Kriptovalutna borza Binance je prejšnji teden sporočila, da je iz njenih vročih denarnic zaradi nepooblaščenih dvigov izginilo kriptovalut v vrednosti približno 6,3 milijarde dolarjev. Po predhodnih ugotovitvah borze je napadalec morda izkoristil kompromitiran prenosnik delavca DevOps in pridobil dostop do interne storitve, ki je omogočala vnos nepooblaščenih transakcij. Binance je navedla, da za zdaj ni našla dokaza o odtekanju zasebnih ključev, natančen potek napada pa še naprej preiskuje. Kaj incident pove o varnosti kriptovalutnih borz in kako lahko vlagatelji bolje zaščitijo svoja sredstva? O tem govori Miloš Mázor, generalni direktor podjetja Madison Six, ki upravlja platformo crypto4me. Z vlaganjem v kriptovalute se ukvarja od leta 2018.
Aktualni varnostni incident pri Binance je znova odprl vprašanje, kako varne so kriptovalutne borze. Kaj bi si morali zapomniti iz takšnih dogodkov in bi morali običajni vlagatelji spremeniti način ravnanja s svojimi kriptovalutami?
Za najpomembnejše štejem, da vlagatelj ve, komu zaupa svoje kriptovalute in kako so zavarovane. Velikost platforme ali njena znanost sami po sebi varnosti ne zagotavljata. Za aktivno trgovanje ima borza svoje mesto, pri dolgoročnem hranjenju pa bi vedno razmislil tudi o lastni strojni denarnici. Napad na infrastrukturo ene družbe pa ne pomeni, da je nekdo vdrl v samo omrežje bitcoina.
Pozornosti je po mojem mnenju vredna tudi odziv trga. Padec cene bitcoina se mi glede na obseg incidenta ne zdi izjemno izrazit. Hkrati so v istem času slabeli delniški trgi, zlasti tehnološki naslovi. Celotnega cenovnega gibanja zato ni mogoče samodejno pripisati vdoru v Binance; del lahko izhaja iz splošno manjše pripravljenosti vlagateljev za prevzemanje tveganja.
To dojemam kot znak večje robustnosti in zrelosti trga. Menim, da bi pred nekaj leti podobna novica verjetno izzvala izrazitejšo paniko. Trg je danes večji in ima širšo vlagateljsko bazo, zato ima tudi nominalno rekordna kraja drugačno relativno težo. To seveda nikakor ne zmanjšuje resnosti varnostnega zloma niti škode prizadetih strank.
Morda vas zanima: Solana je doživela največjo spremembo v šestih letih
V zvezi z napadom se govori o t. i. vročih denarnicah, ki so povezane z internetom. Kakšna je razlika med njimi in hladnimi denarnicami ter kako naj dobro zavarovana borza razporeja sredstva med obe vrsti hrambe?
Poenostavljeno gre za to, ali je s sredstvi mogoče razpolagati prek sistema, povezanega z internetom. Vroče denarnice omogočajo hitro obdelavo dvigov, a so bolj izpostavljene oddaljenim napadom. Pri hladni hrambi zasebni ključi ostanejo zunaj spletnega okolja. Same kriptovalute se v obeh primerih beležijo na blockchainu; brez povezave je sredstvo, s katerim se transakcija odobri.
V vročih denarnicah bi po mojem mnenju moral ostati le znesek, potreben za običajno delovanje. Večji del sredstev bi moral biti shranjen v okolju z omejenim dostopom, ločenimi pooblastili in strožjimi kontrolnimi mehanizmi. Univerzalnega pravilnega odstotka pa ni, odvisen je od obsega dvigov in delovanja posamezne storitve. Pomembni so tudi limiti prenosov in neodvisno odobravanje dopolnjevanja operativnih denarnic. Tudi hladna hramba ne pomaga, če njen upravljavec odobri goljufivo transakcijo.
Po dosedanjih analizah je napadalec morda zlorabil interni sistem za podpisovanje transakcij, ne pa neposredno pridobil zasebnega ključa. Kaj takšen scenarij pove o varnostnih šibkostih velikih kriptovalutnih platform?
