Francie je pro držitele kryptoměn nejnebezpečnější, ale slogan „útok za tři dny“ nesedí. Útočníci nemusejí prolamovat šifrování, stačí jim znát adresu. A tu často získají z uniklých databází.
Jeden útok za tři dny. Tak zní věta, kterou tweet z 26. září 2026 připisuje Francisi Pouliotovi, šéfovi burzy Bull Bitcoin, a konferenci BTCHEL v Helsinkách. Podle ní je Francie nejnebezpečnějším místem na světě pro držitele bitcoinu.
Ve větě jsou ve skutečnosti dvě tvrzení. To první, že je Francie s velkým odstupem nejhorší, potvrzují všechny dostupné zdroje. To druhé, že se útok stane každé tři dny, platí jen při nejširším způsobu počítání. Zajímavější než slogan je ale to, co data ukazují mezi řádky. Útočníci nemusejí prolamovat šifrování, stačí jim vědět, kde bydlíte. A tuto informaci často nezískávají od vás, ale z databází, které o vás vedou jiní.
Co z tweetu platí a co ne
Že je Francie nejhorší, nezpochybňuje žádný zdroj. Podle CertiK připadlo na Francii 33 z 52 ověřených útoků na světě za první pololetí, podle mapy, ze které tweet vychází, dokonce 83 % letošních případů. I kdyby se čísla lišila o desítky procent, Francie by zůstala daleko před zbytkem světa. Všechny zdroje navíc počítají jen případy, o kterých se veřejně psalo, takže skutečné počty jsou pravděpodobně vyšší, ve Francii i jinde.
Sporné je jen to, jak často se útoky dějí. Slogan vychází z čísla, které 30. června oznámil francouzský ministr vnitra Laurent Nuñez, od začátku roku 77 případů únosu, vydírání nebo jejich pokusů. Ministerstvo tedy počítá vše, co policie zaznamenala, včetně nedokončených pokusů a vydírání, které nemusí skončit fyzickým útokem. CertiK bere jen případy, o kterých existují veřejné zprávy a které se dají nezávisle ověřit, a proto číslo vychází nižší. Nikdo nepočítá špatně, každý počítá jinak. Podle ministerstva vychází jeden případ zhruba za dva až tři dny, podle přísnějších zdrojů spíš jednou za pět až sedm dní.
Mapa stojí na seznamu Jamesona Loppa, který podle jeho autora není vyčerpávající, a po březnu ukazuje ve Francii výrazné zpomalení. Celkový trend ale roste, CertiK uvádí meziroční nárůst.
Podle Chainalysis je nejpravděpodobnějším viníkem francouzského nárůstu únik dat. A těch bylo několik. Ledger, francouzský výrobce hardwarových peněženek, přiznal už v prosinci 2020 únik zákaznické databáze. Jména, adresy a telefony zhruba 272 000 lidí. Tyto data se po úniku nedají vzít zpět.
Posledním velkým případem je Waltio, francouzský nástroj pro daně z kryptoměn. Jeho databáze se podle firmy Brinztech objevila na prodej na darknetu už 24. prosince 2025, téměř měsíc předtím, než o úniku věděla sama platforma. Týkala se asi 50 000 uživatelů a obsahovala e-maily, zisky a ztráty i zůstatky.
Třetím článkem je veřejná správa. Úřednice pobočky finanční správy v Bobigny je ve vazbě od 30. června 2025. Případ začal napadením dozorce věznice La Santé. Útočníci znali jeho adresu a podle obžaloby ji získali právě od zadržené úřednice, protože ji bez oprávnění vyhledala v daňovém systému. Vyšetřovatelé pak v záznamech jejích vyhledávání našli, že cíleně hledala i údaje o investorech do kryptoměn a lidech z oboru. Ty měla podle zdroje prodávat zločincům.
Kontext, ne příčina
Přesnější než „krypto-peklo“ je říct, že kryptoměny našly svůj cíl v zemi, kde se zhoršuje obecná bezpečnostní situace. Forbes cituje oficiální statistiku, podle které ve Francii fyzické násilí i počet napadení dlouhodobě rostou. Kriminolog Jérôme Pierrat spojuje návrat únosů, trestného činu, který ve Francii téměř vymizel, s přesyceným trhem s kokainem, který tlačí gangy k novým zdrojům příjmů. Samotné útoky provádějí podle téhož zdroje hlavně najímaní mladí lidé.
Kryptoměny jsou v tomto obrazu likvidním terčem. Převod trvá minuty a žádná banka ho nemůže zablokovat. Ukradené peníze se ale hůř zpeněžují. Každý pohyb je vidět na blockchainu a analytické firmy ho umějí sledovat. Emitenti stablecoinů jako Tether nebo Circle dokážou adresy zablokovat a burzy mohou označené prostředky zmrazit, takže jejich zpeněžení přes běžnou burzu je pro zloděje riskantní. Jeden centrální blacklist bitcoinu přitom neexistuje, spíš jde o systém označení, který používají burzy a analytické firmy. Zloději proto peníze „čistí“ přes mosty mezi sítěmi, mixovací služby a směnárny bez ověřování totožnosti, jak ukázal třeba hack burzy FTX. Přes běžnou burzu je tedy zpeněžení těžké, ne však nemožné.
