Podvody s kryptoměnami

Telefonát od někoho, kdo se vydává za zástupce zákaznické podpory, investiční příležitost propagovaná známou tváří nebo odměna, která se nečekaně objeví ve vaší peněžence. Každá situace může vypadat jinak, ale všechny mohou vést ke stejnému výsledku: prozradíme citlivé informace, pošleme peníze nebo schválíme transakci, aniž bychom pochopili, co se tím vlastně děje.

Podvod nemusíme nutně rozpoznat podle názvu kryptoměny nebo vzhledu aplikace. Důležitější je to, o co nás druhá strana žádá a jaký přístup nebo kontrolu bychom jí tím poskytli. Následující scénáře poukazují na momenty, kdy můžeme podvod zastavit, než dojde k jakékoli škodě.

Soustřeďte se na to, co po vás podvod požaduje

Útočník může nejprve vyvolat obavy o bezpečnost našeho účtu, slibovat mimořádné výnosy nebo si postupně získávat naši důvěru. Časový tlak pak ponechává méně prostoru pro ověření. Někdy útočník po týdnech komunikace požádá o další vklad; jindy chce, abychom učinili rozhodující krok během několika minut. Profesionální vystupování a ochota odpovídat na otázky samy o sobě nejsou důkazem, že je nabídka legitimní.

Při posuzování situace se proto vraťme ke konkrétní akci, o kterou je žádáno. Jsme žádáni o sdělení přihlašovacích údajů, povolení vzdáleného přístupu k zařízení, převod peněz nebo podepsání něčeho v peněžence? Fráze „je to jen ověřovací krok“ nevysvětluje, co toto potvrzení ve skutečnosti způsobí. Rozdíl mezi tím, co je slibováno, a tím, co požadovaná akce umožňuje, je často nejdůležitějším varovným signálem.

Falešné nabídky podpory na „ochranu“ vašeho účtu

Někdo zavolá, zná naše jméno a představí se jako zástupce služby pro kryptoměny. Tvrdí, že náš účet byl napaden. Je nám řečeno, abychom nainstalovali software pro vzdálený přístup a přesunuli naše kryptoměny na novou adresu, kterou nám poskytnou. Údajně to ochrání prostředky před krádeží.

V tomto scénáři se to, co je prezentováno jako bezpečnostní opatření, stává převodem finančních prostředků provedeným na pokyn neznámé osoby. Znalost našeho jména nebo zobrazení známého telefonního čísla neověřuje totožnost volajícího. Například Coinbase varuje, že podvodníci mohou napodobovat skutečná telefonní čísla a že její tým podpory nepožaduje hesla, ověřovací kódy ani převody na externí adresy.

Hovor ukončíme a ke službě se připojíme samostatně prostřednictvím aplikace, kterou již známe, nebo ověřeného webu. Tam zkontrolujeme, zda nedošlo k nějakému problému, a kontaktujeme podporu prostřednictvím nezávisle ověřeného kanálu. Nepoužíváme telefonní číslo ani odkaz poskytnutý volajícím. Nikdy nesdělujeme obnovovací frázi ani soukromý klíč, a to ani někomu, kdo slibuje, že naši peněženku pouze „zkontroluje“.

„Investiční poradce“ ukazuje zisky na obrazovce

Poté, co zareagujeme na inzerát, nás kontaktuje někdo, kdo se vydává za investičního poradce. Nabízí automatizované obchodování s kryptoměnami a pomůže nám založit účet. V tomto příkladu vložíme 20 000 Kč a o několik dní později vidíme zůstatek 31 000 Kč. Aplikace vypadá přesvědčivě a poradce ochotně vysvětluje, co dělat dál.

Číslo zobrazené v aplikaci však není důkazem toho, že daná aktiva skutečně existují. Policie České republiky popisuje podvody, při nichž platforma zobrazuje fiktivní zisky, zatímco pachatel postupně přesvědčuje oběť, aby provedla další vklady. K budování důvěry může přispět i povolení malého výběru. Taková výplata sama o sobě však neznamená, že zbývající prostředky existují nebo jsou k dispozici k výběru.

