Blockchainové transakční toky představují cenný zdroj informací pro Competitive Intelligence, zejména díky své transparentnosti a otevřenosti (Elmougy & Liu, 2023; Pocher et al., 2023). Tento článek se zaměřuje na praktickou analýzu jednoho z nejvýznamnějších DeFi incidentů – hacku cross-chain bridge protokolu Wormhole (Chainalysis, 2022; Elliptic, 2025). Pomocí nástroje Breadcrumbs ukazuji, jak lze vizualizovat pohyby kryptoměn, identifikovat klíčové uzly a pochopit strategie útočníka. Součástí článku je také kritické zhodnocení nástroje a ukázka jeho možností i omezení.
Obsah
Úvod
Blockchainové technologie a decentralizované finanční (DeFi) protokoly zásadně proměnily způsob, jakým se dnes přesouvají digitální aktiva (Asiri & Somasundaram, 2025; Elmougy & Liu, 2023). Umožňují rychlé, pseudonymní a transparentní transakce bez nutnosti prostředníků. Pro oblast Competitive Intelligence (CI) to představuje jedinečnou příležitost pracovat s veřejně dostupnými finančními daty, která lze sledovat, analyzovat a auditovat.
Přestože blockchain poskytuje vysokou míru transparentnosti, pseudonymita adres a možnost přesouvat prostředky mezi řetězci pomocí cross-chain bridge protokolů výrazně ztěžuje odhalování aktérů a jejich vzorců chování (Kumar & Thing, 2025; Carpentier-Desjardins et al., 2025). Významným příkladem je hack protokolu Wormhole z února 2022, při kterém útočník neoprávněně vytvořil 120 000 wETH a způsobil tak škodu přesahující 320 milionů USD (Chainalysis, 2022; Elliptic, 2025).
Cílem tohoto článku je představit nástroj Breadcrumbs, ukázat jeho využití při analýze blockchainových dat a prakticky demonstrovat jeho funkce na reálném incidentu. Součástí je také diskuse výhod, omezení a užitečnosti nástroje v kontextu CI.
Cíle a klíčové otázky
Cílem článku je představit nástroj Breadcrumbs, popsat jeho možnosti a omezení a ukázat jeho praktické využití při analýze reálného incidentu – hacku cross-chain bridge protokolu Wormhole. Na základě této analýzy odpovídám na několik klíčových otázek:
- Jaké funkcionality a datové zdroje Breadcrumbs nabízí?
- Do jaké míry dokáže identifikovat klíčové uzly a transakční vzorce?
- Jaké jsou jeho výhody a slabiny z pohledu Competitive Intelligence?
- Co lze pomocí Breadcrumbs zjistit při analýze incidentu Wormhole?
Metodologie
Zdroje dat
Analýza vychází z veřejně dostupných blockchainových dat, zejména z transakčních záznamů na sítích Solana a Ethereum, které byly přímo zapojeny v incidentu Wormhole. Klíčovou roli hrají výstupy z nástroje Breadcrumbs, doplněné o ověření v blockchain explorerech jako Etherscan a Solana.fm. Dále byly využity odborné články, průmyslové reporty a akademické studie zaměřené na blockchain forenziku, DeFi exploity a metody sledování transakčních toků (Pocher et al., 2023; Regina et al., 2025; Cola et al., 2024; Trozze et al., 2023).
Postup analýzy v Breadcrumbs
Praktická část analýzy probíhala ve třech hlavních krocích:
- Import analyzované adresy – hlavní útočníkova adresa 0x629e…b71a byla vložena do nástroje Breadcrumbs jako výchozí bod analýzy.
- Generování transakčního grafu – graf byl vytvořen s hloubkou dvou hopů a filtrovaný pouze na relevantní aktiva (ETH, wETH, wstETH).
- Identifikace klíčových uzlů a toků – u důležitých adres byla ověřena jejich identita, funkce a role v toku prostředků pomocí Etherscanu a dalších veřejných zdrojů. Dále byly exportovány transakce a adresy pro detailnější práci v přílohách.
Vyhledávání odborných zdrojů
Pro získání kontextu a ověření zjištění bylo využito několik doplňkových informačních kanálů:
- Google – identifikace aktuálních analytických reportů (např. Elliptic, Chainalysis).
- Consensus – vyhledávání peer-review studií pomocí přirozeného jazyka.
- Google NotebookLM – práce s nahranými PDF dokumenty a vyhledávání konkrétních informací uvnitř zdrojů.
- ChatGPT – pomoc s jazykovou úpravou, strukturou a kontrolou textu.
