Proč je reakce na incident stejně důležitá jako prevence
V prostředí Web3 probíhají bezpečnostní incidenty v reálném čase a na veřejném účetním registru. Správně zvládnutá reakce po exploitu rozhoduje o tom, zda protokol přežije – nejen technicky, ale také reputačně, právně a ekonomicky. Cílem tohoto článku je poskytnout ucelený rámec incident response (IR) specificky pro krypto projekty: od prvních minut po detekci, přes transparentní komunikaci a forenzní analýzu, až po nápravu, kompenzace a dlouhodobá zlepšení.
Definice a rozsah incidentu: co považujeme za „exploit“
- Neoprávněný přesun prostředků: z treasury, poolů, custody účtů nebo mostů.
- Manipulace trhu/oraclu: cenové výkyvy využité k drancování poolů či likvidacím.
- Administrativní zneužití: kompromitované klíče, zneužití upgrade proxy nebo emergency funkcí.
- Softwarové chyby: logické chyby kontraktů, reentrancy, integer overflow/underflow, chybné přístupové pravidla.
Principy reakce: rychlost, transparentnost, minimalizace škod
- Time-to-contain < Time-to-communicate: okamžité kroky k omezení škody (containment) nesmí paralyzovat základní komunikaci a varování uživatelů.
- Veřejný blockchain = veřejná pravda: všechny kroky musí počítat s auditovatelností na řetězci.
- „Least harm“ etika: preferujte kroky, které minimalizují škody pro co největší počet dotčených (např. pauza mintu místo tvrdého zablokování výběrů, pokud je to technicky možné).
Prvních 30 minut: taktický „war room“ a okamžité zásahy
- Aktivujte IR war room: privátní kanál s runbookem, RACI (Responsible/Accountable/Consulted/Informed) a záznamem rozhodnutí.
- Ohraničení incidentu (containment): pokud to kontrakty umožňují, použijte pause, snižte limity, zamkněte risk parametry, zastavte bridge/mint/burn.
- Izolace infrastruktury: rotace API klíčů, limitace nasazení, zamrznutí CI/CD pipeline pro kritické repozitáře.
- Kontrola klíčů: okamžitá rotace ohrožených soukromých klíčů, aktivace záložních signatářů multisigu.
- Forenzní snapshoty: stáhněte logy, stavy kontraktů, eventy, mempoolová data; zachovejte integritu důkazů (hashování, časové razítka).
Komunikační protokol: první vyjádření a průběžné aktualizace
- „Holding statement“ do 60 minut: stručné potvrzení incidentu, pokyn nepoužívat dApp, odkazy na oficiální kanály, příslib další aktualizace s časem.
- Kanálová strategie: web (banner a incident stránka), X/Telegram/Discord (pin), GitHub (security advisory), newsletter pro klíčové partnery (CEX, market makeři, oracly).
- Jazyk a tón: faktický, bez spekulací; rozdělte jistá fakta, probíhající výzkum a předběžné hypotézy.
- Vícejazyčnost: při retailové bázi připravte anglický a lokální překlady, především bezpečnostní pokyny a FAQ.
RACI a úlohy týmu během incidentu
| Incident Commander | Vede war room, priorizuje rozhodnutí, schvaluje komunikaci. |
| Lead Engineer | Technické zásahy, patch, koordinace s auditory. |
| On-chain Analyst | Trasování toků, adresní atribuce, příprava zmrazení u partnerů. |
| Comms Lead | Veřejná vyjádření, Q&A, média, komunitní kanály. |
| Legal | Notifikace, důkazy, spolupráce s orgány a counsel v jurisdikcích. |
| Partnerships | Koordinace s CEX/market makery/oracly/validatory. |
Forenzní analýza: metodika a artefakty
- Chronologie transakcí: sestavte časovou osu od prvního abnormálního eventu; identifikujte entrypoint volání a volané funkce.
- Vektor útoku: logická chyba vs. kompromitace klíčů; potvrďte replikací na lokálním forku nebo testnetu.
- Stopa prostředků: rozvětvení přes DEXy, mixéry, mosty; připravte žádosti o zmrazení prostředků u CEX/kustodiánů.
- Artefakty: on-chain eventy, node logy, CI/CD historie, přístupové logy k trezorům klíčů, podpisy multisigu, hlasování governance.
Spolupráce s třetími stranami
- Oracly a infra poskytovatelé: dočasná nastavení sane (např. zvýšení heartbeat, fallback feedy), notifikace o manipulaci.
- CEX a OTC partneři: urgence freeze žádosti s adresami a hashy; poskytněte právní odůvodnění a referenční čísla incidentu.
- Auditoři a bezpečnostní firmy: paralelní revize zranitelnosti, potvrzení záplat, nezávislé vyjádření o příčině.
- Orgány činné v trestním řízení: dle jurisdikce zpracování oznámení, zachování důkazů, MLAT spolupráce při přeshraničních přesunech.
Kontakt s útočníkem: zásady a „whitehat“ cesta
Pokud existuje kontaktovatelná adresa (on-chain message, embedded memo), zvažte whitehat bounty nabídku při splnění podmínek: kompletní vrácení prostředků, popis vektoru, dohoda o odměně (typicky 5–20 %) a právní imunita v rozsahu možném dle práva. Vyhněte se veřejným výhrůžkám – zvyšuje to motivaci útočníka rychle „vyprat“ prostředky.
Technické „hot fixes“ a stabilizace
- Emergency patch: minimální změna izolující chybu; audit alespoň peer-review + rychlá externí „4 eyes“ kontrola.