Kaže, da se varnost ne konča pri samem zasebnem ključu. Napadalcu ga ni treba ukrasti, če lahko legitimni sistem prisili, da namesto njega podpiše nepooblaščeno transakcijo. Blockchain lahko nato preveri veljaven podpis, ne zazna pa, da je bil ta v nasprotju z voljo stranke ali s pravili borze.
Enako pomembno kot zaščita ključev je zato upravljanje dostopov in nadzor nad tem, kaj se sploh podpisuje. Pri Binance pa dokončnega tehničnega sklepa za zdaj ne bi delal. Družba je navedla, da ni našla dokaza o odtekanju zasebnih ključev, hkrati pa je priznala več točk vdora v infrastrukturo. Natančen potek napada mora pojasniti preiskava.
Kakšne varnostne ukrepe bi morala imeti vzpostavljene kriptovalutna borza, da kompromitacija enega samega sistema ne bi mogla privesti do obsežne izgube sredstev strank? In kakšno vlogo na tem področju igra evropska regulacija, zlasti uredba DORA?
Sistem mora računati s tem, da je posamezen računalnik, račun ali zaposleni lahko kompromitiran. Takšna odpoved ne bi smela omogočiti prostega razpolaganja s celotnim premoženjem strank. Osnova so ločitev pooblastil in dostopov, limiti transakcij, sprotno spremljanje nenavadnih prenosov in možnost njihove hitre ustavitve. Pomembne operacije naj bi šle skozi resnično neodvisno odobritev. Več podpisov ne zadostuje, če se vse odobravajoče osebe zanašajo na isti napadeni sistem.
DORA je v tem pogledu pomembna, ker upravljanje tehnoloških tveganj spreminja v izvršljivo obveznost. Od 17. januarja 2025 se uporablja tudi za ponudnike kripto storitev, pooblaščene v skladu z uredbo MiCA. Zajema upravljanje tveganj na področju informacijskih in komunikacijskih tehnologij (IKT), obravnavo in poročanje o hudih incidentih, povezanih z IKT, testiranje digitalne operativne odpornosti ter upravljanje tveganj, povezanih z zunanjimi ponudniki storitev IKT. Nobena regulacija ne zagotavlja, da do napada ne bo prišlo. Vzpostavlja pa okvir, v katerem mora podjetje varnost sistematično upravljati in znati obnoviti delovanje.
V Madison Six izpolnjujemo varnostne in operativne obveznosti, ki veljajo za nas kot licenciranega ponudnika, vključno z zahtevami MiCA in DORA. Pri storitvi crypto4me uporabljamo večfaktorsko overjanje, šifriranje in redna penetracijska testiranja. S pridobitvijo licence se delo na varnosti zanas ne konča; je trajen del delovanja.
Ne spreglejte: 10 najboljših kriptovalut pod 1 dolarjem
V zvezi z incidentom se omenja tudi tehnologija EIP-7702, ki omogoča razširitev funkcij običajnih kriptovalutnih denarnic. Ali lahko njena zloraba pomeni tveganje tudi za male vlagatelje? Kako lahko prepoznajo, da pri uporabi denarnice dajejo nevarno pooblastilo?
Da. EIP-7702 omogoča navadnemu računu na Ethereumu uporabo funkcij pametne pogodbe, na primer združitev več opravil ali možnost, da nekdo drug plača transakcijsko provizijo. Uporabnik pri tem podpiše avtorizacijo, ki njegovemu računu dodeli določeno programsko kodo. Če uporabnik odobri dodelitev škodljive ali nezaupanja vredne kode, lahko napadalec pridobi možnost izvajanja določenih operacij z njegovimi sredstvi, in to v obsegu pooblastil, ki izhajajo iz te kode. Takšna nastavitev lahko ostane tudi po koncu prvotne transakcije.
