PORADNIKI REGULACJE TECHNOLOGIE AKTUALNOŚCI
— PORADNIKI —

Bezpieczeństwo, oszuści i co zrobić, gdy coś pójdzie nie tak

Krypto bez tajemnic · Część III z III

Finał serii: codzienna higiena bezpieczeństwa, mapa najczęstszych oszustw i ścieżka działania, gdy mimo wszystko coś pójdzie nie tak.

W pierwszej części serii wyjaśniliśmy, dlaczego krypto jest inne niż bank i co właściwie znaczy zasada not your keys, not your coins. W drugiej zajęliśmy się praktycznym wyborem giełdy i pierwszego portfela. Tę część poświęcamy temu, co przychodzi po założeniu konta i portfela: codziennej higienie bezpieczeństwa, najczęściej spotykanym oszustwom oraz temu, co realnie można zrobić, gdy mimo wszystko coś pójdzie nie tak.

₿

Operacyjne bezpieczeństwo — siedem nawyków, które robią różnicę

  1. Dwustopniowe uwierzytelnianie (2FA). W ustawieniach „security" konta giełdowego włącz potwierdzanie operacji aplikacją, np. Google Authenticator. Potwierdzanie SMS-em jest słabsze — SIM swapping, czyli przejęcie Twojego numeru u operatora, to dziś jedna z popularnych metod ataku.
  2. Osobny e-mail dla każdej giełdy. W idealnym świecie do logowania na każdej giełdzie używasz adresu, którego nie używasz nigdzie indziej — a przynajmniej jednego dedykowanego adresu wyłącznie do krypto, na osobnej domenie. To ogranicza skuteczność ataków typu credential stuffing, w których przestępcy używają haseł wyciekłych z innych serwisów.
  3. Sprawdzanie adresu odbiorcy przed każdą transakcją. Złośliwe oprogramowanie potrafi podmienić adres skopiowany do schowka. Po wklejeniu adresu sprawdź zawsze przynajmniej pierwsze i ostatnie cztery znaki. To kilka sekund, które ratują przed nieodwracalną stratą — na blockchainie nie ma cofania transakcji.
  4. Whitelist adresów na giełdzie. Każdy nowy adres, na który wysyłasz środki, wpisz na listę dozwolonych. Dzięki temu nawet po włamaniu na konto napastnik wypłaci środki tylko na adresy wskazane przez Ciebie. Dodanie nowego adresu zwykle wymaga zatwierdzenia z 24-godzinnym opóźnieniem.
  5. Portfel sprzętowy do wszystkiego, co warto chronić. Próg bólu finansowego jest u każdego inny, ale jeśli mówimy o kwotach, których utrata wymagałaby zmiany planów życiowych, warto wydać kilkaset złotych na Trezora lub Ledgera. To jednorazowy koszt i spokój na długo.
  6. Aktualizacje oprogramowania. Producenci portfeli i aplikacji giełdowych regularnie łatają luki bezpieczeństwa. Niezwłoczna aktualizacja w dniu publikacji to standard. Jeśli używasz rozszerzeń do przeglądarki (np. MetaMask), sprawdź, jak uruchamiać ich aktualizacje.
  7. Ostrożność w publicznych Wi-Fi. Kawiarnia, hotel, lotnisko — to sieci współdzielone z nieznajomymi. Logowanie na giełdę albo podpisywanie transakcji przez taką sieć to niepotrzebne ryzyko. Własny hotspot z telefonu je zmniejsza, a VPN dodaje warstwę szyfrowania. Żadne z tych rozwiązań nie chroni jednak przed phishingiem ani malware'em na samym urządzeniu — a to one odpowiadają za większość realnych strat.
Ξ

Czego się spodziewać po oszustach

Branża kryptowalutowa wytworzyła własną taksonomię oszustw, której warto być świadomym, zanim spotkasz któreś z nich w praktyce.

Phishing

Wiadomość e-mail lub SMS udająca giełdę, prosząca np. o „potwierdzenie konta" przez kliknięcie linka prowadzącego na fałszywą stronę. Złota zasada: nigdy nie loguj się na giełdę z linka w mailu — zawsze przez ręcznie wpisany adres.

Pig butchering

Osoba poznana w mediach społecznościowych, która po kilku tygodniach rozmów wprowadza temat „świetnej platformy inwestycyjnej, gdzie zarabia się kilka procent dziennie". Krypto kusi obietnicą wielkich zysków — jeśli coś wygląda zbyt dobrze, tym bardziej zachowaj czujność.

Fake support

Ktoś podaje się za pracownika MetaMaska, Ledgera lub giełdy i prosi o seed phrase, hasło albo kod 2FA „w celu zweryfikowania konta". Żadna z tych firm nigdy o to nie poprosi. Nigdy.

