Oszustwa związane z kryptowalutami

Telefon od osoby podającej się za pracownika obsługi klienta, oferta inwestycyjna promowana przez znajomą twarz lub nagroda, która niespodziewanie pojawia się w Twoim portfelu. Każda z tych sytuacji może wyglądać inaczej, ale wszystkie mogą prowadzić do tego samego skutku: ujawniamy poufne informacje, wysyłamy środki lub zatwierdzamy transakcję, nie rozumiejąc, na czym ona faktycznie polega.

Nie zawsze jesteśmy w stanie rozpoznać oszustwo na podstawie nazwy kryptowaluty lub wyglądu aplikacji. Ważniejsze jest to, o co prosi nas druga strona oraz jaki dostęp lub kontrolę jej przyznamy. Poniższe scenariusze pokazują, w jakich momentach możemy powstrzymać oszustwo, zanim wyrządzi ono jakąkolwiek szkodę.

Skup się na tym, o co prosi cię oszust

Osoba atakująca może zacząć od wzbudzenia w nas obaw o bezpieczeństwo naszego konta, obiecując wyjątkowe zyski lub stopniowo zdobywając nasze zaufanie. Presja czasu ogranicza nam wtedy możliwość weryfikacji. Czasami oszust prosi o kolejną wpłatę po tygodniach komunikacji; innym razem chce, abyśmy podjęli decydujący krok w ciągu kilku minut. Profesjonalne zachowanie i gotowość do udzielania odpowiedzi na pytania nie są same w sobie dowodem na to, że oferta jest wiarygodna.

Oceniając sytuację, powinniśmy zatem skupić się na konkretnym działaniu, o które nas proszą. Czy proszą nas o podanie danych logowania, zezwolenie na zdalny dostęp do urządzenia, przelanie pieniędzy czy podpisanie czegoś w portfelu? Stwierdzenie „to tylko etap weryfikacji” nie wyjaśnia, do czego faktycznie służy to potwierdzenie. Rozbieżność między tym, co obiecuje nadawca, a tym, co umożliwia żądane działanie, jest często najważniejszym sygnałem ostrzegawczym.

Fałszywe oferty pomocy technicznej mające na celu „ochronę” Twojego konta

Dzwoni ktoś, zna nasze imię i przedstawia się jako przedstawiciel serwisu kryptowalutowego. Twierdzi, że nasze konto zostało przejęte. Mamy zainstalować oprogramowanie do zdalnego dostępu i przenieść nasze kryptowaluty na nowy adres, który nam podadzą. Rzekomo ma to chronić środki przed kradzieżą.

W tym scenariuszu to, co przedstawiane jest jako środek bezpieczeństwa, staje się przelewem środków realizowanym zgodnie z poleceniem nieznajomego. Znajomość naszego imienia i nazwiska lub wyświetlenie znanego numeru telefonu nie potwierdza tożsamości dzwoniącego. Na przykład Coinbase ostrzega, że oszuści mogą podszywać się pod prawdziwe numery telefonów oraz że zespół obsługi klienta tej platformy nie prosi o podawanie haseł, kodów weryfikacyjnych ani o dokonywanie przelewów na adresy zewnętrzne.

Rozłączamy się i samodzielnie uzyskujemy dostęp do serwisu za pośrednictwem znanej nam aplikacji lub zweryfikowanej strony internetowej. Sprawdzamy tam, czy nie ma jakichkolwiek problemów, i kontaktujemy się z obsługą klienta za pośrednictwem niezależnie zweryfikowanego kanału. Nie korzystamy z numeru telefonu ani linku podanego przez dzwoniącego. Nigdy nie ujawniamy frazy odzyskiwania ani klucza prywatnego, nawet osobie, która obiecuje jedynie „sprawdzić” nasz portfel.

„Doradca inwestycyjny” pokazuje zyski na ekranie

Po odpowiedzi na ogłoszenie kontaktuje się z nami osoba podająca się za doradcę inwestycyjnego. Oferuje ona zautomatyzowany handel kryptowalutami i pomaga nam założyć konto. W tym przykładzie wpłacamy 20 000 CZK, a kilka dni później widzimy saldo w wysokości 31 000 CZK. Aplikacja wygląda przekonująco, a doradca chętnie wyjaśnia, co należy zrobić dalej.