Pokusíme-li se o větší výběr, můžeme být požádáni o zaplacení dodatečné částky za údajnou daň, pojistné nebo poplatek za odblokování účtu. V tomto příkladu nám bylo řečeno, abychom poslali dalších 8 000 Kč, abychom získali přístup k již zobrazeným výnosům. Stále vyšší požadavky mohou pouze zvýšit naše ztráty. To, že se platba nazývá „daň“, ještě neznamená, že je legitimní.

Před provedením prvního vkladu si v oficiálních rejstřících ověříme skutečného provozovatele a jeho oprávnění k poskytování regulované služby. Zkontrolujeme také, zda se identita společnosti shoduje s webovými stránkami a kontaktními údaji, prostřednictvím kterých komunikujeme. Podvodník může zneužít název skutečné společnosti; Česká národní banka (ČNB) proto doporučuje ověřit jak licenci poskytovatele, tak jeho skutečnou totožnost. Fotografie autorizačního dokladu nebo odkaz na rejstřík poskytnutý druhou stranou nenahrazují nezávislou kontrolu.

Pokud se již v takové situaci ocitneme, neposílejme další peníze jen proto, abychom „zachránili“ svůj původní vklad. Požadavek ověřujeme nezávisle na údajném poradci. Tlak na sjednání úvěru nebo utajení investice před rodinou a přáteli je dalším důvodem, proč se zastavit a situaci přehodnotit.

Známá webová stránka nás žádá o opětovné přihlášení

Hledáme peněženku nebo službu, kterou pravidelně používáme. Otevřeme výsledek s známým logem a webová stránka nás požádá o přihlášení. Poté si vyžádá naši obnovovací frázi, údajně za účelem aktualizace nebo ověření peněženky.

Jedná se o typickou formu phishingu: podvodná webová stránka se vydává za důvěryhodnou službu, aby získala citlivé informace. Útok nemusí nutně začínat podezřelým e-mailem. Coinbase také varuje před podvodnými reklamami ve vyhledávačích, zprávami na sociálních sítích a falešnými decentralizovanými aplikacemi. Vysoké umístění ve výsledcích vyhledávání proto ještě neznamená, že je webová stránka autentická.

Před zadáním jakýchkoli informací zkontrolujeme skutečný název domény a původ aplikace. Nespoléháme se na odkaz z nevyžádané zprávy nebo reklamy jako na jediný prostředek ověření. Nikdy nezadáváme obnovovací frázi do formuláře otevřeného v reakci na neočekávanou žádost. Pokud skutečně potřebujeme obnovit svou peněženku, postupujeme podle ověřených pokynů poskytovatele peněženky.

Podobná žádost může dokonce pocházet z účtu někoho, koho známe. Neobvyklé zprávy ověřujeme prostřednictvím jiného komunikačního kanálu. Plynulý jazyk, známý hlas nebo přesvědčivé video nejsou dostatečným důkazem totožnosti; k jejich napodobení lze využít i umělou inteligenci.

Peněženka žádá o potvrzení údajného ověření

Webová stránka slibuje odměnu za propojení naší peněženky. Jakmile je peněženka propojena, tvrdí, že stačí podepsat jednoduchou žádost o ověření. Peněženka však ve skutečnosti zobrazuje žádost o povolení přístupu k tokenům, které již vlastníme.

U některých tokenů a blockchainových aplikací tzv. schválení tokenu opravňuje určenou adresu nebo smart kontrakt k převodu specifikovaných tokenů až do dohodnutého limitu. Jedná se o běžný technický mechanismus, který však lze také zneužít. Neomezený limit sám o sobě není důkazem podvodu, může však výrazně zvýšit následky udělení souhlasu nesprávné straně.

