ho nemusí odcudziť, ak dokáže prinútiť legitímny systém, aby za neho podpísal neoprávnenú transakciu. Blockchain potom môže overiť platný podpis, ale nepozná, že bol v rozpore s vôľou klienta alebo s pravidlami burzy.
Rovnako dôležité ako ochrana kľúčov je preto riadenie prístupov a kontrola toho, čo sa vlastne podpisuje. Pri Binance by som však konečný technický záver zatiaľ nerobil. Spoločnosť uviedla, že nenašla dôkaz úniku súkromných kľúčov, a súčasne pripustila viac bodov narušenia infraštruktúry. Presný priebeh útoku musí objasniť vyšetrovanie.
Aké bezpečnostné opatrenia by mala mať kryptomenová burza nastavené, aby kompromitácia jediného systému nemohla viesť k rozsiahlej strate klientskych prostriedkov? A akú úlohu v tejto oblasti zohráva európska regulácia, najmä nariadenie DORA?
Systém musí počítať s tým, že jednotlivý počítač, účet alebo zamestnanec môže byť kompromitovaný. Takéto zlyhanie by nemalo umožniť voľne nakladať s celým klientskym majetkom. Základom je oddelenie právomocí a prístupov, limity transakcií, priebežné sledovanie neobvyklých prevodov a možnosť ich rýchleho zastavenia. Významné operácie majú prechádzať skutočne nezávislým schválením. Viac podpisov nestačí, ak všetky schvaľujúce osoby spoliehajú na ten istý napadnutý systém.
DORA je v tomto smere dôležitá, pretože z riadenia technologických rizík robí vymáhateľnú povinnosť. Od 17. januára 2025 sa uplatňuje aj na poskytovateľov krypto služieb oprávnených podľa MiCA. Zahŕňa riadenie rizík v oblasti informačných a komunikačných technológií (IKT), riešenie a hlásenie závažných incidentov súvisiacich s IKT, testovanie digitálnej prevádzkovej odolnosti a riadenie rizík spojených s externými poskytovateľmi IKT služieb. Žiadna regulácia nezaručí, že k útoku nedôjde. Vytvára však rámec, v ktorom firma musí bezpečnosť systematicky riadiť a vedieť obnoviť prevádzku.
V Madison Six plníme bezpečnostné a prevádzkové povinnosti, ktoré sa na nás ako na licencovaného poskytovateľa vzťahujú, vrátane požiadaviek MiCA a DORA. Pri službe crypto4me uplatňujeme viacfaktorové overovanie, šifrovanie a pravidelné penetračné testy. Získaním licencie pre nás práca na bezpečnosti nekončí; je trvalou súčasťou prevádzky.
Neprehádzajte: Top 10 kryptomien pod 1 dolár
V súvislosti s incidentom sa spomína aj technológia EIP-7702, ktorá umožňuje rozšíriť funkcie bežných kryptomenových peňaženiek. Môže jej zneužitie predstavovať riziko aj pre drobných investorov? Ako môžu poznať, že pri používaní peňaženky udeľujú nebezpečné oprávnenie?
Áno. EIP-7702 umožňuje bežnému účtu na Ethereu využívať funkcie inteligentného kontraktu, napríklad spojiť viac úkonov alebo nechať niekoho iného zaplatiť transakčný poplatok. Používateľ pritom podpisuje autorizáciu, ktorá jeho účtu priraďuje konkrétny programový kód. Ak používateľ autorizuje priradenie škodlivého alebo nedôveryhodného kódu, môže tým útočník získať možnosť vykonávať určité operácie s jeho prostriedkami, a to v rozsahu oprávnení vyplývajúcich z daného kódu. Takéto nastavenie môže pretrvať aj po dokončení pôvodnej transakcie.