Stát reaguje. Obžalob přibývá a padají první pravomocné rozsudky. Soud v Amiens například 23. února poslal dva muže na devět a pět let.
Spor o DAC8
Z francouzských úniků se rychle stalo téma pro regulaci. Směrnice DAC8 platí od 1. ledna 2026 a ukládá poskytovatelům služeb s kryptoaktivy, aby shromažďovali údaje o uživatelích a hlásili je daňovým správám. Kritici v tom vidí další centralizovanou databázi, na kterou se zaměří zločinci. Pouliot ji označuje za „továrnu na únosy“ a jeho Bull Bitcoin se u francouzské Státní rady neúspěšně domáhal pozastavení prováděcího dekretu. Soud to 17. září zamítl, věcný spor ale pokračuje.
Pro vyváženost je třeba dodat, že úniky popsané výše DAC8 předcházely. První výměna údajů za rok 2026 mezi státy proběhne podle Evropské komise až do 30. září 2027, takže současná vlna útoků z těchto dat vzniknout nemohla. Argument kritiků se týká budoucího rizika. A právě to riziko by měl brát vážně regulátor i každá platforma: kdo sbírá údaje o majetku klientů, odpovídá za to, aby neunikly.
A co Česko?
Česko patří k nejbezpečnějším zemím světa, ale ne tak vysoko, jak se někdy uvádí. V Global Peace Indexu 2026 obsadilo 13. místo. Praha je přitom jedním z center světového krypta: sídlí tu SatoshiLabs, výrobce peněženek Trezor, Braiins, který provozuje někdejší Slush Pool. Loppův seznam žádný český případ neeviduje, to ale neznamená, že se tu nic neděje. Šéf Národní protidrogové centrály Jakub Frydrych v červnu 2025 uvedl, že se v posledních dvou letech asi ve třech případech objevily snahy násilím získat od obětí seedy. O případu, kdy by byl někdo v Česku zraněn nebo zabit, nejsou uvedeny žádné oficiální informace.
Vysvětlení, že za nízký počet případů může celospolečenská bezpečnost, je věrohodné, ale zatím jde o hypotézu. Seznam je neúplný a oběti útoky často nehlásí. Rozdíl nevysvětluje ani regulace, protože DAC8 je evropská směrnice a platí pro všechny členské státy.
Šifrování proti fyzické síle
Kryptografie má jednu slabinu: nejlepší šifra nepomůže, když vás někdo bude bít, dokud neprozradíte heslo. Obrana proto nespočívá v silnějším šifrování. Spočívá v tom, aby útočník nevěděl, koho navštívit, a aby ani po vniknutí do domu nezískal všechno najednou.
Nejdůležitější vrstvou je diskrétnost. Zisky ani držba kryptoměn nepatří na sociální sítě a stejně pozorně je třeba hlídat údaje, které o sobě poskytujete službám. Z Ledgeru unikla právě jména, adresy a telefony zákazníků, takže dává smysl používat pro objednávky hardwaru a registrace samostatný e-mail a místo domácí adresy výdejní místo.
Technická opatření fungují jako druhá linie. Passphrase vytvoří skrytou peněženku, takže pod nátlakem lze vydat „návnadu“ s menším zůstatkem. Musí být ale věrohodná a zapomenutou passphrase nejde obnovit. Multisig s klíči na různých místech znamená, že transakci nepodepíšete sami, a časový zámek zdrží výběr, takže útočník nedostane peníze okamžitě. Žádný z těchto nástrojů však není neprůstřelný a každý přidává komplikaci, která zvyšuje riziko chyby při obnově vlastních prostředků.
U velkých částek zbývá ještě regulovaná úschova u instituce. Z domova tím zmizí cíl, kterého se útočník může dotknout, ale přibude riziko protistrany a další databáze s údaji o vás, tedy stejný typ dat, jaký unikl z Waltia.
Osobní pohled
Francouzská mapa není důkazem, že kryptoměny přitahují násilí samy o sobě. Ukazuje, kde se násilí potkává s kryptem: u dat o lidech a u transakcí, které nejde vzít zpět. Jameson Lopp, autor seznamu útoků, varuje, že pokud lidé usoudí, že samostatná správa bitcoinu je příliš nebezpečná, vznikne tlak na centralizaci a systémové riziko pro celý ekosystém.
Osobně si myslím, že poučení má tři adresáty. Pro investora platí, že bezpečnost nekončí u seedu v trezoru, ale pokračuje u toho, kdo ví, že seed máte a kde bydlíte. Pro platformy plyne, že každý uložený údaj o klientovi je potenciální riziko. Vyplatí se tedy sbírat jen tolik dat, kolik je nutné. A pro regulátory, že povinné shromažďování údajů musí jít ruku v ruce s jejich skutečnou ochranou.
