Útok na velkou českou kryptoburzu. Uniklo obrovské množství dat, uživatelé se musí mít na pozoru
Neznámý útočník pronikl do systémů české kryptoměnové platformy Coinmate a stáhl osobní údaje zhruba 123 tisíc uživatelů, tedy prakticky celé klientské základny. Peníze ani kryptoměny podle firmy ohrožené nejsou. Hlavní riziko teď ale přichází jinudy: od podvodníků, kteří o obětech vědí víc než kdy dřív.
Česká kryptoměnová platforma Coinmate v pondělí 3. listopadu oznámila, že se stala terčem útoku. Neznámý pachatel podle ní 30. října pronikl do části jejích systémů a získal osobní údaje přibližně 123 200 uživatelů. Dotčené klienty firma informovala e-mailem a na svém webu zveřejnila oznámení o neoprávněném přístupu k osobním údajům.
Rozsah je značný. Coinmate na začátku letošního roku uváděl, že má téměř 130 tisíc registrovaných klientů. Únik se tak týká naprosté většiny lidí, kteří si u největší české kryptoburzy kdy založili účet. Platforma podle vlastních slov funguje dvanáct let a jde o první incident tohoto druhu.
Co uniklo a co ne
Útočník podle firmy získal identifikační a kontaktní údaje. U každého klienta se rozsah liší.
| Unikly | Neunikly (podle Coinmate) |
|---|---|
| jméno a příjmení | hesla a údaje pro dvoufázové ověření |
| pohlaví | e-mailové adresy |
| datum a místo narození | doklady totožnosti a rodná čísla |
| státní příslušnost | čísla bankovních účtů |
| adresa bydliště | adresy kryptopeněženek a zůstatky |
| telefonní číslo | API klíče |
„Prostředky jsou v bezpečí. Hesla, údaje pro 2FA ani doklady totožnosti nebyly zasaženy,“ napsala firma na síti X a za incident se omluvila. Podle Coinmate útočník pouze s ukradenými údaji nemůže změnit přihlašovací údaje ani vybrat peníze či kryptoměny. Firma prověřila výběry, obchody i změny v účtech a žádné nesrovnalosti nenašla. Obchodování a výběry běží bez omezení a měnit heslo kvůli samotnému incidentu podle ní není nutné.
Co firma udělala
Coinmate uvádí, že neoprávněný přístup zablokoval a zranitelnost odstranil. Incident nahlásil České národní bance, která burzu jako poskytovatele služeb kryptoaktiv dozoruje, a Úřadu pro ochranu osobních údajů. Podal také trestní oznámení. Do budoucna chce zavést dodatečné ověřování přístupů, rozšířit automatické bezpečnostní testování a vyměnit firmu, která mu dělá bezpečnostní audity.
Firma zatím nezveřejnila, jak se útočník do systémů dostal, ani zda šlo o napadení vlastní infrastruktury, nebo některého z dodavatelů.
Proč je to nebezpečné, i když peníze zůstaly na místě
Z pohledu útočníka je seznam lidí, kteří vlastní kryptoměny, i s jejich jménem, adresou, datem narození a telefonem, velmi cenné zboží. Nejde o hesla, ale o surovinu pro cílené podvody. Podvodník, který vám zavolá, vás osloví jménem, zná vaši adresu a ví, že máte účet u Coinmate, působí mnohem důvěryhodněji než anonymní volající.
Podobný scénář už se odehrál jinde. Po úniku dat zákazníků americké burzy Coinbase v květnu 2025 se roztrhl pytel s telefonáty od falešné „bezpečnostní podpory“. Podvodníci přesvědčovali klienty, že je jejich účet napadený, a navedli je, aby kryptoměny „pro jistotu“ převedli na novou peněženku, která patřila útočníkům. Coinbase sám tehdy odhadoval náklady na odškodnění obětí na stovky milionů dolarů.
Únik adres bydliště přináší i méně obvyklé riziko. V zahraničí se v posledních letech množí fyzické útoky a vydírání majitelů kryptoměn, jejichž adresy unikly z firemních databází. Česko podobné případy zatím nezná, ale opatrnost s tím, komu a kde se člověk chlubí svými investicemi, se vyplácí.
Jak se chránit
- Nikomu nesdělujte hesla, ověřovací kódy ani obnovovací frázi. Žádná burza ani banka je po telefonu nechce. Kdo o ně žádá, je podvodník.
- Nepřevádějte kryptoměny na „bezpečnou adresu“. Výzva k přesunu prostředků kvůli údajnému napadení účtu je nejčastější podoba těchto podvodů.
- Telefonát nebo SMS „z podpory Coinmate“ berte s nedůvěrou, i když volající zná vaše jméno a adresu. Hovor ukončete a ozvěte se firmě sami přes oficiální web nebo aplikaci. Coinmate dlouhodobě upozorňuje, že s klienty komunikuje přes svou platformu a podvodníci používají podobně vypadající domény.
- Zapněte dvoufázové ověření, ideálně přes aplikaci, ne přes SMS. Útočník, který zná vaše telefonní číslo, může zkusit převést číslo na novou SIM kartu.
- Ozvěte se svému operátorovi a zeptejte se, zda lze vydání nové SIM nebo přenos čísla podmínit dodatečným ověřením.
- Dávejte pozor i na podvody mimo krypto. Jméno, datum narození a adresa se dají zneužít i při falešných hovorech „z banky“ nebo „z policie“.
Kdo drží větší částku v kryptoměnách dlouhodobě, může zvážit přesun na vlastní hardwarovou peněženku. Útok na Coinmate sice peníze nezasáhl, ale znovu připomněl, že každá platforma, které svěříte data nebo prostředky, je potenciální slabé místo.
Zdroje: Coinmate, Kryptomagazín, CzechCrunch. Nejde o investiční doporučení.