Popis nástroje Breadcrumbs
Základní charakteristika nástroje
Breadcrumbs je webový nástroj určený pro vizualizaci a analýzu transakčních toků na blockchainu. Umožňuje zobrazovat adresy jako uzly a jednotlivé transakce jako hrany, což vytváří interaktivní graf, na kterém lze sledovat směry, objemy a vztahy mezi adresami. Díky tomu je vhodný pro rychlé forenzní vyšetřování, které lze provádět i bez drahých komerčních platforem (Ribeiro & Leale, 2023).
Nástroj vychází z principů moderní blockchainové forenziky – práce s grafovými strukturami, identifikace entit přes veřejné labely a analýza chování transakčních clusterů (Asiri & Somasundaram, 2025; Elmougy & Liu, 2023). Právě grafový přístup je často považován za nejefektivnější způsob, jak odhalovat podvody, nelegální transakce a sofistikované útoky napříč blockchainem (Pocher et al., 2023).
Podporované blockchainy a datové zdroje
Aktuální verze Breadcrumbs podporuje řadu blockchainových sítí, mezi které patří Ethereum, Bitcoin, Polygon, Solana, BNB Smart Chain, Tron, Optimism, Litecoin, Dogecoin, Base, Scroll a další EVM kompatibilní řetězce. Uživatel si tak může vybrat adresu nebo transakci napříč více sítěmi přímo v rozhraní nástroje.
Praktická analýza hacku Wormhole pomocí Breadcrumbs
Stručný popis incidentu Wormhole hack
Wormhole patří mezi nejznámější cross-chain bridge protokoly umožňující převody aktiv mezi blockchainy, zejména mezi Solanou a Ethereem. V únoru 2022 došlo k závažnému incidentu, kdy útočník zneužil chybu v ověřování guardianské signatury na Solaně a dokázal neoprávněně vytvořit 120 000 wETH. Tyto falešně emitované tokeny byly následně přesunuty na Ethereum a dále směňovány a přesouvány přes různé DeFi protokoly. Celková škoda přesáhla 320 milionů USD, což činí tento incident jedním z největších v historii DeFi ekosystému (Chainalysis, 2022; Elliptic, 2025).
Výběr analyzované adresy a počáteční postup
Pro analýzu byla zvolena hlavní adresa útočníka na blockchainu Ethereum: 0x629e7da20197a5429d30da36e77d06cdf796b71a. Tato adresa fungovala jako centrální uzel, na který byly převedeny prostředky neoprávněně vytvořené na Solaně a ze kterého byly dále směrovány do dalších kontraktů a peněženek. Volba této adresy vychází z analýz společností Chainalysis a Elliptic, které ji označily jako primární útočníkův účet (Chainalysis, 2022; Elliptic, 2025). V nástroji Breadcrumbs byla adresa použita jako počáteční uzel, z něhož byl vygenerován transakční graf s hloubkou dvou hopů, filtrován na síť Ethereum a relevantní aktiva (ETH, wETH, wstETH). Tento přístup umožnil zachytit nejen přímé převody, ale i první navazující operace útočníka.
K 29. 11. 2025 tato adresa stále drží přibližně 10 934,78 wstETH, což představuje 0,3312 % celkové nabídky tokenu a je tak 33. největším držitelem tohoto tokenu. Při současné tržní ceně to odpovídá hodnotě přibližně 39,9 milionu USD. To potvrzuje, že adresa plní roli hlavního uzlu, kde útočník dlouhodobě drží podstatnou část odcizených aktiv.
Hlavní pozorované vzory
Analýza transakčního grafu v Breadcrumbs odhalila několik typických vzorců chování, které se často objevují u sofistikovaných DeFi exploitů. Útočník využíval decentralizované směnárny (DEX) i jejich agregátory, jako jsou 1inch Aggregation Router nebo Curve SynthSwap, aby získal likviditu a převedl část prostředků do jiných aktiv bez nutnosti použít centralizovanou burzu. Dále byly identifikovány mezisměrovací adresy sloužící k dělení a směrování prostředků, což pomáhá ztížit jejich trasování (Pocher et al., 2023). Součástí transakčního toku byla také Solana část operace, v níž se objevily dva meziuzlové účty, které sloužily k přesunům velkých objemů SOL před samotným přenosem falešně vytvořených wETH na Ethereum. Společně tyto vzory ukazují komplexitu útoku a využívání DeFi protokolů k rychlé transformaci a distribuci prostředků.