Předpokládejme, že na síti Ethereum držíme 1 000 tokenů USDC a webová stránka nabízí odměnu ve výši 25 USDC. Místo toho, aby nám jednoduše poskytla očekávanou odměnu, požádá o oprávnění k přístupu ke všem našim USDC. Právě tento nesoulad je klíčovým varovným signálem. Žádost neschválíme; místo toho si ověříme, proč by takové oprávnění pro slíbenou akci vůbec bylo potřeba.

Připojení k webové stránce, podepsání zprávy a udělení souhlasu s tokenem nejsou zaměnitelné akce.

Absence síťového poplatku neznamená, že podpis nemůže ohrozit finanční prostředky. Některé mechanismy umožňují udělit oprávnění k tokenům prostřednictvím podepsané zprávy, kterou lze následně použít na blockchainu. Takový podpis nesmí být automaticky považován za neškodnou žádost o přihlášení.

Pokud nerozumíme důsledkům, žádost zamítneme. Zavření stránky nebo odpojení peněženky nezruší již udělený souhlas. MetaMask výslovně rozlišuje mezi odpojením aplikace a zrušením souhlasu s tokenem.

V naší peněžence se objeví neznámá odměna

V seznamu našich aktiv najdeme token, který jsme nikdy nekoupili. Jeho název nebo doprovodná zpráva odkazuje na webovou stránku, kde si údajně můžeme nárokovat odměnu. Stránka nás poté požádá o připojení peněženky, podepsání zprávy nebo provedení platby předem.

Samotný příjem neznámého tokenu ještě neznamená, že někdo ovládá naše soukromé klíče. Tento token však může být návnadou určenou k vyvolání dalšího jednání. Coinbase varuje před podvodnými airdropy i před tokeny, jejichž převody nebo prodej jsou omezeny skrytými pravidly smart kontraktů. Zobrazený název nebo hodnota tokenu proto není zárukou, že daný token lze skutečně prodat za peníze.

Nenavštěvujeme webovou stránku, na kterou odkazuje název nevyžádaného tokenu, ani kvůli tomu nic nepodepisujeme. Pokud nemůžeme zjistit původ tokenu, můžeme jej nechat být nebo jej v aplikaci skrýt. Žádost o provedení převodu nejprve za účelem „ověření adresy“ nebo odemknutí odměny je důvodem k zastavení. Legitimní síťové poplatky sice existují, ale jejich zmínka ještě neznamená, že je nabídka autentická.

„Expert na vymáhání“ slibuje vrácení ztracených prostředků

Po předchozí ztrátě nás kontaktuje někdo, kdo se vydává za odborníka nebo právního zástupce. Tvrdí, že prostředky vystopovali, znají podrobnosti případu a mohou peníze získat zpět. Nejprve však požadují zálohu, poplatek za uvolnění prostředků nebo přístup k naší peněžence.

Může se jednat o navazující podvod, běžně známý jako „podvod s navrácením prostředků“. FBI varuje před společnostmi, které slibují navrácení ukradené kryptoměny, vybírají poplatek předem a poté přestanou reagovat nebo požadují další platby. Podvodníci se mohou dokonce vydávat za osoby spojené s právními nebo donucovacími orgány.

Sledování pohybu finančních prostředků není totéž jako mít nad nimi kontrolu nebo být schopen vynutit jejich vrácení. Zpráva obsahující seznam adres a transakcí proto neprokazuje, že její autor má nad penězi kontrolu. Nevěříme nevyžádaným slibům zaručeného navrácení prostředků tím, že bychom zaslali další platbu. Poskytujeme příslušné záznamy dotčené službě a policii a uchováváme údaje o novém kontaktu jako součást případu.

Před potvrzením ověřte jak zdroj, tak důsledky

Výše popsané scénáře mají jedno společné pravidlo: ověřte zprávu nebo nabídku prostřednictvím kanálu nezávislého na osobě, která o daný úkon žádá. Jiný kontakt poskytnutý tou samou osobou nemusí představovat nezávislé ověření.

Než provedeme platbu, nainstalujeme software nebo něco podepíšeme, měli bychom si položit několik otázek:

Byli jsme to my, kdo tuto akci inicioval, nebo reagujeme na nevyžádanou žádost?

