Kde burza uchovává vaše kryptoměny a co se stane, když ji napadnou hackeři?

Když si koupíte kryptoměny na burze, vypadá váš zůstatek jako mince v šuplíku s vaším jménem. Tak to ale není, a to je důležité, když se něco pokazí. Útočníci 29. října 2026 podle burzy Binance odcizili z jejích online „horkých“ peněženek zhruba 6,3 miliardy $; burza pozastavila výběry až do postupného obnovení 1. listopadu. Tady je, jak úschova funguje.

Hlavní body: kde burza uchovává vaše kryptoměny?

• Klíče drží burza; váš zůstatek je její záznam o tom, co je vaše.
• Část prostředků zůstává pro výběry v online „horkých“ peněženkách, které jsou útokům víc vystavené.
• Doklad o rezervách je snímek, ne audit. Fondy jako SAFU jsou rezervy firmy, ne právní záruka.
• V EU platí pravidla nařízení MiCA o oddělení a odpovědnosti jen pro firmy s povolením.
• Vlastní úschova i úschova u firmy nesou různá rizika; ani jedna není bez rizika.

Co znamená, že burza vaše kryptoměny „drží“?

Peněženka mince neuchovává. Americká Komise pro cenné papíry a burzy (SEC) uvádí, že peněženky „uchovávají ‚soukromé klíče‘ neboli přístupové kódy k vašim kryptoaktivům“. Soukromý klíč je jako heslo k přesouvání mincí. Když ho ztratíte, přístup je navždy pryč.

Na burze tyto klíče spravuje za vás firma: to je úschova u poskytovatele (custody). Váš zůstatek je její záznam o tom, co je vaše, krytý mincemi, jejichž klíče ovládá. Pokud poskytovatel úschovy „bude napaden hackery, ukončí činnost nebo zbankrotuje, můžete přijít o přístup“, varuje SEC. Jste v tom noví? Začněte základy kryptoměn.

Co jsou horké a studené peněženky?

Představte si obchod. Pokladna vpředu drží to, co je potřeba na daný den; trezor vzadu drží zbytek a dostat se k němu trvá déle.

Horká peněženka (hot wallet) je pokladna: připojená k internetu, pohodlná, ale vystavená kybernetickým hrozbám. Studená peněženka (cold wallet) je trezor: obvykle offline zařízení, například USB disk, nebo dokonce papír. SEC označuje studené peněženky za méně pohodlné, ale obecně lépe chráněné před kybernetickými hrozbami. Zařízení se ovšem mohou ztratit, poškodit nebo být ukradena.

Mnoho burz uvádí, že většinu mincí zákazníků drží offline a provozní zůstatek pro výběry online. I malý online podíl velké burzy může znamenat miliardy. Obojí probírá náš kurz uchovávání kryptoměn.

Jak burzy střeží klíče?

Největší riziko je, když jeden člověk nebo jeden stroj drží klíč ke všemu. Tuto moc rozkládají dvě běžné techniky:

• Multisig (více podpisů, multi-signature): transakce potřebuje několik klíčů, například 2 ze 3, jako schránka, která se otevře, jen když dva ze tří držitelů klíčů otočí svým klíčem.
• MPC (vícestranný výpočet, multi-party computation, neboli prahová kryptografie): jeden klíč je rozdělen mezi několik stran nebo strojů, takže žádná z nich nemá celý.

Tyto nástroje střeží klíč, ne proces schvalování kolem něj. Při hacku burzy Bybit v roce 2025, při kterém byla vyprázdněna studená peněženka s více podpisy, útočníci kompromitovali lidi a systémy kolem peněženek, ne kryptografii, uvádí analytická firma Elliptic. Takže „multisig“ nebo „MPC“ čtěte jako „nikdo nemůže přesunout prostředky sám“, ne jako „hacky jsou nemožné“. Víc v našem úvodu do bezpečnosti.

Co je doklad o rezervách a co neukazuje?

Doklad o rezervách (proof of reserves, PoR) je zpráva burzy o kryptoměnách, které drží, v porovnání se zůstatky zákazníků. Některé vám umožní ověřit, že byl zahrnut i váš zůstatek, a prokazují, že rezervy kryjí zůstatky nejméně v poměru jedna ku jedné, aniž by prozradily čísi zůstatek.

Pracovníci amerického regulátora auditu PCAOB uvádějí, že takové zprávy zachycují „konkrétní okamžik“, pravděpodobně nezohledňují dluhy firmy a nedávají žádné ujištění o tom, co se s aktivy děje potom. „Zakázky PoR nejsou audity,“ napsali. Je to bankovní výpis za jednu sekundu. Horká peněženka vyprázdněná 29. října byla podle CoinDesku uvedena ve zprávě Binance z 1. října.

Co je fond podobný pojištění, jako je SAFU?

SAFU je nouzový fond Binance. Binance ho popisuje jako rezervu zřízenou v červenci 2018 pro extrémní případy, jako jsou bezpečnostní průniky, financovanou z procenta obchodních poplatků.

