Matematika může fungovat dokonale. Peníze přesto zmizí
Představme si bankovní trezor, jehož zámek je prakticky nemožné otevřít násilím. Konstruktéři použili nejmodernější technologie a vytvořili zabezpečení, které by odolalo i mimořádně schopným zlodějům. Jenže někdo získá přístup k počítači zaměstnance, který smí trezor otevírat. Zámek přitom nijak nepoškodí. Pouze přesvědčí systém, aby provedl operaci, kterou považuje za oprávněnou.
Velké kryptoměnové útoky mohou fungovat na podobném principu. Bitcoin a další blockchainové systémy využívají kryptografické postupy, které chrání transakce a zajišťují, aby nikdo nemohl jednoduše měnit již potvrzenou historii převodů. Útočníci ale často nemusí překonávat samotnou matematickou ochranu. Stačí jim získat přístup k zařízení, účtu nebo službě, která má s kryptoměnami právo nakládat.
Právě tento rozdíl vysvětluje zdánlivý paradox kryptoměnového světa. Technologie může být velmi odolná vůči určitému druhu útoku, zatímco společnost, která ji používá, může mít vážné bezpečnostní slabiny.
Analytická společnost Chainalysis ve své zprávě z července 2025 uvedla, že během prvního pololetí roku bylo z kryptoměnových služeb a dalších napadených peněženek odcizeno více než 2,17 miliardy dolarů. Významnou část představoval jediný útok na burzu Bybit. Přesto nešlo o případ, kdy by někdo prolomil základní kryptografii bitcoinu.
Proč není blockchain totéž jako kryptoměnová burza
Blockchain si můžeme představit jako účetní knihu, jejíž kopie udržuje velké množství nezávislých počítačů. Záznamy transakcí jsou uspořádané podle pravidel konkrétní sítě a účastníci ověřují, zda jsou převody platné.
U bitcoinu například není možné jen tak vytvořit transakci, která utratí cizí prostředky, pokud útočník nemá potřebné oprávnění v podobě příslušného digitálního podpisu. Síť zároveň kontroluje další podmínky, například to, zda se stejné mince někdo nepokouší utratit dvakrát.
Kryptoměnová burza je však samostatná služba, která funguje nad touto technologií. Umožňuje lidem nakupovat, prodávat a často také ukládat kryptoměny. Má vlastní zaměstnance, servery, účetní systémy, bezpečnostní pravidla a zákaznické účty.
Když člověk ponechá bitcoin na centralizované burze, zpravidla nemá pod kontrolou privátní klíč k on-chain adrese, na které burza prostředky drží. Místo toho má vůči burze nárok na příslušný zůstatek. Jeho ochrana proto závisí nejen na blockchainu, ale také na schopnosti firmy zabezpečit svá aktiva a správně evidovat závazky vůči klientům.
Pokud útočník pronikne do infrastruktury burzy a dokáže zneužít oprávnění k převodům, může vzniknout obrovská škoda, aniž by samotná blockchainová síť porušila vlastní pravidla.
MOHLO BY SE VÁM TAKÉ LÍBIT
Nejdůležitější není heslo. Je to digitální podpis
Kryptoměnové transakce se běžně autorizují pomocí asymetrické kryptografie. Uživatel má soukromý neboli privátní klíč, který slouží k vytváření digitálních podpisů, a odpovídající veřejné údaje, které umožňují ostatním ověřit oprávněnost převodu.
Privátní klíč je proto mimořádně citlivý. Kdo jej získá, může za určitých podmínek nakládat s prostředky, které klíč ovládá.
Jenže velké organizace obvykle nedrží miliardová aktiva na jednom obyčejném notebooku. Používají specializované systémy správy klíčů, oddělená oprávnění, hardwarové bezpečnostní moduly a víceúrovňové schvalování transakcí.
Útočníci se proto mohou zaměřit na samotný schvalovací proces. Někdy se pokoušejí podvrhnout údaje, které vidí člověk odpovědný za potvrzení převodu. Jindy usilují o získání interního přístupu nebo o kompromitaci aplikace, která připravuje transakce k podpisu.
Zvlášť problematická je situace, kdy systém zobrazí zaměstnanci něco jiného, než co nakonec skutečně podepisuje. Člověk může mít pocit, že schvaluje rutinní přesun mezi firemními peněženkami, zatímco výsledná operace umožňuje útočníkovi převést prostředky jinam.
Právě proto nestačí chránit samotné klíče. Organizace musí zajistit také spolehlivost informací, na jejichž základě se transakce schvalují.
Bybit ukázal, jak drahá může být jedna podvržená operace
V únoru 2025 se kryptoměnová burza Bybit stala terčem útoku, při kterém pachatelé získali přibližně 1,5 miliardy dolarů v digitálních aktivech.
Podle pozdějších vyšetřování útočníci kompromitovali část infrastruktury používané při přípravě a schvalování transakcí. Dokázali tak dosáhnout toho, že oprávnění pracovníci burzy potvrdili operaci, jejíž skutečný účinek neodpovídal jejich očekávání.
Význam případu spočíval právě v tom, že útočníci nemuseli porazit bezpečnostní algoritmy blockchainu. Zneužili rozdíl mezi tím, co systém a lidé považovali za schvalovanou operaci, a tím, co se následně vykonalo.
Analytici Chainalysis spojili útok se severokorejskými hackery. Případ patřil k největším jednotlivým kryptoměnovým krádežím své doby a ukázal, jak vysoká může být finanční hodnota jediného úspěšného zásahu do infrastruktury významné burzy.
