Dne 20. dubna 2026 Vercel — jedna z největších platforem pro hosting a deploy moderních webových aplikací a preferovaná infrastruktura pro nepřiměřeně velkou část ekosystému Web3 — veřejně potvrdila, co vývojáři kryptoměn v předchozích 48 hodinách zatajovali: utrpěla porušení bezpečnosti. Týmy Solana, DeFi burzy, peněženka dashboardy a protokoly běžící rozhraní na platformě vstoupily do módu kontrolovaného paniky, rotují API keys, přezkušují kód a auditují logy na hledání expozice.
Nejpotíživější detail příběhu není v samotném hacku. Je v tom, jak k němu došlo. Kdo prolomil Vercel neútočil na Vercel. Útočil na Context.ai, třetí společnost poskytující AI nástroje. A začalo to jedním infostealrem zvaným Lumma Stealer, který infikoval osobní laptop zaměstnance Context.ai v únoru 2026. Od počáteční kontaminace až po ztrátu Web3 přihlašovacích údajů je to dva měsíce a tři vrstvy dodavatelů mezi útočníkem a konečnou obětí.
Je to nejčistší a nejdidaktičtější verze vzoru, který ovládá rok: kdo útočí na protokol, je amatér. Kdo útočí na nástroje pod protokolem, je profesionál.
Časová osa: dva měsíce od Lumma Stealeru k panice v Web3
Případ podle technické analýzy publikované Trend Micro a Ox Security je didaktický v tom, jak je organizovaný:
- Únor 2026 — Zaměstnanec Context.ai má osobní počítač infikován Lumma Stealer, infostealr komoditizovaný, který se pohybuje na fórech kybernetické kriminality za několik set dolarů. Malware extrahuje přihlašovací údaje uložené v prohlížeči, cookies relace a OAuth tokeny.
- Únor až duben — Útočníci používají OAuth tokeny Google Workspace Context.ai pro přístup do interní infrastruktury společnosti. Context.ai nabízí nástroj AI integrovaný s Vercel a udržuje obousměrný OAuth s Google a Vercel.
- Duben 2026 — Laterální pivotingem útočníci používají OAuth vztah Vercel ↔ Context.ai k získání footholdu v interních systémech Vercel. Získávají viditelnost na proměnné prostředí klientů — mezi nimi API keys, RPC endpointy, bot tokeny, připojení k bankovním a blockchain službám.
- 20. dubna 2026 — Vercel publikuje oficiální incidentní bulletin. Zároveň příspěvek na BreachForums nabízí údaje údajně exfiltrované za USD 2 miliony — včetně "access keys a source code". Tvrzení nebylo nezávisle ověřeno.
Kritickým bodem Vercelova postmortem je nuancované. Společnost tvrdí, že proměnné prostředí označené jako "sensitive" — model ukládání, který šifruje obsah a brání čtení na panelu — nebyly přístupné. Co bylo vystaveno, byly proměnné ve standardním formátu: konfigurace, které průměrný vývojář vloží do .env bez obav o označení jako citlivou, ale běžně obsahují produkční přihlašovací údaje.
Proč Web3 vstoupil do paniky před jakýmkoli jiným průmyslem
Reakce kryptoměnových týmů byla rychlejší a viditelnější než tradiční SaaS a má tři strukturální důvody:
- Neproporční koncentrace na Vercel. Vzhledem k profilu moderního stacku (Next.js, React, rychlé frontend), velmi vysoký podíl frontend Web3 běží na Vercel. Peněženka dashboardy, DEX rozhraní, panely protokolu, staking obrazovky — téměř vše v Web3, co vypadá jako "krásná webová aplikace", pravděpodobně běží na Vercel.
- API keys kryptoměn mají okamžitý blast radius. Rozdíl od Stripe nebo Twilio klíče, který v nejhorším případě generuje podvody omezené na službu, RPC node klíč, seed bot traderu nebo admin token protokolu mohou vést k vyprázdnění peněženky během sekund. Útočník, který získá Web3 klíč, nemusí "používat" — stačí jen provést.
- Útok na frontend je již prokázaný vektor v 2026. Pouhých šest dní dříve CoW Swap ztratila USD 1,2 milionu v útoku DNS hijackingu. V únoru 2025 Bybit ztratila USD 1,5 miliardy přes injekci škodlivého JavaScriptu v Safe{Wallet}. Nedávná paměť trhu je, že infrastruktura kolem smart contractu je slabý bod.