Vizualizace transakčního grafu
Pro vizualizaci transakčních toků byl v nástroji Breadcrumbs vygenerován graf znázorňující vztahy mezi hlavní exploiterovou adresou a souvisejícími uzly. Graf byl vytvořen s hloubkou dvou hopů, což umožňuje vidět nejen přímé odchozí transakce, ale také první vrstvu navazujících interakcí. Adresy a kontrakty byly následně manuálně ověřeny pomocí Etherscanu, aby bylo možné přesně identifikovat, které uzly představují smart kontrakty, které jsou EOA peněženky a které plní roli routing či swap uzlů. Vizualizace tak poskytuje přehlednou strukturu hlavních větví, přes které útočník přesouval a transformoval odcizené prostředky.
Větev 1: 1inch Aggregation Router (0x1111…097d)
Jednou z nejsilněji zastoupených větví je interakce s kontraktem 1inch Aggregation Router. Útočník zde prováděl první významné směny odcizených prostředků. Agregátor umožňuje směnu tokenů napříč několika DEXy současně a automaticky vybírá nejvýhodnější cestu, což ztěžuje přesnou rekonstrukci následných toků. Použití 1inch je u velkých DeFi exploitů běžné – nabízí vysokou likviditu bez nutnosti KYC a umožňuje rychlé rozptýlení prostředků (Trozze et al., 2023).
Větev 2: Curve SynthSwap kontrakt (0x58a3…ee47)
Curve SynthSwap patří mezi nejpoužívanější DeFi kontrakty pro směnu aktiv s nízkým skluzem (tj. ceně, která je blízko tržní ceně), zejména stablecoinů a likvidních derivátů. Útočník zde směňoval část wETH a ETH do stabilnějších aktiv, což je běžná strategie při přípravě prostředků na další přesuny. Díky vysoké likviditě Curve je možné provést velké objemy směn bez výraznějšího dopadu na cenu, což ztěžuje detekci neobvyklého chování. Tato větev ukazuje, že exploiter aktivně využíval DeFi protokoly ke stabilizaci a transformaci ukradených prostředků (Carpentier-Desjardins et al., 2025).
Větev 3: Lido wstETH kontrakt (0x7f39…2ca0)
Adresa 0x7f39…2ca0 představuje oficiální smart kontrakt tokenu wstETH protokolu Lido. Nástroj Breadcrumbs jej však původně mylně označil jako centralizovanou burzu, což ukazuje na limity veřejně dostupných labelů. Manuální ověření na Etherscanu jednoznačně potvrzuje, že jde o ERC-20 kontrakt. Útočník tuto větev využíval k převodu ETH → stETH → wstETH, což je typický postup u sofistikovaných hacků. Stakingové deriváty umožňují převod velkých objemů aktiv do likvidní formy, která má stabilnější hodnotu a zároveň ztěžuje sledování původu prostředků (Regina et al., 2025). Opakované interakce s wstETH kontraktem potvrzují snahu útočníka transformovat odcizená aktiva ještě před jejich dalším přesunem.
Větev 4: Meziuzlová routing adresa (0x8184…af51)
Adresa 0x8184…af51 funguje jako takzvaný routing nebo směrovací uzel. Nejde o smart kontrakt, ale o běžnou EOA peněženku, přes kterou útočník opakovaně přeposílal a rozděloval prostředky. Tento typ adres se běžně objevuje u praní kryptoměn a často slouží k fragmentaci částek, zamlžování přímé vazby mezi vstupními a výstupními transakcemi a k testování malých převodů před pohybem větších objemů (Pocher et al., 2023). Interakce této adresy s více kontrakty i dalšími EOA peněženkami ukazuje, že šlo o nástroj ke ztížení trasování hlavního finančního toku.
Větev 5: Solana část transakčního toku
Na základě dat z blockchainu Solana byly identifikovány dvě peněženky, které mezi sebou přesouvaly významné objemy prostředků ještě před samotným útokem. Konkrétně proběhly převody ve výši přibližně 203 000 SOL a později dalších 193 000 SOL, doplněné o menší testovací transakci 10 SOL. Tyto přesuny nepředstavovaly směnu aktiv, ale sloužily jako interní konsolidační kroky v rámci přípravy exploitu. Útočník tak shromažďoval prostředky na Solaně, než zneužil chybu ve Wormhole kontraktu, která mu umožnila vytvořit 120 000 wETH bez odpovídajícího zajištění (Chainalysis, 2022). Ačkoli Breadcrumbs neposkytuje plnou podporu pro síť Solana, kombinace dat ze služby Solana.fm a následné analýzy na Ethereu umožňuje propojit obě části operace do uceleného obrazu celého útoku.