Opozorilo je nepričakovana zahteva po »nadgradnji« denarnice, delegiranju ali podpisu, katerega posledice niso razumljivo pojasnjene. To, da se ne prikaže takojšnje plačilo, še ne pomeni, da je podpis neškodljiv. Če ne vem, kaj natančno in komu odobravam, tega ne potrdim. Samo prekinitev povezave s spletno stranjo poleg tega že dodeljene delegacije ne prekliče. Tudi strojna denarnica ne prepreči, da uporabnik sam podpiše nevarno pooblastilo. Vlogo EIP-7702 pri konkretnem napadu pa je treba presojati na podlagi preverjenih tehničnih ugotovitev.
Evropska unija postopoma uvaja pravila MiCA za ponudnike storitev, povezanih s kriptovalutami. Kakšna je z vidika običajnega vlagatelja praktična razlika med uporabo licencirane in nelicencirane platforme, zlasti če pride do varnostnega incidenta?
Prav borzi Binance, ki jo je prizadel aktualni hekerski napad, licence MiCA za zdaj ni uspelo pridobiti. Naša družba Madison Six, ki upravlja storitev crypto4me, jo ima od 18. decembra 2025 na podlagi dovoljenja Narodne banke Slovaške. Dovoljenje vključuje tudi hrambo in upravljanje kriptosredstev strank. Prestali smo licenčni postopek in povezane varnostne, organizacijske in kapitalske obveznosti sproti izpolnjujemo.
Pri licenciranem ponudniku obstaja konkretna pravna oseba pod nadzorom evropskega regulatorja. Izpolnjevati mora kapitalske in organizacijske zahteve, ščititi sredstva strank in reševati pritožbe. Ob incidentu tako stranka vstopa v bistveno jasnejše pravno okolje. Pri tuji nelicencirani platformi je uveljavljanje njenih pravic lahko precej težje.
Licenco bi vedno preveril neposredno v registru ESMA ali nacionalnega regulatorja. Ne zadošča znan logotip ali trditev na spletni strani. Pomembno je, s katero družbo stranka sklepa pogodbo in za katere storitve ima ta družba pooblastilo. Regulacija povečuje odgovornost in preglednost ponudnika, sama po sebi pa ne odpravlja operativnega tveganja niti nihanja cene kriptovalut.
Ne zamudite: MiCA začenja resnično spreminjati kriptotrg
Velike kriptovalutne platforme lahko po podobnih napadih obljubijo, da bodo strankam povrnile izgube. Na kakšno zaščito pa imajo vlagatelji dejansko pravico? In ali obstaja v kriptovalutnem sektorju kaj primerljivega z zavarovanjem bančnih vlog?
Odločilni so pravni režim ponudnika, konkretna storitev in okoliščine izgube. Uredba MiCA določa, da je ponudnik storitev hrambe odgovoren za izgubo kriptosredstev strank ali dostopnih sredstev, če je nastala zaradi incidenta, ki mu ga je mogoče pripisati. Ta odgovornost je omejena na tržno vrednost izgubljenih sredstev v trenutku izgube. Ne gre torej za samodejno povračilo kakršne koli škode v vseh okoliščinah.
Samih kriptosredstev evropski sistem zavarovanja bančnih vlog do 100 tisoč evrov ne krije. Tudi rezervni sklad borze, na primer SAFU, ni takšen zakonski sistem. Pri morebitnem zasebnem zavarovanju je treba poznati njegov obseg in izključitve. In tudi če ima stranka pravno upravičenje, dejansko izplačilo je odvisno tudi od premoženjskega stanja podjetja in izterljivosti terjatve. Obljubo povračila je zato treba presojati glede na konkretne pogoje in nadaljnje korake.
Ob varnostnih incidentih lahko izdajatelji nekaterih stabilnih kriptovalut (stablecoinov) zamrznejo ukradena sredstva. Je ta možnost za navadnega vlagatelja predvsem prednost ali prinaša tudi določena tveganja? Kako se do te problematike opredeljuje evropska regulacija?
Ob kraji je to pomembna prednost, saj lahko hitra blokada prepreči nadaljnji prenos ukradenih žetonov. Vendar to ne pomeni samodejnega vračila denarja oškodovancem. O njihovi nadaljnji usodi se odloča v ustreznem pravnem postopku.
