Jak rozpoznać oszustwo (scam) w krypto? Praktyczny przewodnik

Dostajesz na Discordzie prywatną wiadomość: “Zostałeś wybrany do ekskluzywnego airdropu, kliknij i odbierz nagrodę, zanim wygaśnie”. Serce podskakuje, bo przecież wszyscy mówią, że na airdropach można sporo zgarnąć. Palec już wędruje w stronę linku. I właśnie w tym momencie rozstrzyga się, czy zostaniesz z pełnym portfelem, czy z pustym.

W świecie kryptowalut nie ma banku, który cofnie przelew, ani infolinii, która odzyska ukradzione środki. Ta sama wolność, która czyni krypto tak potężnym, sprawia też, że oszuści traktują tę przestrzeń jak plac zabaw. Dobra wiadomość jest taka, że zdecydowana większość scamów działa według kilku powtarzalnych schematów. Kiedy raz nauczysz się je rozpoznawać, przestają być groźne. Ten przewodnik pokaże Ci, jak myślą oszuści i jak konkretnie się przed nimi bronić.

Phishing, czyli fałszywa strona podszywająca się pod prawdziwą

Phishing to najstarsza i wciąż najskuteczniejsza sztuczka w internecie, a w krypto działa wyjątkowo boleśnie. Zasada jest prosta: oszust tworzy stronę łudząco podobną do prawdziwej giełdy lub portfela, po czym nakłania Cię, żebyś się na niej “zalogował” albo podał swoje dane.

Wyobraź sobie, że wpisujesz w wyszukiwarkę nazwę popularnej giełdy. Pierwszy wynik to reklama, klikasz, strona wygląda identycznie jak ta, którą znasz. Wpisujesz login i hasło, może nawet kod z aplikacji 2FA. Problem w tym, że adres w pasku przeglądarki to nie binance.com, tylko coś w rodzaju binance-login.net albo bìnance.com z podmienioną literą. W kilka sekund oszust ma Twoje dane logowania.

Phishing przychodzi różnymi kanałami: e-mailem o “podejrzanej aktywności na koncie”, SMS-em z linkiem do “weryfikacji”, wiadomością na X czy Telegramie. Cel zawsze jest ten sam, czyli skłonić Cię do kliknięcia i wpisania czegoś tam, gdzie nie powinieneś.

Jak się bronić? Zawsze wchodź na giełdę czy portfel z zakładki w przeglądarce, którą sam zapisałeś, a nie z linku w wiadomości czy z reklamy. Zanim cokolwiek wpiszesz, przeczytaj adres URL litera po literze. I zapamiętaj żelazną regułę: żaden prawdziwy portfel Ethereum ani giełda nigdy nie poprosi Cię o frazę seed przez stronę internetową.

Fałszywe airdropy i drainery, czyli złodziej za jednym podpisem

To kategoria, która wykończyła wielu doświadczonych użytkowników, bo tu nie chodzi o wyłudzenie hasła, tylko o Twój własny podpis. Prawdziwy airdrop to darmowe rozdanie tokenów, ale oszuści podszywają się pod tę mechanikę, żeby podsunąć Ci do podpisania złośliwą transakcję.

Scenariusz wygląda tak. Trafiasz na stronę obiecującą darmowe tokeny. Podłączasz portfel, klikasz “Claim” i portfel prosi Cię o zatwierdzenie transakcji. Wygląda niewinnie, ale to, co faktycznie podpisujesz, to approve dającą obcemu smart kontraktowi prawo do dysponowania Twoimi tokenami. Taki złośliwy kontrakt nazywa się drainerem. Sekundę po podpisie Twój portfel jest pusty, a Ty nawet nie wpisałeś żadnego hasła.

Najgroźniejsze jest to, że wszystko dzieje się zgodnie z zasadami blockchaina. Nikt Cię nie zhakował, Ty sam autoryzowałeś operację. Dlatego tak ważne jest, żeby czytać, co dokładnie podpisujesz. Jeśli portfel pokazuje, że przyznajesz nieograniczony dostęp do swoich środków, a spodziewałeś się jedynie odebrać darmowy token, to sygnał alarmowy.

Twoim narzędziem obrony jest regularne sprawdzanie i cofanie przyznanych uprawnień. Serwisy takie jak revoke.cash pozwalają zobaczyć, którym kontraktom dałeś dostęp do swoich tokenów, i odebrać te niepotrzebne. Rób to co jakiś czas, zwłaszcza jeśli aktywnie korzystasz z DeFi czy giełd zdecentralizowanych DEX. A do eksperymentowania z nowymi protokołami używaj osobnego portfela z niewielką kwotą, nie tego, na którym trzymasz oszczędności.

Fałszywe wsparcie i podszywanie się pod administratorów

Wpiszesz na X czy Discordzie pytanie o problem z portfelem albo transakcją i w ciągu minuty odezwie się do Ciebie “pracownik supportu”. Będzie miły, pomocny i skuteczny, tyle że w opróżnianiu Twojego konta.

Oszuści monitorują publiczne kanały i rzucają się na każdego, kto sygnalizuje kłopot. Podszywają się pod administratorów, moderatorów i zespoły wsparcia. Tworzą konta z nazwą i awatarem identycznym jak prawdziwy support, różniącym się jedną literą. Potem proszą, żebyś “zweryfikował portfel” przez stronę do synchronizacji albo podał frazę seed, żeby mogli “naprawić błąd”.

