Youtuber zaplakal. V přímém přenosu mu hackeři ukradli 40 milionů

Kryptoměny jsou relativně novou doménou a kvůli svému komplikovanému technickému fungování nejsou pro většinu lidí zcela srozumitelné. Zatímco u klasických (tzv. „fiat“) měn díky dlouhodobé praxi podvědomě tušíme, na co si dávat pozor, u kryptoměn je to komplikovanější. Stačí malá díra ve vašem zabezpečení a můžete přijít o obrovské jmění.

Právě to se zřejmě stalo Ianu Balinovi, americkému investorovi, který opustil zaměstnání u IBM a pustil se do krypto-investování. Na svých přednáškách často ukazoval, jak přesně investoval a kolik vydělal. A nebylo to málo. V lednu 2018, před korekcí kryptoměnového trhu, v australské televizi uvedl, že na kryptoměnách vydělal přes čtyři miliony dolarů. I po pádu trhu skoro o polovinu se Balina mohl stále chlubit bohatým a pestrým portfoliem.

Během posledního živého vysílání, kde (trochu paradoxně) radil uživatelům, jak metaforicky řečeno „hacknout systém“, se však Balina podle svých slov sám stal obětí hackerského útoku: „Ukončil jsem dnešní živé vysílání, protože mě někdo hackoval,“ uvedl na Twitteru. „Nebojím se o peníze. Dostal jsem tvrdou lekci. Teď mi jde jen o to, aby byl hacker dopaden.“

Jak hacknout experta aneb pozor na starý e-mail

Během živého vysílání jeden z diváků Balinovi napsal: „Iane, víš, že někdo převedl všechny tokeny (zjednodušeně řečeno typ kryptoměny odvozený z jiné kryptoměny, například ethereum, pozn. red.) pryč z tvého účtu? Doufám, že to máš pod kontrolou.“ Balina na tento komentář nereagoval, a po výpadku streamu na několik hodin (údajně kvůli přerušení dodávky proudu) pokračoval ve vysílání.

V přímém přenosu tak mohli diváci sledovat jeho výraz, když mu v prohlížeči vyskočila hláška „Byl jste odhlášen ze svého účtu!“ Šlo o Dokumenty Google, kde Balina spravoval přehled svých investic.

Ale nešlo jen o Google účet. Přes něj se hacker zřejmě dostal k dalším datům, které měl Balina uložená v cloudu. Včetně jeho poznámek ve službě Evernote, kde měl youtuber podle vlastních slov uložené soukromé klíče a hesla ke svým různým peněženkám.

„Myslím, že se to odehrálo následovně,“ popsal později Balina. „Moje stará univerzitní e-mailová adresa byla uvedena jako záložní e-mail pro můj gmailový účet pro případ ztráty hesla. Pamatuji si, že jsem dostal od své univerzity informaci o tom, že došlo ke kompromitaci této adresy. Zkusil jsem to s nimi řešit, ale nakonec jsem to nechal být, říkal jsem si, že jde jen o starou nepoužívanou adresu.“

Ale právě přes tuto adresu zřejmě útočníci získali přístup k jeho gmailovému účtu a přes ten pak přístup k poznámkám v Evernote. Zde pak našli zašifrované poznámky a i hesla, jak tyto poznámky dešifrovat.

„Hackeři mě oloupili“ může být výmluva

Dosud jsme zde prezentovali Balinovu verzi příběhu, ve které youtuber stal obětí vlastní neopatrnosti a neznámých útočníků. Ale v krypto-komunitě se celkem rychle začala šířit i teorie alternativní, ve které je naopak podvodníkem sám Balin.

Výmluva na hackera Nebylo by to poprvé, kdy někdo v kryptosvětě oznámil, že byl hacknut, aby se vyhnul svým závazkům. V roce 2013 jsme například psali o provozovateli webového tržiště Sheep Marketplace, který oznámil, že mu někdo ukradl veškeré prostředky. Z tohoto odklonění byl později obviněn český programátor Tomáš Jiříkovský, kterého později soud poslal na devět let do vězení.

„Našel jsem toho zloděje. Jsi to ty, snažíš se vyhnout daním,“ napsal jeden z Balinových sledujících. Naráží tak zřejmě na načasování incidentu - těsně před 17. dubnem, což je letos uzávěrka pro odevzdání daňových přiznání. Zisky z obchodování s kryptoměnami se v USA (i jinde) musí danit. Někteří lidé proto spekulují, že Balin převedl prostředky ze svého veřejně známého portfolia na utajené, anonymní adresy, aby tak mohl vykázat ztrátu (nebo menší zisk).

Balina tyto spekulace rezolutně odmítá:

Přiznává, že byl neopatrný a nebral zabezpečení vážně, za což zaplatil. Později doplnil, že spolupracuje s FBI i s provozovateli burz Biannce a Kucoin na dopadení pachatele.

Youtubeři lákají zločince, protože se chlubí svými úspěchy

Mezi „kryptoyoutubery“ by Balina nebyl první obětí podvodu. Asi nejznámější kryptocelebritou, které se přihodil podobný problém, je Peter Saddington. Tomu útočníci v roce 2017 ukradli telefonní číslo, pravděpodobně vychytralým oblafnutím zákaznické podpory Verizon. Saddington neuvedl, kolik peněz ztratil, ale prý šlo o „významnou částku“.

„Pokud jste přišli o bitcoiny, je to 100% vaše chyba. Nemůžete jít za bankou, aby vám peníze vrátila.“

„Když jsem začínal, ukazoval jsem lidem na YouTube detaily o mém obchodování. Naučil jsem se, že to není dobrý nápad,“ vysvětluje Saddington. „Youtubeři asi musí dostat tvrdou lekci. Není tady žádná banka, za kterou můžete plačky jít a oni vám vrátí ukradené peníze. Ne, nová realita je jiná. Pokud jste přišli o bitcoiny, je to stoprocentně vaše chyba.“

Podle Balinova dalšího kolegy, youtubera Kenna Bosaka, si Balina o hacknutí přímo koledoval: „Veřejně ukazoval hodnotu svého portfolia. Chlubil se, že tam má více než dva miliony dolarů. Tím na sebe poutal pozornost. Je to, jako kdyby veřejně rozhlašoval, že si nacpal dva miliony dolarů do matrace.“

Nikomu nevěřte. Jste sami sobě bankou.

Bosak sám přišel o nemalé množství peněz kvůli neopatrnosti: „Když jsem začínal, používal jsem veřejně svůj reálný e-mail i svoje jméno. Na některých videích dokonce bylo vidět, kde bydlím.“ Připomíná, že uživatelé kryptoměn musí dbát maximální opatrnosti a nesmí nikomu věřit: „Celý koncept kryptoměn je založený na tom, že jste svá vlastní banka. Z případné ztráty můžete vinit jen sami sebe.“ Ostatním youtuberům doporučuje vytvořit si přezdívku, která není propojena s jejich jménem, využívat oddělené adresy a telefonní čísla a nechlubit se veřejně svými financemi.

Dobré je dodržovat i obecné zásady bezpečné práce online, například používat silná hesla a dvoufaktorové ověření, což by například v Balinově případě krádeži účtu zřejmě zabránilo. Obecně pak platí, že ve světě kryptoměn je řada věcí neintuitivních. Stejně jako byste si neotevřeli banku, pokud nerozumíte financím, neměli byste spoléhat na své zabezpečení, pokud alespoň do určité míry nevíte, jak jsou vaše data zabezpečena a jak snadno se k nim může někdo dostat.