Takový fond patří samotné firmě: ta rozhoduje, zda a jak ho použije, v mezích toho, co si může dovolit. Žádný veřejný systém za kryptoměny neručí. MiCA ukládá, aby informační dokumenty emitentů uváděly, že kryptoaktiva nejsou kryta systémy pojištění vkladů ani systémy odškodnění investorů v EU, a americký pojistitel vkladů FDIC uvádí, že se jeho pojištění na kryptoměny nevztahuje.

Co vyžaduje právo EU od licencovaných firem?

MiCA, soubor pravidel EU pro krypto, se vztahuje na licencované firmy, které drží kryptoměny zákazníků nebo klíče k nim. Text nařízení MiCA mimo jiné vyžaduje:

• Úschova (článek 70): „odpovídající opatření k ochraně vlastnických práv zákazníků“, zejména v případě platební neschopnosti, a žádné použití kryptoaktiv zákazníků na vlastní účet firmy.
• Oddělení (článek 75): kryptoaktiva zákazníků se drží odděleně od vlastních kryptoaktiv firmy, a to i na blockchainu, a mimo dosah věřitelů firmy, pokud zkrachuje.
• Odpovědnost (článek 75): firma odpovídá za kryptoaktiva ztracená při incidentu, který jí lze připsat, a to do výše jejich tržní hodnoty v době ztráty, ne však za události, u nichž prokáže, že nastaly nezávisle na jejím provozu.

Háček je v tom, že to platí jen pro firmy s povolením. ESMA, orgán EU pro dohled nad trhy, uvádí, že zákazníci poskytovatelů bez povolení „nepožívají ochrany podle MiCA, včetně ochrany aktiv zákazníků“, a vede veřejný rejstřík firem s povolením. Povolení hacky nevylučuje, ale řekne vám, jaká pravidla platí. Víc v kurzu pravidla pro krypto v EU.

Vlastní úschova, nebo firma: jaké jsou výhody a nevýhody?

Vlastní úschova znamená, že své klíče držíte sami. Ani jedna možnost riziko neodstraní.

• Vlastní úschova: výhradní kontrola i výhradní odpovědnost. Hack nebo bankrot burzy se vašich mincí přímo nedotkne. Pokud ale ztratíte peněženku i její obnovovací frázi (seed phrase, slova, kterými ji obnovíte), je ztráta obvykle trvalá. Nastavení může vyžadovat určité znalosti a pravidla MiCA pro úschovu se na ni nevztahují.
• Firma: obnovení účtu je obvykle možné a poskytovatel úschovy s povolením v EU musí dodržovat pravidla MiCA o oddělení a odpovědnosti. Jste ale závislí na jeho zabezpečení, postupech a schopnosti pokrýt ztrátu a výběry mohou být pozastaveny.
• V obou případech: phishing a malware ve vašem vlastním zařízení zůstávají rizikem.

Jaké návyky pomáhají?

• Nikdy nesdílejte své soukromé klíče ani obnovovací frázi, uvádí SEC.
• Používejte silná hesla a dvoufázové ověření (2FA), druhou kontrolu navíc k heslu. Americká agentura pro kybernetickou bezpečnost CISA vyzývá k používání verzí „odolných vůči phishingu“.
• Zvažte seznam povolených adres pro výběry (allowlist), pokud je k dispozici: výběry jdou jen na adresy, které jste předem schválili.
• Po velkých zprávách čekejte phishing. Falešné zprávy o „odškodnění“ se objevují rychle, někdy vedle skutečných akcí, takže ověřujte jen v oficiální aplikaci nebo na oficiálním webu, nikdy přes odkaz ve zprávě.
• Dejte si pozor na nabídky „vrácení“ peněz. Centrum IC3 při FBI je označuje za „lest, jak znovu okrást ty, kdo už peníze ztratili“.

Co si z toho odnést

Na burze jsou vaše kryptoměny zůstatkem krytým klíči, které ovládá někdo jiný, a útoky často míří na lidi a systémy kolem těchto klíčů. Doklad o rezervách ukazuje jeden okamžik, nouzové fondy jsou věcí volby a povinnosti podle práva EU platí jen u firem s povolením.

Co můžete udělat teď

• Naučte se rozpoznat falešné zprávy o vrácení peněz a odškodnění v kurzu, jak odhalit podvod.
• S otázkami o peněženkách a klíčích přijďte na naše workshopy.

Otázky čtenářů

Pokud moji burzu napadnou hackeři, dostanu své kryptoměny zpět?

Záleží na okolnostech. Burza může ztráty pokrýt z vlastních prostředků, ale je to její rozhodnutí. Zmrazené ukradené prostředky (zablokované emitentem tokenu) se nevracejí automaticky; vrácení může trvat měsíce i roky. V EU poskytovatel úschovy s povolením odpovídá za ztráty, které mu lze připsat.

Je studená peněženka odolná vůči hackerům?

Ne. Obecně je méně vystavená online útokům, ale zařízení se může ztratit, poškodit nebo být ukradeno.

Prokazuje doklad o rezervách, že má burza dost peněz?

Sám o sobě ne: ukazuje aktiva v jednom okamžiku a dluhy firmy pravděpodobně ne.

Ceny kryptoměn mohou prudce růst i klesat a můžete přijít o část nebo o všechny peníze, které vložíte. Kryptoměny nejsou kryté ochranou vkladů. Tento článek slouží ke vzdělávání, nejde o finanční poradenství.