Varovaním je neočakávaná žiadosť o „upgrade“ peňaženky, delegáciu alebo podpis, ktorého dôsledky nie sú zrozumiteľne vysvetlené. Skutočnosť, že sa nezobrazuje okamžitá platba, ešte neznamená, že je podpis neškodný. Ak neviem, čo presne schvaľujem a komu, nepotvrdím to. Samotné odpojenie webu navyše už udelenú delegáciu neruší. Ani hardvérová peňaženka nezabráni tomu, aby používateľ sám podpísal nebezpečné oprávnenie. Úlohu EIP-7702 v konkrétnom útoku je pritom nutné posudzovať podľa overených technických zistení.
Európska únia postupne zavádza pravidlá MiCA pre poskytovateľov služieb súvisiacich s kryptomenami. Aký je z pohľadu bežného investora praktický rozdiel medzi využívaním licencovanej a nelicencovanej platformy, najmä ak dôjde k bezpečnostnému incidentu?
Práve burze Binance, ktorú zasiahol aktuálny hackerský útok, sa licenciu MiCA zatiaľ získať nepodarilo. Naša spoločnosť Madison Six, ktorá prevádzkuje službu crypto4me, ju má od 18. decembra 2025 na základe povolenia Národnej banky Slovenska. Povolenie zahŕňa aj úschovu a správu kryptoaktív klientov. Prešli sme licenčným konaním a súvisiace bezpečnostné, organizačné a kapitálové povinnosti priebežne plníme.
Pri licencovanom poskytovateľovi existuje konkrétna právnická osoba pod dohľadom európskeho regulátora. Musí spĺňať kapitálové a organizačné požiadavky, chrániť klientske aktíva a riešiť sťažnosti. Pri incidente tak klient vstupuje do podstatne jasnejšieho právneho prostredia. Pri zahraničnej nelicencovanej platforme môže byť vymáhanie jeho práv výrazne ťažšie.
Licenciu by som však vždy overoval priamo v registri ESMA alebo národného regulátora. Nestačí známe logo ani tvrdenie na webe. Dôležité je, s akou spoločnosťou klient uzatvára zmluvu a pre ktoré služby má táto spoločnosť oprávnenie. Regulácia zvyšuje zodpovednosť a transparentnosť poskytovateľa, sama osebe však neodstraňuje prevádzkové riziko ani kolísanie ceny kryptomien.
Nenechajte si ujsť: MiCA začína skutočne meniť kryptotrh
Veľké kryptomenové platformy môžu po podobných útokoch prisľúbiť, že klientom straty nahradia. Na akú ochranu však majú investori skutočne právny nárok? A existuje v kryptomenovom sektore niečo porovnateľné s poistením bankových vkladov?
Rozhodujúci je právny režim poskytovateľa, konkrétna služba a okolnosti straty. MiCA stanovuje, že poskytovateľ úschovy zodpovedá za stratu klientskych kryptoaktív alebo prístupových prostriedkov, ak vznikla v dôsledku incidentu, ktorý možno pripísať jemu. Táto zodpovednosť je obmedzená trhovou hodnotou stratených aktív v okamihu straty. Nejde teda o automatickú náhradu akejkoľvek škody za všetkých okolností.
Samotné kryptoaktíva nie sú kryté európskym systémom poistenia bankových vkladov do 100-tisíc eur. Ani rezervný fond burzy, napríklad SAFU, nie je takýmto zákonným systémom. Pri prípadnom súkromnom poistení je nutné poznať jeho rozsah a výluky. A aj keď klient právny nárok má, skutočné vyplatenie závisí aj od majetkovej situácie firmy a vymožiteľnosti nároku. Prísľub náhrady je preto potrebné hodnotiť podľa konkrétnych podmienok a nasledujúcich krokov.
Pri bezpečnostných incidentoch môžu emitenti niektorých stablecoinov zablokovať odcudzené prostriedky. Je táto možnosť pre bežného investora predovšetkým výhodou, alebo prináša aj určité riziká? Ako k tejto problematike pristupuje európska regulácia?
Pri krádeži je to významná výhoda, pretože rýchla blokácia môže zabrániť ďalšiemu prevodu odcudzených tokenov. Neznamená to však automatické vrátenie peňazí poškodeným. O ich ďalšom osude sa rozhoduje v príslušnom právnom procese.
