Z české burzy Coinmate unikly osobní údaje 123 tisíc klientů

Coinmate, česká kryptoměnová burza působící od roku 2014, zveřejnila v úterý 3. listopadu 2026 oznámení o neoprávněném přístupu k osobním údajům. Neznámý útočník podle něj získal 30. října 2026 přístup do části systémů burzy a stáhl osobní údaje 123 200 klientů. Burza uvádí, že hned po zjištění útoku, tedy téhož dne, přístup zablokovala a zranitelnost odstranila. Od 30. října do 1. listopadu podle oznámení analyzovala rozsah zasažených dat a prošla záznamy o přístupech. Prověřila také všechny cesty do aplikace a všechny výběry, obchody a změny účtů, u kterých je podle ní vše v pořádku. Za 12 let provozu jde podle burzy o první incident, při kterém se cizí osoba dostala k údajům klientů.

Incident Coinmate nahlásila České národní bance a Úřadu pro ochranu osobních údajů a podala trestní oznámení; situaci podle oznámení řeší s externími bezpečnostními odborníky, dohledovými orgány a Policií ČR. Vyjádření obou úřadů jsme k 4. listopadu 2026 nenašli. Dotčeným klientům poslala burza 3. listopadu e‑mail s přesným výčtem údajů, kterých se únik týká; zpráva podle ní neobsahuje žádný odkaz na přihlášení. Obchodování ani výběry omezené nejsou. Burza v oznámení uvádí i změny po incidentu: zavádí druhou vrstvu ověření všech přístupových cest do aplikace, rozšířila automatické bezpečnostní testy při nasazení o nově zjištěné typy zranitelností a mění firmu, která pro ni dělá bezpečnostní audity; souhrnnou zprávu z nového auditu chce zveřejnit.

Podle oznámení burzy jde o identifikační a kontaktní údaje; jejich rozsah se u jednotlivých klientů liší podle toho, jaké údaje u burzy mají. Peníze.cz k výčtu přidávají daňovou rezidenci, v oznámení burzy ale uvedená není.

S uniklými údaji se podle burzy do účtu nikdo nepřihlásí, nevybere ani nepřevede prostředky a nezmění přihlašovací údaje; klienti proto podle ní nemusí v nastavení účtu nic měnit.

Uniklé údaje samy o sobě přístup k účtu nedávají. Jejich obvyklé zneužití je phishing a podvodné telefonáty. Burza v oznámení varuje, že kdo se za ni vydává, může znát jméno, adresu nebo datum narození klienta a tím působit věrohodně. Coinmate podle svého oznámení po telefonu, v SMS ani e‑mailem nikdy nežádá heslo, kód pro dvoufázové ověření ani převod prostředků. Záložní frázi peněženky (seed) nežádá nikdy a nikde. Nikdy také nechce, aby si klient instaloval aplikaci pro vzdálený přístup, jako je AnyDesk nebo TeamViewer. Klientům doporučuje mít zapnuté dvoufázové ověření pro přihlášení.

Jak účet s kryptoměnami zabezpečit a jak poznat phishing, popisuje průvodce Zabezpečení účtu s kryptoměnami; co dělat, když už peníze odešly, shrnuje průvodce Podvody s kryptoměnami. Obdobný případ, únik kontaktních údajů klientů burzy Coinbase, který Coinbase 28. října 2026 přisoudila svému dodavateli, popsala naše zpráva.