Informace o neoprávněném přístupu k osobním údajům uživatelů Coinmate

Klíčová fakta

• Co se stalo: neznámý útočník získal neoprávněný přístup do části našich systémů a stáhl některé osobní údaje uživatelů.
• Kdy: 30. 10. 2026. Neprodleně po zjištění útoku jsme přístup zablokovali.
• Jaké údaje: identifikační a kontaktní údaje. Rozsah se u jednotlivých uživatelů liší.
• Co neuniklo: e-maily, hesla, dvoufázové ověření, API klíče, doklady totožnosti, rodná čísla, čísla bankovních účtů, adresy peněženek ani informace o tom, kolik kryptoměn nebo peněz kdo na účtu má.
• Prostředky: v bezpečí. Uniklé údaje neumožňují přihlášení do účtu, výběr ani převod prostředků. Všechny služby fungují bez omezení.
• Koho se to týká: 123 200 uživatelů.
• Úřady: incident jsme nahlásili České národní bance a Úřadu pro ochranu osobních údajů. Podali jsme trestní oznámení.
• Za 12 let provozu: první incident tohoto typu, Coinmate funguje od roku 2014.
• Kontakt pro uživatele: [email protected]
• Ochrana osobních údajů: [email protected]
• Kontakt pro média: [email protected]

Neznámý útočník získal 30. 10. 2026 neoprávněný přístup do části našich systémů a stáhl některé osobní údaje uživatelů Coinmate. Neprodleně po zjištění útoku jsme jeho přístup zablokovali a zranitelnost odstranili.

Prostředky uživatelů jsou v bezpečí. Uniklé údaje neumožňují přihlásit se do účtu, vybrat nebo převést prostředky ani změnit přihlašovací údaje. Obchodování i výběry fungují bez omezení.

„Prostředky klientů nebyly v ohrožení a všechny služby fungují bez omezení. Neoprávněný přístup jsme zablokovali, zranitelnost odstranili a incident nahlásili úřadům. Všem dotčeným uživatelům se omlouváme. Situaci bereme vážně, proto jsme zasažené uživatele informovali napřímo a dali jim konkrétní doporučení, jak se chránit před případnými podvody. Na dalším posílení zabezpečení pracujeme s externími odborníky.“
Roman Valihrach, CEO Coinmate

Coinmate funguje od roku 2014 a za 12 let provozu jde o první incident, při kterém neoprávněná osoba získala přístup k údajům našich uživatelů.

Jaké údaje unikly

Únik se týká 123 200 uživatelů. Rozsah se u jednotlivých uživatelů liší podle toho, jaké údaje u nás mají. Šlo zejména o tyto údaje:

• jméno a příjmení, pohlaví, datum a místo narození, státní příslušnost,
• adresa bydliště a telefonní číslo.

Neuniklo: e-mail, heslo, dvoufázové ověření, API klíče, doklady totožnosti, rodné číslo, čísla bankovních účtů, adresy peněženek ani informace o tom, kolik kryptoměn nebo peněz na účtu máte. S uniklými údaji se do účtu nikdo nepřihlásí. V nastavení účtu kvůli tomu nemusíte nic měnit.

Jak zjistím, jestli moje údaje unikly

Dotčeným uživatelům jsme 3. 11. 2026 poslali e-mail s přesným výčtem údajů, kterých se únik týká. E-mail o tomto incidentu neobsahuje žádný odkaz na přihlášení. Pokud vám v souvislosti s incidentem přijde zpráva s výzvou k přihlášení, není od nás.

Na co si dát pozor

Buďte opatrní, pokud vás někdo kontaktuje jménem Coinmate telefonem, SMS nebo dopisem. Může znát vaše jméno, adresu nebo datum narození a snažit se tím vzbudit dojem, že jde opravdu o nás.

• Coinmate po vás po telefonu, v SMS ani e-mailem nikdy nebude chtít heslo, kód pro dvoufázové ověření ani převod prostředků. Obnovovací frázi (seed) po vás nebudeme chtít nikdy a nikde.
• Nikdy po vás nebudeme chtít, abyste si nainstalovali aplikaci pro vzdálený přístup k počítači nebo telefonu (například AnyDesk nebo TeamViewer). Kdo vás o to žádá, je podvodník.
• Volá vám někdo jménem Coinmate a nejste si jistí, že jde opravdu o nás? Hovor ukončete a ověřte si ho u naší podpory na [email protected].
• Ve zprávách, u kterých si nejste jistí, že jsou od nás, neklikejte na odkazy. Do účtu vstupujte přes ručně zadanou adresu coinmate.io nebo naši mobilní aplikaci.
• Doporučujeme mít zapnuté dvoufázové ověření pro přihlášení.

Co jsme udělali

• 30. 10. jsme neprodleně po zjištění útoku zablokovali přístup útočníka a odstranili zranitelnost,
• od 30. 10. do 1. 11. jsme provedli důkladnou analýzu rozsahu zasažených dat, dodatečně zabezpečili systémy a prošli historické záznamy o přístupech (logy),
• prověřili jsme všechny cesty do aplikace,
• prověřili jsme všechny výběry, obchody a změny účtů a vše je v pořádku,
• zpřísnili jsme sledování neobvyklých přístupů k datům,
• incident jsme nahlásili ČNB a ÚOOÚ a podali trestní oznámení,
• 3. 11. jsme dotčeným uživatelům poslali e-mail s výčtem údajů.

Co měníme

• Zavádíme druhou vrstvu ověření všech přístupových cest do aplikace. Každý přístup bude nutné povolit na dvou místech.
• Automatické testy zabezpečení, které spouštíme při nasazení, jsme rozšířili o nově zjištěné typy zranitelností.
• Měníme firmu, která pro nás provádí bezpečnostní audity. Souhrnnou zprávu z nového bezpečnostního auditu následně zveřejníme.

Situaci dál řešíme společně s externími bezpečnostními odborníky, dohledovými orgány a Policií ČR. Výsledky doplníme do aktualizace tohoto článku.

Je nám líto, pokud se vás incident týká. Omlouváme se za starosti, které vám způsobil, a děkujeme za důvěru.