Súčasne to ukazuje, že takýto stablecoin závisí od konkrétneho emitenta a jeho právomocí. Blokácia môže súvisieť napríklad so sankciami alebo rozhodnutím príslušného orgánu a môže dočasne znepristupniť prostriedky aj človeku, ktorý sám nič neurobil. Investor by preto mal vedieť, kto token vydáva a za akých podmienok môže byť jeho použitie obmedzené.
MiCA upravuje povoľovanie emitentov, krytie a práva držiteľov príslušných stablecoinov. Pri tokenoch elektronických peňazí stanovuje právo na spätnú výmenu v nominálnej hodnote. Povinnosti súvisiace so sankciami a bojom proti praniu špinavých peňazí tvoria ďalšiu vrstvu pravidiel. Európska regulácia prináša jasnejšie podmienky, ale právomoc emitenta blokovať konkrétne tokeny tým nezaniká.
Za radom rozsiahlych kryptomenových útokov stoja nielen technické zraniteľnosti, ale aj ľudský faktor a sociálne inžinierstvo. Aké metódy dnes útočníci najčastejšie využívajú a na čo by si mali dávať pozor samotní používatelia kryptomien?
Útočníci často hľadajú cestu cez človeka. Napodobňujú zákaznícku podporu, kolegov alebo obchodných partnerov, posielajú falošné pracovné ponuky a snažia sa obeť prinútiť k inštalácii programu alebo k schváleniu podvodnej požiadavky. Pri cielených útokoch môžu dôveru budovať týždne. Umelá inteligencia im navyše uľahčuje vytváranie presvedčivých správ aj falošného hlasu alebo videa.
Podľa verejne dostupných informácií a záverov amerických bezpečnostných orgánov môže byť útok spájaný so severokórejskou hackerskou skupinou. Presný technický priebeh útoku zostáva predmetom vyšetrovania.
Pre používateľov z toho vyplýva hlavne potreba nezávislého overovania. Ani známe meno na displeji nie je dostatočným dôkazom identity. Neočakávanú požiadavku na inštaláciu aplikácie, vzdialený prístup alebo prevod peňazí by som si overil iným, predtým známym kontaktom.
Mohlo by vás zaujímať: Top podcasty o kryptomenách
Po veľkých hackerských útokoch sa často objavujú aj podvodné ponuky kompenzácií alebo falošná zákaznícka podpora. Podľa čoho môže investor takýto podvod rozpoznať a aké informácie by od neho legitímny poskytovateľ nikdy nemal požadovať?
Podvodníci využívajú strach a naliehavosť. Tvrdia napríklad, že je nutné okamžite pripojiť peňaženku ku kompenzačnému webu, zaplatiť poplatok za odblokovanie alebo previesť prostriedky na „bezpečnú adresu“. Podozrivá je aj nevyžiadaná súkromná správa od údajnej podpory.
Legitímna podpora od klienta nebude chcieť seed, súkromný kľúč ani heslo. Nemal by jej ani diktovať jednorazové prihlasovacie či autorizačné kódy. Kód zadávaný do oficiálnej aplikácie pri vlastnom prihlásení je iná situácia než jeho oznamovanie cudziemu človeku. Rovnako obozretne treba posudzovať žiadosti o podpis transakcie alebo oprávnenia.
Podporu by som kontaktoval sám cez oficiálnu aplikáciu alebo ručne otvorený web. Ak je nutné doložiť totožnosť či transakciu, musí to prebehnúť overeným kanálom. Požiadavka na zaplatenie údajnej dane či zálohy za vrátenie odcudzených kryptomien je silný varovný signál.
Podobné incidenty môžu niektorých investorov primäť k presunu kryptomien z burzy do vlastnej peňaženky. Kedy dáva vlastná úschova zmysel a kedy môže byť naopak bezpečnejšie využiť služby regulovaného poskytovateľa?