Mezi prvními, kteří se veřejně vyjádřili, byla Orca, DeFi burza založená na Solana, která potvrdila rotaci přihlašovacích údajů a objasnila, že "on-chain protokol a prostředky uživatelů nebyly ovlivněny". Ostatní týmy — nejmenované z důvodu operační bezpečnosti — strávily noc 20. až 21. dubna rotací klíčů a auditováním protokolů používání.
Vzor dodavatelského řetězce 2026: Bybit, Drift, Vercel
Hack Vercel je třetím velkým incidentem tohoto čtvrtletí, který přesně následuje stejný vzor:
- Bybit (únor 2025) — útočníci kompromitují počítač vývojáře Safe{Wallet}, injikují škodlivý JavaScript do rozhraní, čekají na velkou transakci a vyprazdňují USD 1,5 miliardy. Připisuje se Lazarus Group.
- Drift Protocol (duben 2026) — operace šesti měsíců hlubokého social engineeringu na seniora dev, vyvrcholuje USD 285 miliony vyprázdněného. Připisuje se jednotce Famous Chollima Lazarus Group, jak jsme pokryli v Drift Potvrzuje: Hack Byl Operace Severnokorejské Zpravodajské Služby Trvající 6 Měsíců.
- Vercel (duben 2026) — útočníci kompromitují třetí vrstvu (Context.ai), pivotují přes OAuth, získávají přístup ke kritické infrastruktuře celé databáze Web3 klientů Vercel.
Ve všech třech případech smart contract nebyl dotčen. Matematická pravidla protokolu funkčně pokračovala dokonale. Co bylo kompromitováno, byl člověk operující ozubené kolo kolem protokolu — vývojář s oprávněními, třetí společnost s aktivním OAuth, registrátor domén přijímající falešné dokumenty.
Tento vzor je podle našeho čtení strukturálním obrat ve scénáři hrozeb kryptoměn v 2026. A je podceňován большинством trhu.
Proč je OAuth neviditelnou Achillovou patou
Nejvíce nedostatečně vysvětlený technický detail větší části krytí je, jak přesně OAuth funguje jako most útoku mezi odlišnými systémy. Vyplatí se úsilí pochopit, protože kategorie problému jde za Vercel.
OAuth je protokol, který umožňuje aplikaci (řekněme Context.ai) přistupovat k datům jiné aplikace (řekněme Google Workspace nebo Vercel) jménem uživatele, aniž by ukládala heslo. Kliknete "autorizovat Context.ai pro přístup k mému Vercel účtu", a vygenerovaný token se uloží. Poté Context.ai může operovat s vašimi daty bez opětovného požadování hesla.
Problém: tyto tokeny často nemají krátkou dobu vypršení. A když jste kompromitováni infostealerem, útočník nekrade vaše heslo — krade aktivní OAuth tokeny. S nimi v ruce útočník:
- Neaktivuje MFA, protože token je již autentifikován.
- Negeneruje upozornění na přihlášení, protože technicky "vy" stále používáte službu.
- Může pivotovat na jakoukoliv službu, kde má kompromitovaná aplikace oprávnění.
Je to dokonalý útok na moderní infrastrukturu — tichý, bez hluku, s trváním odpovídajícím TTL tokenu. V některých konfigurací podniku tyto tokeny trvají dny nebo týdny před vyžadováním obnovení. V jiných je obnovení automatické, pokud uživatel nerevokuje ručně.
Operační lekce pro jakoukoli finanční technologickou společnost kryptoměn operující s multi-vendorovým OAuth: měsíčně auditovat, které aplikace mají aktivní OAuth tokeny proti kterým kritickým systémům a agresivně revokovávat, co není nezbytné. Je to nepříjemné. Je to přesně typ úkolu, který nikdo nechce dělat. A je to přesně místo, kde žije útočník.
Co vývojáři kryptoměn udělali za posledních 72 hodin (a co ještě neudělali)
Checklist, který se od 20. dubna šířil po soukromých kanálech Web3 vývojářů:
- Rotovat všechny RPC node klíče (Alchemy, Infura, Quicknode, Ankr).
- Rotovat tokeny bot traderu a monitorování (Etherscan API, blockchain explorery, soukromé věštce).