Fake airdrop

Informacja, że „kwalifikujesz się do darmowego airdropu", ale musisz „połączyć portfel z platformą", by odebrać tokeny. Samo połączenie portfela nie jest groźne, ale może prowadzić do podpisania transakcji, która opróżni cały portfel. Korzystaj tylko ze sprawdzonych adresów i aplikacji — informacje o właściwej stronie i kanałach (X, Telegram, Discord) danego projektu znajdziesz w portalach typu CoinGecko, CoinMarketCap czy DeFiLlama.

Address poisoning

Na Twój adres trafia mikroskopijna wpłata z adresu wyglądającego niemal identycznie jak ten, którego niedawno używałeś. Cel: byś przy kolejnej transakcji skopiował z historii adres oszusta zamiast właściwego. Zawsze sprawdzaj adres, na który wysyłasz środki.

— WSPÓLNY MIANOWNIK: POŚPIECH —

„Działaj teraz, bo stracisz okazję". „Twoje konto zostanie zablokowane w ciągu 24 godzin". „Tylko dziś". Niemal wszystkie te techniki łączy presja czasu. Szczególnie na początku warto być wyczulonym na takie komunikaty.

◆

Co zrobić, jeśli coś jednak pójdzie nie tak

Powiedzmy to wprost: kryptowaluty po stracie odzyskuje się rzadko i trudno.

Transakcje na blockchainie są nieodwracalne. Nie ma operatora, który cofnie przelew, ani nikogo, do kogo złożysz reklamację.

To nie oznacza jednak, że w razie incydentu nie należy działać.

Jeśli środki skradziono w wyniku włamania na giełdę albo padłeś ofiarą oszustwa, pierwszym krokiem jest zabezpieczenie pełnej dokumentacji: historii transakcji, korespondencji z oszustem, adresów docelowych i znaczników czasu. Drugim — zgłoszenie sprawy na policję oraz, jeśli dotyczy giełdy z licencją w UE, do regulatora wydającego licencję CASP. Trzecim, równie ważnym — kontakt z firmami zajmującymi się analizą blockchain (Chainalysis, Elliptic); w niektórych przypadkach skradzione środki udaje się prześledzić aż do giełd, które zgodzą się je zamrozić.

Jeśli problem wynika z upadłości lub niewypłacalności giełdy, sytuacja jest inna. Wtedy mamy do czynienia z roszczeniem cywilnym wobec spółki, a często też z postępowaniem karnym prowadzonym przez prokuraturę. W takim przypadku warto skontaktować się z kancelarią prawną, by podjąć właściwe kroki zabezpieczające Twoje interesy.

⬡

Podsumowanie — najważniejsze zasady

Bezpieczne wejście w kryptowaluty nie wymaga zaawansowanej wiedzy technologicznej. Wymaga dyscypliny w stosowaniu kilku prostych zasad.

  1. Not your keys, not your coins. Giełda to rachunek operacyjny, nie miejsce do przechowywania środków.
  2. Wybieraj giełdy z licencją CASP zweryfikowaną w rejestrze ESMA.
  3. Załóż własny portfel (MetaMask na początek wystarczy) i zabezpiecz seed phrase w formie fizycznej, w dwóch kopiach.
  4. Używaj 2FA opartego na aplikacji, nie na SMS-ie.
  5. Pośpiech jest przyczyną większości błędów — „okazje" to zazwyczaj próby wyłudzenia środków.
  6. Sprawdzaj adresy stron, na które wchodzisz.
— NA KONIEC —

Zacznij od małych kwot. A jeśli inwestujesz — tylko tyle, ile możesz stracić bez konsekwencji dla swojej sytuacji finansowej. Kryptowaluty to klasa aktywów o wysokiej zmienności, a wiele aplikacji działa wciąż w wersji „beta", więc mogą zdarzać się błędy prowadzące do utraty środków. Blockchain to bardzo ciekawa technologia, którą warto poznać — ale na początku lepiej nie dać się niepotrzebnie zniechęcić.

◇
— Cała seria: Krypto bez tajemnic —
III Bezpieczeństwo, oszuści i co zrobić, gdy coś pójdzie nie tak · czytasz teraz
— KONSULTACJE —

Jeśli potrzebujesz indywidualnych konsultacji dotyczących kryptowalut, chcesz zacząć działać na tym rynku albo masz pytania o swoją sytuację prawną — jako inwestor, osoba poszkodowana w wyniku oszustwa lub przedsiębiorca działający w tej branży — zapraszamy do kontaktu z kancelarią.

Napisz do nas

Niniejszy artykuł ma charakter informacyjny i edukacyjny. Nie stanowi porady inwestycyjnej ani porady prawnej.