Takové útoky přitom nevyužívají jen programátorské schopnosti. Mohou zahrnovat také dlouhodobé sledování zaměstnanců, falešné pracovní nabídky, kompromitaci dodavatelského softwaru nebo vytváření důvěryhodně působících zpráv, které mají přimět oběť k nebezpečnému kroku.
Právě lidský faktor bývá jednou z nejdůležitějších součástí celého útoku.
Horká a studená peněženka: dvě různé cesty k bezpečnosti
Kryptoměnové služby používají různé způsoby uchovávání klíčů. Jedním ze základních rozdělení je rozdíl mezi takzvanými horkými a studenými peněženkami.
Horká peněženka má podpisové prostředí připojené k internetu nebo k online provozu. Umožňuje rychlé zpracování plateb a výběrů, což je pro burzu s miliony zákazníků velmi důležité. Současně však vytváří více příležitostí pro vzdálený útok.
Studená peněženka uchovává privátní klíče mimo běžné online prostředí. Transakce se mohou připravovat na připojeném počítači, ale samotný podpis vzniká na odděleném zařízení. Tím se výrazně omezuje riziko, že útočník získá klíče prostřednictvím internetu.
Ani tento způsob však není absolutně bezpečný. Pokud uživatel nebo zaměstnanec schválí podvrženou transakci, může zařízení vytvořit platný podpis pro převod, který vlastník ve skutečnosti nechtěl provést.
Ve velkých organizacích proto může být vhodné rozdělit oprávnění mezi několik nezávislých osob nebo systémů. Některá řešení vyžadují více podpisů, jiná využívají kryptografické postupy, při nichž se tajný klíč nemusí nacházet celý na jediném místě.
Smyslem těchto opatření je zabránit tomu, aby jedna chyba automaticky znamenala ztrátu všech prostředků.
Proč jsou ukradené kryptoměny vidět, ale nejdou snadno vrátit
Na veřejných blockchainech jsou transakce zpravidla dohledatelné. Analytici mohou sledovat převody mezi jednotlivými adresami, identifikovat podezřelé vzorce a někdy spojovat aktivitu s konkrétními službami.
To ovšem neznamená, že mají nad prostředky kontrolu.
U bitcoinu neexistuje centrální správce, který by mohl již potvrzenou platbu jednoduše vrátit. Pokud jsou prostředky převedeny do peněženky ovládané útočníkem, mohou je vyšetřovatelé sledovat, ale jejich získání zpět závisí na dalších okolnostech. Například na tom, zda se dostanou na regulovanou burzu nebo zda orgány získají přístup k potřebným klíčům.
U některých stablecoinů je situace odlišná. Jejich vydavatelé mohou mít v příslušných chytrých kontraktech zabudované funkce umožňující blokovat určité adresy. Tím mohou zabránit dalším převodům konkrétních tokenů, pokud k tomu mají právní nebo provozní důvod.
Blockchain tak může být současně transparentní a obtížně napravitelný. Historii převodu lze vidět, ale samotná viditelnost nezaručuje jeho zrušení.
Bezpečnost kryptoměn má nejméně tři různé významy
Otázka, zda jsou kryptoměny bezpečné, ve skutečnosti nemá jednu jednoduchou odpověď.
První rovinou je bezpečnost samotného protokolu. Zde záleží na kryptografii, pravidlech sítě, způsobu potvrzování transakcí a odolnosti vůči manipulaci.
Druhou rovinou je bezpečnost služeb a zařízení. Burzy, peněženky, aplikace a jejich uživatelé mohou selhat i tehdy, když blockchain funguje přesně podle návrhu.
Třetí rovinou je finanční bezpečnost. Dokonce i dokonale zabezpečená kryptoměna může během krátké doby výrazně ztratit hodnotu. Ochrana před krádeží totiž není ochranou před poklesem ceny.
Právě tuto poslední skutečnost připomínají také evropské dohledové orgány. Nová pravidla pro kryptoměnový trh sice zvyšují požadavky na poskytovatele služeb, ale neodstraňují volatilitu ani všechna provozní rizika.
Velké kryptoměnové krádeže proto neprokazují, že kryptografie nefunguje. Ukazují spíše něco méně pohodlného: i mimořádně promyšlená technologie musí nakonec fungovat v reálném světě lidí, firem, zaměstnanců a počítačů. A právě tento svět je podstatně obtížnější zabezpečit než matematický vzorec.
Upozornění redakce: Tento článek má pouze informativní a vzdělávací charakter a nepředstavuje investiční doporučení ani výzvu k nákupu či prodeji kryptoměn. Investování do kryptoaktiv je spojeno s vysokým rizikem, včetně možnosti ztráty celé investované částky. Před případným investičním rozhodnutím si ověřte dostupné informace a zvažte vlastní finanční situaci a rizika.
VÍCE NA TÉMA KRYPTO-SECURITY
MOHLO BY SE VÁM TAKÉ LÍBIT
Zdroje: Kód Enigma [1], Chainalysis – 2025 Crypto Crime Mid-Year Update [2], Bitcoin.org – Securing Your Wallet [3], Bitcoin.org – Frequently Asked Questions [4], Ethereum.org – Security and Scam Prevention [5], European Securities and Markets Authority – EU Supervisory Authorities Warn Consumers of Risks and Limited Protection for Certain Crypto-Assets and Providers [6], img ai generated