Pre dlhodobé držanie považujem hardvérovú peňaženku za vhodné riešenie, ak investor rozumie jej obsluhe a dokáže bezpečne uchovať obnovovaciu frázu. Získa priamu kontrolu nad prostriedkami, ale zároveň preberá zodpovednosť za zálohu, správnosť prevodov a prípadné dedičstvo. Stratený seed mu žiadna zákaznícka podpora znova nevystaví.
Pre človeka, ktorý by si obnovovaciu frázu uložil do telefónu, posielal ju e-mailom alebo pravidelne potvrdzoval neznáme požiadavky, môže byť kvalitná regulovaná úschova bezpečnejšia. Rovnako tak môže byť praktická pre aktívne obchodovanie. Dôležité je porovnávať skutočné riziká oboch variantov a vlastné schopnosti. Pre mnohých investorov dáva zmysel kombinácia: dlhodobú časť držať samostatne a u poskytovateľa ponechať prostriedky určené na obchodovanie.
Niektoré burzy pri bezpečnostných incidentoch dočasne pozastavujú výbery a prevody. Ako môže klient rozlíšiť preventívne bezpečnostné opatrenie od závažnejších problémov s fungovaním platformy? A nakoľko mu pri posudzovaní dôveryhodnosti burzy pomáha takzvaný proof of reserves?
Samotné pozastavenie výberov ešte nemusí znamenať platobnú neschopnosť. Pri útoku môže byť nevyhnutné, aby sa zabránilo ďalším stratám. Klient by mal sledovať konkrétnosť a pravidelnosť komunikácie, rozsah obmedzení a to, či sa oznámené kroky skutočne plnia. Varovaním je opakované posúvanie termínov bez vysvetlenia alebo požiadavka na ďalší vklad podmieňujúci výber. Ani dobrá komunikácia však sama o sebe finančné zdravie firmy nepreukazuje.
Binance k 1. novembru oznámila postupné obnovenie výberov a doplnenie približne 90 percent odcudzených aktív z vlastných zdrojov. Doplnenie krytia klientskych zostatkov pritom nie je to isté ako získanie ukradnutých prostriedkov späť od páchateľov.
Proof of reserves môže pomôcť overiť vybrané aktíva a podľa použitej metódy aj ich vzťah k vykázaným klientskym zostatkom. Zvyčajne však neposkytuje úplný obraz všetkých záväzkov, prípadného zaťaženia aktív ani kvality vnútorných kontrol. Je to užitočný dielik, nie plnohodnotný audit hospodárenia alebo záruka budúcej dostupnosti výberov.
Nenechajte si ujsť: TOP 10 krajín s najrýchlejšou adopciou kryptomien
Keby ste mali na záver odporučiť bežnému európskemu investorovi niekoľko základných pravidiel, ktorými sa pri držaní a obchodovaní kryptomien riadiť, ktoré by to boli?
Začal by som vlastnou stratégiou. Vedieť, prečo kryptomeny kupujem, na ako dlho a aký pokles som schopný finančne aj psychicky uniesť. Veľkosť investície by mala zodpovedať celkovému majetku a nemala by ohrozovať bežný rozpočet. Rozhodovanie pod tlakom rýchleho rastu ceny alebo strachu z poklesu býva drahé.
Ďalej by som si overil poskytovateľa a spôsob úschovy. Účet by som chránil silným unikátnym heslom a viacfaktorovým overovaním, ideálne bezpečnostným kľúčom alebo passkey, ak ich služba podporuje. Obnovovaciu frázu vlastnej peňaženky by som uchovával offline a nikomu ju nezdieľal.
Pred každým prevodom by som kontroloval celú adresu aj správnu sieť a pri novej adrese najprv poslal malú skúšobnú sumu. Nepodpisoval by som oprávnenia, ktorým nerozumiem, a priebežne by som sa vzdelával. Za najdôležitejšie považujem pochopiť, že investičná stratégia a bezpečnosť úschovy patria k sebe. Dobré rozhodnutie o nákupe môže znehodnotiť jediná zbytočná chyba pri zabezpečení.
Zdroj fotky: archív Miloša Mázora