Klíčové uzly v transakčním grafu
| Adresa | Label | Typ | Role v toku |
| 0x629e…b71a | Wormhole exploiter | EOA | Výchozí adresa útočníka |
| 0x1111…097d | 1inch Aggregation Router | Smart contract | On-chain směna aktiv |
| 0x58a3…ee47 | Curve SynthSwap | Smart contract | Swap ETH / stETH |
| 0x6352…4e64 | OpenOcean | Smart contract | DEX agregátor / routing |
| 0x0428…a2f2 | Primární úložiště wstETH | Smart contract | Primární úložiště wstETH |
| 0x248c…9b5c | Sekundární úložiště wstETH | Smart contract | Sekundární úložiště wstETH |
| 0x8184…af51 | Routing uzel | EOA | Směny a přeposílání ETH |
| 0x7f39…2ca0 | Lido wstETH kontrakt | Smart contract | ETH → stETH → wstETH |
Závěr
Analýza transakčních toků kolem incidentu Wormhole hack ukazuje, že i otevřená blockchainová data mohou poskytovat velmi detailní obraz o chování útočníků. Nástroj Breadcrumbs umožnil rychle identifikovat klíčové uzly, vizualizovat větvení toků přes DEX agregátory, stakingové deriváty i mezisměrovací adresy a propojit on-chain záznamy s kontextem z odborné literatury a forenzních reportů.
Z praktického hlediska se ukazuje, že Breadcrumbs je dobře použitelný pro základní forenzní analýzu a Competitive Intelligence – zejména tam, kde je potřeba rychle pochopit strukturu transakčního grafu a vybrat si několik nejzajímavějších adres k hlubšímu zkoumání. Zároveň má ale svá omezení: spoléhá na veřejné labely, které mohou být nepřesné, a nepokrývá všechny blockchainy stejně dobře.
Použité zdroje
Asiri, A., & Somasundaram, K. (2025). Graph convolution network for fraud detection in Bitcoin transactions. Scientific Reports, 15(1), 11076. Available on: https://doi.org/10.1038/s41598-025-95672-w
Carpentier-Desjardins, C., Paquet-Clouston, M., Kitzler, S., & Haslhofer, B. (2025). Mapping the DeFi crime landscape: An evidence-based picture. Journal of Cybersecurity, 11(1). Available on: https://doi.org/10.1093/cybsec/tyae029
Cola, G., Mazza, M., & Tesconi, M. (2024). From Tweet to Theft: Tracing the Flow of Stolen Cryptocurrency. Available on: https://doi.org/10.48550/arXiv.2406.18503
Elliptic. (2025). Stolen funds from the Wormhole hack on the move, after laying dormant for almost a year. Available on: https://www.elliptic.co/blog/analysis/stolen-funds-from-the-wormhole-hack-on-the-move-after-laying-dormant-for-almost-a-year
Elmougy, Y., & Liu, L. (2023). Demystifying fraudulent transactions and illicit nodes in the Bitcoin network for financial forensics. Proceedings of the 29th ACM SIGKDD Conference on Knowledge Discovery and Data Mining, 3979–3990. Available on: https://doi.org/10.1145/3580305.3599803
Chainalysis. (2022). Wormhole hack: Lessons from the Wormhole exploit. Available on: https://www.chainalysis.com/blog/wormhole-hack-february-2022/
Kumar, A., & Thing, V. L. L. (2025). A Survey of Transaction Tracing Techniques for Blockchain Systems. Available on: https://doi.org/10.48550/arXiv.2510.09624
Pocher, N., Zichichi, M., Merizzi, F., Shafiq, M. Z., & Ferretti, S. (2023). Detecting anomalous cryptocurrency transactions: An AML/CFT application of machine-learning-based forensics. Electronic Markets, 33(1), 37. Available on: https://doi.org/10.1007/s12525-023-00654-3
Regina, O., Ramli, K., & Amarullah, A. H. (2025). Illicit cryptocurrency investigation digital forensic framework: Integrating off-chain and on-chain analysis. International Journal of Electrical, Computer, and Biomedical Engineering, 3(2). Available on: https://doi.org/10.62146/ijecbe.v3i2.135
Ribeiro, P. H. R., & Leale, P. (2023). A proposal for an open-source Bitcoin forensics tool. Available on: https://ijcionline.com/paper/12/12623ijci13.pdf
Trozze, A., Davies, T., & Kleinberg, B. (2023). Of Degens and Defrauders: Using Open-Source Investigative Tools to Investigate DeFi Frauds and Money Laundering. Available on: https://doi.org/10.48550/arXiv.2303.00810
Etherscan – Blockchain Explorer. Available on: https://etherscan.io
Solana.fm – Solana Blockchain Explorer. Available on: https://solana.fm
Breadcrumbs – Blockchain Investigation Tool. Available on: https://www.breadcrumbs.app
