Hack Bitfinexu: 120 000 BTC a raperka, která je schovávala

Co se stalo při hacku Bitfinexu? 2. srpna 2016 ukradl hacker z hongkongské burzy Bitfinex asi 120 000 BTC (tehdy asi 72 milionů dolarů). V únoru 2022 američtí agenti zatkli v New Yorku Ilju Lichtensteina a jeho ženu Heather Morganovou a zabavili asi 94 000 ukradených bitcoinů, tehdy v hodnotě asi 3,6 miliardy dolarů. Oba se přiznali; Lichtenstein přiznal, že hackerem byl on, a v listopadu 2024 dostal pět let vězení, Morganová 18 měsíců.

Většina hacků končí tím, že peníze navždy zmizí v internetu. Tenhle skončil zakladatelem startupu, samozvanou raperkou „Razzlekhan“, videoklipem o „krokodýlovi z Wall Street“ a cloudovou složkou s jedním velmi nešťastným souborem. Netflix o tom natočil dokument. Jak jinak.

Časová osa#

Jak Bitfinex ztrátu rozpočítal?#

Bitfinex nezkrachoval. Udělal něco neobvyklého: všem zákazníkům snížil zůstatek asi o 36 %, i těm, jejichž mince v napadených peněženkách vůbec nebyly. Za každý ztracený dolar dostali jeden BFX token – dlužní úpis, který burza slíbila vykoupit. Podle Bitfinexu je vykoupila všechny do dubna 2017.

Byla to kreativní záchrana, ale podívej se na ni očima zákazníka: jednoho rána ti chyběla třetina peněz kvůli cizímu hacku a nikdo se tě na nic neptal. Přesně tohle v praxi znamená „moje mince na burze“ – rozhoduje burza.

Proč se ukradené bitcoiny tak těžko utrácejí?#

Bitcoinový blockchain je veřejný. Každý převod ukradených mincí je navždy vidět, takže zloděj nemůže jen tak poslat 120 000 BTC na burzu a vybrat si je. Podle žalobců se Lichtenstein roky snažil stopu přetrhnout:

1. posílal mince přes tisíce nových adres v malých částkách,
2. zakládal účty na burzách pod falešnými identitami,
3. posílal mince přes darknetový trh AlphaBay a přes mixovací služby, které slévají mince mnoha uživatelů dohromady, aby nebylo vidět, odkud přišly,
4. měnil bitcoin za jiné kryptoměny („chain hopping“),
5. a část přeměnil na zlaté mince – které podle žalobců Morganová zakopala.

Nevyšlo to. Vyšetřovatelé sledovali peníze na blockchainu celé roky a v roce 2022 našli v Lichtensteinově cloudovém úložišti soubor se soukromými klíči k peněžence, kde ležela většina lupu. Šest let praní peněz zhatil jeden soubor v cloudu.

Co bylo dál?#

Oba se v srpnu 2023 přiznali – Lichtenstein ke spiknutí za účelem praní peněz, Morganová k praní peněz a ke spiknutí s cílem podvést Spojené státy. V listopadu 2024 soud ve Washingtonu poslal Lichtensteina na pět let do vězení a Morganovou na 18 měsíců.

K říjnu 2026 jsou oba na svobodě. Morganová byla propuštěna v roce 2025. Lichtenstein odešel z vězení na přelomu let 2025 a 2026 díky First Step Act, americkému zákonu z roku 2018, který vězňům umožňuje zkrátit pobyt za mřížemi účastí v rehabilitačních programech, a zbytek trestu si odpykává pod dohledem. Předčasné propuštění není milost: odsouzení platí dál.

Zabavených 94 000 bitcoinů mělo při zabavení hodnotu asi 3,6 miliardy dolarů – padesátkrát víc než v době hacku. V lednu 2025 se americká vláda postavila na stranu Bitfinexu, že mince mají jít zpátky burze, a navázalo soudní řízení o jejich vrácení.

Varovné signály, které šly vidět#

• Horká peněženka plná majetku. Bitfinex držel mince zákazníků v peněženkách připojených k internetu. Čím víc má burza online, tím větší kořist čeká na útočníka.
• „Tvoje“ mince ti burza může zkrátit. Srážka 36 % zasáhla i zákazníky, kterých se hack vůbec netýkal. Čti podmínky: na většině burz jsi nezajištěný věřitel.
• Velký neznamená bezpečný. Bitfinex patřil v roce 2016 k největším burzám světa.
• Pro investory: život influencera není podnikatelský plán. Firma a rapové klipy Morganové vypadaly jako neškodný startupový život. Zpětně se nikdo nezeptal, odkud jsou peníze.

Jak to udělat bezpečně, vysvětluje kurz o bezpečné úschově, například lekce jak funguje hardwarová peněženka.

Časté mýty#

• „Ukradené bitcoiny nejde vystopovat.“ Opak je pravdou: každý převod zůstává na blockchainu navždy a vyšetřovatelé můžou čekat roky.
• „Mixer mince vyčistí.“ Sledování ztíží, ne znemožní – a používat ho ke skrývání kradených peněz je samo o sobě trestný čin.
• „Hackery chytili, takže zákazníci dostali peníze zpátky.“ Bitfinex ztrátu pokryl už v letech 2016–2017 BFX tokeny; zabavené mince jdou zpátky burze, která rozhodla, jak naloží s držiteli svých tokenů.

Zdroje#

• Ministerstvo spravedlnosti USA – dva zatčení, zabaveny kryptoměny za 3,6 miliardy dolarů (2022) (otevře se v nové záložce)
• CyberScoop – Lichtenstein předčasně propuštěn díky First Step Act (2026) (otevře se v nové záložce)
• CoinDesk – Lichtenstein děkuje za předčasné propuštění zákonu First Step Act (2026) (otevře se v nové záložce)