Hkrati to kaže, da je tak stablecoin odvisen od konkretnega izdajatelja in njegovih pooblastil. Blokada je lahko povezana na primer s sankcijami ali odločitvijo pristojnega organa in lahko začasno onemogoči dostop do sredstev tudi osebi, ki sama ni storila ničesar. Vlagatelj bi zato moral vedeti, kdo žeton izdaja in pod kakšnimi pogoji je lahko njegova uporaba omejena.
MiCA ureja izdajo dovoljenj izdajateljem, kritje in pravice imetnikov ustreznih stablecoinov. Pri žetonih elektronskega denarja določa pravico do povratne zamenjave po nominalni vrednosti. Obveznosti, povezane s sankcijami in bojem proti pranju denarja, tvorijo dodatno plast pravil. Evropska regulacija prinaša jasnejše pogoje, vendar pooblastilo izdajatelja za blokado konkretnih žetonov s tem ne preneha.
Za vrsto obsežnih kriptovalutnih napadov ne stojijo le tehnične ranljivosti, temveč tudi človeški dejavnik in socialni inženiring. Katere metode napadalci danes najpogosteje uporabljajo in na kaj naj bi bili pozorni sami uporabniki kriptovalut?
Napadalci pogosto iščejo pot prek človeka. Posnemajo podporo strankam, sodelavce ali poslovne partnerje, pošiljajo lažne ponudbe zaposlitve in poskušajo žrtev pripraviti do namestitve programa ali odobritve goljufive zahteve. Pri ciljnih napadih lahko zaupanje gradijo tedne. Umetna inteligenca jim poleg tega olajšuje ustvarjanje prepričljivih sporočil ter lažnega glasu ali videa.
Po javno dostopnih informacijah in ugotovitvah ameriških varnostnih organov je napad mogoče povezovati s severnokorejsko hekersko skupino. Natančen tehnični potek napada ostaja predmet preiskave.
Za uporabnike iz tega izhaja predvsem potreba po neodvisnem preverjanju. Niti znano ime na zaslonu ni zadosten dokaz identitete. Nepričakovano zahtevo po namestitvi aplikacije, oddaljenem dostopu ali prenosu denarja bi preveril prek drugega, že prej znanega stika.
Morda vas zanima: Najboljši podcasti o kriptovalutah
Po velikih hekerskih napadih se pogosto pojavljajo tudi goljufive ponudbe odškodnin ali lažna podpora strankam. Po čem lahko vlagatelj takšno goljufijo prepozna in katerih podatkov od njega legitimni ponudnik ne bi smel nikoli zahtevati?
Goljufi izkoriščajo strah in nujnost. Trdijo na primer, da je treba takoj povezati denarnico s spletno stranjo za odškodnine, plačati pristojbino za odblokado ali prenesti sredstva na »varen naslov«. Sumljivo je tudi nepovabljeno zasebno sporočilo domnevne podpore.
Legitimna podpora od stranke ne bo zahtevala seeda, zasebnega ključa ali gesla. Prav tako ji ne sme narekovati enkratnih prijavnih ali avtorizacijskih kod. Koda, vnesena v uradno aplikacijo ob lastni prijavi, je drugačna situacija kot njeno sporočanje tuji osebi. Enako previdno je treba presojati zahteve za podpis transakcije ali dovoljenja.
Podpori bi se oglasil sam prek uradne aplikacije ali ročno odprte spletne strani. Če je treba dokazati identiteto ali transakcijo, mora to potekati prek preverjenega kanala. Zahteva po plačilu domnevnega davka ali predplačila za vrnitev ukradenih kriptovalut je močan opozorilni znak.
Podobni incidenti lahko nekatere vlagatelje spodbudijo k prenosu kriptovalut z borze v lastno denarnico. Kdaj je lastna hramba smiselna in kdaj je lahko, nasprotno, varneje uporabiti storitve reguliranega ponudnika?