- Auditovat logy používání každého klíče za posledních 8 týdnů, hledání anomálních volání — neobyklé IP adresy, atypické vzory dotazů, vrcholy provozu.
- Přezkoumat proměnné prostředí na Vercel a ručně označit jako "sensitive" vše, co má produkční hodnotu.
- Revokovat aktivní OAuth tokeny v nástrojích třetích stran AI, dashboardy, monitorování — počínaje nejméně kritickými integrátory.
- Auditovat závislosti
package.jsonpro SDK, které mají OAuth vztah s Vercel.
Co nebylo provedeno značnou částí trhu a mělo by být: migrovat kritické tajemství z proměnných prostředí Vercel do dedikovaného secrets manageru, jako je AWS Secrets Manager nebo HashiCorp Vault, s automatickou rotací každých 30 dní. Proměnná prostředí na panelu hostingu je koncepčně "heslo v textovém souboru, kterému důvěřujete, že nikdo nebude číst". V kryptoměnově orientovaném prostředí roku 2026 tento model důvěry již neprochází zkouškou čichu.
Specifické brazilské riziko
Pro brazilský ekosystém kryptoměn a fintech má případ Vercel přímé operační a regulační důsledky.
Z operačního hlediska většina národních burz a fintech platebních služeb nabízejících kryptoměnové produkty spouští frontend na Vercel nebo podobných poskytovatelích (Netlify, Cloudflare Pages). Velká část týmů nemá dnes formální proces inventarizace aktivního OAuth — fragilita, která se vstupem v platnost povinností kryptokambiálních povinností dne 4. května stává také regulačním problémem.
Regulačně brazilská LGPD má jasná pravidla pro oznamování incidentů ovlivňujících osobní údaje. Pokud brazilská společnost měla API keys vystavené v incidentu Vercel a tyto klíče kontrolovaly přístup k údajům klientů, existuje spouštěč oznamovací povinnosti ANPD. Většina firem to bude léčit jako "incident u dodavatele" a strkat vinu na Vercel/Context.ai. Ale správce údajů je brazilská firma — není to dodavatel.
Kombinací scénáře s Dubnelem Černým Brazilské Digitální Sítě a domácím ekosystémem hrozeb s trojánem GoPix stále aktivním, brazilský uživatel kryptoměny operuje v roce 2026 pod dvojitou vrstvou rizika: globální útok Web3 a místní finanční útok.
Perspektiva ON3X
Tři pozorování na závěr.
Jeden: problém Web3 v roce 2026 není smart contract. Je to tooling. Audit kódu Solidity je zralé téma s konsolidovaným trhem společností jako CertiK a OpenZeppelin. Audit supply chain je téma, které sotva opustilo kolébku — neexistuje standard, neexistuje certifikace, neexistuje benchmark. A je to přesně místo, kde se ztrácejí miliardy.
Dva: Lumma Stealer stojí USD 200. Způsobená škoda stála miliardy. ROI moderního útočníka je absurdní, protože počáteční vektor — komoditizovaný infostealer na osobním laptopu — je triviální. Co odděluje amatérského útočníka od profesionála, není arsenal. Je to trpělivost pro laterální pivoting třemi vrstvami dodavatelů bez detekce po dobu dvou měsíců.
Tři: Vercel vyjde z toho posilněna nebo oslabena, v závislosti na tom, jak zareaguje v následujících 30 dnech. Standardní odpověď dodavatele — bulletin, mea culpa, slib zlepšení — nestačí. Čím se Vercel liší od toho, aby se stala dalším cautionary tale Web3, je to, zda investuje do granulárních kontrolek OAuth jako výchozího nastavení (ne opt-in), do nativního secrets manageru (ne doporučení v docs) a do nepřetržitého auditu třetích vztahů. Cena je vysoká. Alternativa, pokud se během příštích 12 měsíců objeví druhý incident, je ztratit celý kryptoměnový ekosystém na Cloudflare Workers nebo samohostování na VPS.
Co sledovat v příštích týdnech: úplná publikace Vercelova postmortem (slíbena na tento měsíc), jednotlivá hlášení týmů Web3 o tom, které přihlašovací údaje byly konkrétně kompromitovány, a jakékoli on-chain transakce, které mohou být korelovány s nesprávným použitím vytečených klíčů. V kterémkoli ze tří bodů, skutečná velikost incidentu — dnes spočítaného na "obavy" — se může materiálně zvýšit.