Co přesně bychom druhé straně sdělili nebo co bychom jí umožnili udělat?

Odpovídá účinek požadované akce tomu, čeho se snažíme dosáhnout?

Ověřili jsme totožnost a podmínky nezávisle na poskytnutých odkazech a kontaktních údajích?

Můžeme rozhodnutí odložit a věnovat čas ověření informací?

Jediný varovný signál nemusí nutně znamenat podvod. K odmítnutí nejasné žádosti však nemusíme prokazovat zločinný úmysl. Stačí, že nemůžeme ověřit její původ ani rozumně vysvětlit, proč je přístup k našim finančním prostředkům potřebný.

Pokud jsme již odpověděli

Přestaneme posílat peníze a řídit se pokyny podezřelé osoby. Pokud se incident týká bankovního převodu, platební karty nebo přístupu k internetovému bankovnictví, okamžitě kontaktujeme naši banku. Rovněž kontaktujeme příslušného poskytovatele služeb v oblasti kryptoměn prostřednictvím jeho oficiálních kanálů. Rychlá reakce může omezit další škody, i když výsledek nelze zaručit.

Další postup závisí na již přijatých opatřeních. Pokud došlo k prozrazení hesla nebo ověřovacího kódu, zabezpečíme účet pomocí důvěryhodného zařízení a zkontrolujeme připojená zařízení i e-mailovou adresu pro obnovení. Pokud došlo k napadení počítače, nepoužíváme stejné potenciálně nebezpečné zařízení ani přístupovou cestu ke změně údajů o účtu.

Pokud jsme udělili schválení pomocí tokenu, musíme toto konkrétní oprávnění v příslušné síti zkontrolovat a případně zrušit. U podepsaných zpráv závisí náprava na typu podpisu: standardní zrušení schválení nemusí vyřešit všechny podepsané žádosti. Řídíme se ověřenou dokumentací k peněžence, kterou používáme, místo toho, abychom klikali na nově zaslaný „obnovovací“ odkaz.

Pokud došlo k úniku obnovovací fráze nebo soukromého klíče, nestačí pouze změnit heslo aplikace. Zbývající prostředky bude možná nutné zabezpečit pomocí nových, nezávisle vygenerovaných klíčů v důvěryhodném prostředí a měli bychom přestat používat kompromitovanou peněženku. Pokud příchozí prostředky okamžitě zmizí, neposíláme slepě další kryptoměnu na pokrytí transakčních poplatků: peněženku může vyprázdňovat automatizovaný program ovládaný útočníkem.

Uchováváme zprávy, adresy webových stránek a platební údaje, včetně identifikátorů transakcí s kryptoměnami. Podezření na trestnou činnost nahlásíme policii České republiky. Nečekáme na slíbenou náhradu ani na odpověď od údajného poradce. Pocit rozpaků by neměl oddalovat kroky, které mohou pomoci zabránit dalším ztrátám.

Závěr

Podvody s kryptoměnami jsou často úspěšné, když někdo přijme vysvětlení útočníka, aniž by zvážil důsledky svých vlastních činů. Údajná ochrana účtu může znamenat převod peněz neznámé osobě; slib výnosů může vést k falešné platformě; a zdánlivě rutinní ověření peněženky může udělit nebezpečná oprávnění.

Nejúčinnější obranou je zastavit se před provedením rozhodujícího kroku a nezávisle si jej ověřit. Známé logo, přesvědčivý hlas nebo rostoucí zůstatek na obrazovce nestačí. Musíme vědět, kdo skutečně žádost podává a co tím potvrzením umožňujeme.

Pokud jsme již sdíleli informace nebo poslali prostředky, měly by naše další kroky odpovídat povaze ohrožení. Okamžité zabezpečení účtu, kontaktování banky nebo poskytovatele služeb a uchování důkazů mají větší hodnotu než zaplacení dalšího poplatku za slíbené navrácení prostředků.