Za dolgoročno hrambo se mi zdi strojna denarnica primerna rešitev, če vlagatelj razume njeno uporabo in zna varno hraniti obnovitveno frazo. Pridobi neposreden nadzor nad sredstvi, a hkrati prevzame odgovornost za varnostno kopijo, pravilnost prenosov in morebitno dedovanje. Izgubljenega seeda mu nobena podpora strankam ne bo znova izdala.
Za človeka, ki bi obnovitveno frazo shranil v telefon, jo pošiljal po e-pošti ali redno potrjeval neznane zahteve, je lahko kakovostna regulirana hramba varnejša. Prav tako je lahko praktična za aktivno trgovanje. Pomembno je primerjati dejanska tveganja obeh možnosti in lastne zmožnosti. Za številne vlagatelje je smiselna kombinacija: dolgoročni del hraniti samostojno, pri ponudniku pa pustiti sredstva, namenjena trgovanju.
Nekatere borze ob varnostnih incidentih začasno zaustavijo dvige in prenose. Kako lahko stranka razlikuje preventivni varnostni ukrep od resnejših težav pri delovanju platforme? In koliko ji pri presoji zaupanja vredne borze pomaga tako imenovani proof of reserves?
Sama zaustavitev dvigov še ne pomeni nujno plačilne nesposobnosti. Ob napadu je lahko potrebna, da se prepreči nadaljnje izgube. Stranka naj spremlja konkretnost in redno komuniciranje, obseg omejitev in to, ali se napovedani koraki dejansko izvajajo. Opozorilo je ponavljajoče se odlaganje rokov brez pojasnila ali zahteva po dodatnem vložku kot pogoju za dvig. Toda niti dobra komunikacija sama po sebi ne dokazuje finančnega zdravja podjetja.
Binance je 1. novembra napovedala postopno obnovitev dvigov in dopolnitev približno 90 odstotkov ukradenih sredstev iz lastnih virov. Dopolnitev kritja zneskov strank pa ni isto kot pridobitev ukradenih sredstev nazaj od storilcev.
Proof of reserves lahko pomaga preveriti izbrana sredstva in glede na uporabljeno metodo tudi njihov odnos do izkazanih stanj strank. Običajno pa ne zagotavlja popolne slike vseh obveznosti, morebitne obremenjenosti sredstev niti kakovosti notranjih kontrol. Je uporaben košček sestavljanke, ne pa polnovreden revizijski pregled poslovanja ali jamstvo za prihodnjo razpoložljivost dvigov.
Ne spreglejte: TOP 10 držav z najhitrejšim sprejemanjem kriptovalut
Če bi moral za konec navadnemu evropskemu vlagatelju priporočiti nekaj temeljnih pravil, po katerih naj se ravna pri hrambi in trgovanju s kriptovalutami, katera bi bila to?
Začel bi z lastno strategijo. Vedeti, zakaj kriptovalute kupujem, za kako dolgo in kakšen padec zmorem prenesti finančno in psihično. Velikost naložbe naj ustreza celotnemu premoženju in naj ne ogroža običajnega proračuna. Odločanje pod pritiskom hitre rasti cene ali strahu pred padcem je pogosto drago.
Nato bi preveril ponudnika in način hrambe. Račun bi zaščitil z močnim edinstvenim geslom in večfaktorskim preverjanjem, idealno z varnostnim ključem ali passkeyem, če ga storitev podpira. Obnovitveno frazo lastne denarnice bi hranil brez povezave in je nikomur ne bi razkril.
Pred vsakim prenosom bi preveril celoten naslov in pravilno omrežje, pri novem naslovu pa bi najprej poslal majhen preizkusni znesek. Ne bi podpisoval dovoljenj, ki jih ne razumem, in bi se sproti izobraževal. Za najpomembnejše imam razumevanje, da investicijska strategija in varnost hrambe spadata skupaj. Dobro odločitev o nakupu lahko uniči ena sama nepotrebna napaka pri varovanju.
Vir fotografije: arhiv Miloša Mázorja