Zapamiętaj proste rozgraniczenie. Prawdziwy support nigdy nie odzywa się pierwszy w prywatnej wiadomości i nigdy nie prosi o frazę seed ani klucz prywatny. Zawsze. Jeśli ktoś to robi, jest oszustem, bez wyjątków. Oficjalne zespoły komunikują się na publicznych kanałach i nigdy nie potrzebują Twoich kluczy, żeby Ci pomóc.

Rug pull, fałszywe tokeny i “gwarantowane zyski”

Ta grupa oszustw gra na najprostszym ludzkim odruchu, czyli chciwości. Ktoś obiecuje Ci zysk, który brzmi zbyt pięknie, i to jest właśnie problem, bo najczęściej jest zbyt piękny, żeby był prawdziwy.

Rug pull to klasyk. Twórcy tworzą nowy token, rozkręcają wokół niego szum, ludzie kupują, cena rośnie. W pewnym momencie założyciele wyciągają całą płynność i znikają, a token staje się bezwartościowy. Nazwa pochodzi od “wyciągnięcia dywanu spod nóg”.

Fałszywe tokeny to podszywanie się pod znane projekty. Ktoś tworzy token o nazwie identycznej jak popularny altcoin, licząc, że kupisz go bez sprawdzenia adresu kontraktu. Zawsze weryfikuj oficjalny adres tokena na stronie projektu, a nie na podstawie samej nazwy.

Schematy Ponziego i piramidy obiecują stały, “gwarantowany” zysk, na przykład procent dziennie. W krypto nie istnieje coś takiego jak gwarantowany zysk, kropka. Wypłaty pochodzą z wpłat nowych uczestników, a nie z żadnej realnej działalności. Kiedy dopływ nowych ludzi się zatrzymuje, całość się zawala i pieniądze przepadają. Jeśli ktoś obiecuje pewny zysk i naciska, żebyś przyprowadził znajomych, uciekaj.

Warto tu dodać, że Komisja Nadzoru Finansowego prowadzi publiczną listę ostrzeżeń KNF, na której wpisywane są podmioty podejrzewane o nielegalną działalność. To realne, darmowe narzędzie. Zanim powierzysz komuś pieniądze, sprawdź, czy nie widnieje na tej liście.

Fałszywe aplikacje i rozszerzenia

Ostatni schemat atakuje Cię przez oprogramowanie. Oszuści publikują w sklepach z aplikacjami i dodatkami do przeglądarek fałszywe wersje popularnych portfeli, takich jak MetaMask. Wyglądają identycznie, mają nawet opinie, ale ich jedynym zadaniem jest przechwycenie Twojej frazy seed w momencie, gdy wpiszesz ją przy konfiguracji.

Zdarza się też, że fałszywe rozszerzenie podmienia w tle skopiowany adres portfela na adres oszusta. Kopiujesz adres znajomego, wklejasz, wysyłasz, a środki lądują u złodzieja.

Pobieraj aplikacje i rozszerzenia wyłącznie z oficjalnych stron projektów, sprawdzając liczbę pobrań i wydawcę. Uważaj na dodatki z zaledwie kilkoma instalacjami udające znane marki. I zawsze, przed wysłaniem transakcji, sprawdź kilka pierwszych i ostatnich znaków adresu docelowego.

Kilka zasad, które chronią przed większością scamów

Gdybym miał zamknąć całą tę wiedzę w kilku regułach, które warto powtarzać sobie jak mantrę, wyglądałyby tak:

• NIGDY nikomu nie podawaj frazy seed ani klucza prywatnego. Nie ma sytuacji, w której legalny podmiot tego potrzebuje. Ktokolwiek prosi, jest oszustem.
• Weryfikuj domenę i adres URL przed wpisaniem czegokolwiek. Wchodź z własnych zakładek, nie z linków w wiadomościach i nie z reklam.
• Sprawdzaj i cofaj uprawnienia przyznane kontraktom, na przykład przez revoke.cash. To Twój regularny przegląd bezpieczeństwa.
• Używaj portfela sprzętowego do większych kwot. Nawet jeśli podpiszesz złośliwą transakcję, urządzenie pokaże Ci, co faktycznie zatwierdzasz, i da szansę na refleksję.
• Trzymaj się zasady “za dobre, by było prawdziwe”. Darmowe tokeny bez powodu, gwarantowany zysk, pilna oferta z odliczaniem czasu, to wszystko czerwone flagi.

Warto też wiedzieć, że nasz serwis regularnie opisuje włamania i głośne kradzieże w ekosystemie. Śledzenie takich historii to nie czcza ciekawość, lecz nauka na cudzych błędach, dzięki której szybciej rozpoznasz nowy wariant starego oszustwa.

Podsumowanie

Oszustwa w krypto wyglądają groźnie, dopóki nie zrozumiesz, że niemal wszystkie sprowadzają się do jednego: nakłonienia Cię, żebyś sam oddał dostęp do swoich środków. Phishing chce Twojego hasła, drainer Twojego podpisu, fałszywy support Twojej frazy seed, a piramida Twojej chciwości. We wszystkich przypadkach kluczem jest ten moment, gdy zatrzymujesz się na sekundę i pytasz: czy to na pewno wygląda tak, jak powinno?

Ta chwila wątpliwości jest Twoją najlepszą tarczą. Połącz ją z żelazną ochroną frazy seed, portfelem sprzętowym na oszczędności i nawykiem bezpiecznego przechowywania kryptowalut, a znajdziesz się poza zasięgiem zdecydowanej większości oszustów. W krypto to Ty jesteś swoim własnym bankiem, ochroniarzem i działem bezpieczeństwa. Brzmi jak duża odpowiedzialność, bo nią jest, ale gdy opanujesz te kilka zasad, stanie się po prostu Twoją drugą naturą.