- Kontraktní pauzy a limity: použijte circuit breaker a konzervativní parametry; publikujte přesný rozsah omezení a ETA na uvolnění po auditu.
- Migrace a redeploy: pokud to vyžaduje nezvratná chyba, připravte nový kontrakt, migrační most, validaci state diffs a „allowlist“ mechanismus.
Ekonomická náprava: principy kompenzací
- Priorita poškozených uživatelů: definujte třídy nároků (depozitáři, LP, věřitelé) a pořadí uspokojení.
- Výpočet ztrát: snapshoty podle bloků, proof-of-loss vzorec (net vklad – výběr – přijaté refundy), zohlednění MEV a arbitrážních toků.
- Formy kompenzace: nativní aktiva, stabilní coiny, claim tokeny vázané na budoucí výnosy, merkle drop s vestingem.
- Antisybil ochrana kompenzací: propojte on-chain důkazy s reputačními signály; zabraňte double claim přes nullifier schéma.
Komunikační balíček pro uživatele
- Bezpečnostní pokyny: návod na revoke approvals, ochranu před phishingem, doporučené RPC/anti-MEV endpointy.
- FAQ incidentu: co se stalo, koho se týká, kroky nápravy, harmonogram, kanály podpory a proces odvolání.
- Průběžné reporty: denní/týdenní on-chain dashboardy (vyrovnané množství, vrácené prostředky, stav migrace).
Právní a compliance: rámec bez paralyzování reakce
- Terms & Conditions a disclosure: ujistěte se, že zveřejnění informací neporušuje povinnosti, ale zároveň chrání uživatele.
- Režim důkazů: forenzní materiály uložte s integritními hashy; připravte shrnutí pro orgány a pojistné události, pokud existuje pojištění.
- Sankce a AML: kontrola proti sankčním seznamům; vyhněte se sekundárním porušením při nakládání s vracenými prostředky.
Specifika jednotlivých tříd incidentů
- Bridge exploity: koordinace na obou řetězcích, zmrazení relayerů, audit light client/podpisů, rekonsiliace omnichannel stavů.
- Oracle manipulace: přechod na odolnější agregát (median/TWAP), zvýšení minAnswer/deviation threshold, post-mortem analýza volatility.
- Lending protokoly: úprava kolateralizačních parametrů, pozastavení konkrétních trhů, bad debt socializace s transparentní metodou.
- DEX/AMM chyby: odpojení poolů, likvidační fee úpravy, migrace LP pozic, kompenzační fond pro LP vs. swapery.
Metodika post-mortem: otevřená a technicky hluboká
- Bez obviňování osob: soustřeďte se na procesy a technické kořenové příčiny (RCA: 5x proč).
- Reprodukovatelnost: zveřejněte proof-of-concept (bez možnosti re-exploitu) a diffy kódu.
- „Action items“ a vlastníci: konkrétní úkoly s termíny a metrikami úspěchu.
- Veřejná zpráva: verze pro komunitu a rozšířená technická příloha pro auditory a partnery.
Program zlepšení: od „hotfixů“ k odolné organizaci
- Bezpečnostní kultura: security champions v týmech, povinné code review, threat modeling před každým upgradem.
- Technické standardy: vícečetné audity, formální verifikace pro kritické moduly, bug bounty s přiměřenými odměnami.
- Governance a klíče: multisig s externími signatáři, timelocky, break-glass proces se zveřejněným loggingem.
- Tabletop a chaos testy: čtvrtletní cvičení IR, simulace MEV/sandwich útoků, cvičná migrace kontraktu.
Metriky a KPI incident response
- MTTD (Mean Time To Detect): průměrný čas od prvního abnormálního eventu po detekci.
- MTTC/MTTR (Contain/Recover): čas do omezení škody a do obnovení plné funkcionality.
- Coverage: procento uživatelů, kteří obdrželi a otevřeli bezpečnostní oznámení.
- Refund ratio: podíl kompenzovaných ztrát, rychlost claimů, počet odvolání.
Komunikační chyby, kterým se je třeba vyhnout
- Přehnané sliby: „vrátíme všechno každému“ bez plánu a zdrojů podkopává důvěryhodnost.
- Taktické mlčení: spoléhat na to, že si „to nikdo nevšimne“ je neslučitelné s on-chain realitou.
- Bagatelizace rizik: zamlčování rozsahu nebo opožděná varování vedou k sekundárním škodám.
Checklist: rychlý plán pro „den D“
- Aktivovat war room a RACI, přiřadit Incident Commander-a.
- Containment: pauza kritických funkcí, rotace klíčů, uzavření mostů.
- Holding statement a bannery na všech kanálech.
- Forenzní sběr: snapshoty, logy, on-chain eventy, časová osa.
- Notifikovat partnery: CEX, oracly, auditoři, právníci.
- Vyjednávání/whitehat cesta, pokud je realistická.
- Hotfix/patch, následně externí verifikace.
- Kompenzační rámec a veřejný plán s termíny.
- Veřejný post-mortem a „action items“ s vlastníky.
- Program zlepšení: audity, bounty, tabletop cvičení.
Od krize k důvěře
Incident je zkouškou technické připravenosti i charakteru organizace. Projekty, které reagují rychle, transparentně a spravedlivě, mají šanci odejít silnější – s robustnějšími procesy, lepší architekturou a pevnější komunitou. Klíčem je disciplína: připravené runbooky, jasná komunikace, přesné forenzní postupy a férová náprava.
Disclaimer
Tento článek slouží k vzdělávacím účelům a nepředstavuje právní, regulační ani investiční poradenství. Každý incident má specifika; konzultujte právní a bezpečnostní experty dle vaší jurisdikce a architektury protokolu.