Jednak liczba wyświetlana w aplikacji nie jest dowodem na to, że aktywa faktycznie istnieją. Policja Republiki Czeskiej opisuje oszustwa, w których platforma pokazuje fikcyjne zyski, podczas gdy sprawca stopniowo przekonuje ofiarę do dokonywania kolejnych wpłat. Zezwolenie na niewielką wypłatę może również pomóc w budowaniu zaufania. Taka wypłata sama w sobie nie potwierdza, że pozostałe środki istnieją lub są dostępne do wypłaty.

Kiedy próbujemy dokonać większej wypłaty, możemy zostać poproszeni o uiszczenie dodatkowej kwoty z tytułu rzekomego podatku, opłaty ubezpieczeniowej lub opłaty za odblokowanie konta. W tym przykładzie nakazano nam przesłać kolejne 8 000 CZK, aby uzyskać dostęp do już wyświetlonych zysków. Eskalujące żądania mogą po prostu zwiększyć nasze straty. Nazwanie płatności „podatkiem” nie czyni jej uzasadnioną.

Przed dokonaniem pierwszej wpłaty należy zweryfikować w oficjalnych rejestrach tożsamość operatora oraz jego uprawnienia do świadczenia regulowanych usług. Należy również sprawdzić, czy tożsamość firmy jest zgodna ze stroną internetową i danymi kontaktowymi, za pośrednictwem których się komunikujemy. Oszust może nadużywać nazwy prawdziwej firmy; dlatego Czeski Bank Narodowy (CNB) zaleca sprawdzenie zarówno licencji dostawcy, jak i jego faktycznej tożsamości. Zdjęcie dokumentu upoważniającego lub link do rejestru dostarczony przez drugą stronę nie zastępuje niezależnej weryfikacji.

Jeśli już znaleźliśmy się w takiej sytuacji, nie wysyłamy kolejnych pieniędzy tylko po to, by „uratować” nasz pierwotny depozyt. Weryfikujemy żądanie niezależnie od rzekomego doradcy. Presja, by zaciągnąć pożyczkę lub ukryć inwestycję przed rodziną i przyjaciółmi, to kolejny powód, by się zatrzymać i ponownie przemyśleć sprawę.

Znana strona internetowa prosi nas o ponowne zalogowanie się

Szukamy portfela lub serwisu, z którego regularnie korzystamy. Otwieramy wynik wyświetlający znane logo, a strona prosi nas o zalogowanie się. Następnie prosi o podanie frazy odzyskiwania, rzekomo w celu aktualizacji lub weryfikacji portfela.

Jest to typowa forma phishingu: fałszywa strona internetowa podszywa się pod zaufaną usługę w celu uzyskania poufnych informacji. Atak nie musi zaczynać się od podejrzanego e-maila. Coinbase ostrzega również przed fałszywymi reklamami w wyszukiwarkach, wiadomościami w mediach społecznościowych oraz fałszywymi aplikacjami zdecentralizowanymi. Wysoka pozycja w wynikach wyszukiwania nie gwarantuje zatem, że strona internetowa jest autentyczna.

Przed wprowadzeniem jakichkolwiek informacji sprawdzamy rzeczywistą nazwę domeny oraz pochodzenie aplikacji. Nie polegamy na linku zawartym w niechcianej wiadomości lub reklamie jako jedynym środku weryfikacji. Nigdy nie wpisujemy frazy odzyskiwania w formularzu otwartym w odpowiedzi na nieoczekiwaną prośbę. Jeśli rzeczywiście musimy przywrócić nasz portfel, postępujemy zgodnie ze zweryfikowanymi instrukcjami dostawcy portfela.

Podobna prośba może nawet pochodzić z konta należącego do kogoś, kogo znamy. Nietypowe wiadomości weryfikujemy za pośrednictwem innego kanału komunikacji. Płynna mowa, znajomy głos lub przekonujące wideo nie stanowią wystarczającego dowodu tożsamości; do ich naśladowania można również wykorzystać sztuczną inteligencję.

Portfel prosi o potwierdzenie rzekomej weryfikacji

Strona internetowa obiecuje nagrodę za podłączenie naszego portfela. Po podłączeniu twierdzi, że wystarczy podpisać prostą prośbę o weryfikację. Jednak portfel faktycznie wyświetla prośbę o zezwolenie na dostęp do tokenów, które już posiadamy.

W przypadku niektórych tokenów i aplikacji blockchainowych tzw. zatwierdzenie tokenów upoważnia wskazany adres lub kontrakt inteligentny do transferu określonych tokenów do uzgodnionego limitu. Jest to normalny mechanizm techniczny, ale może być również nadużywany. Nieograniczony limit sam w sobie nie jest dowodem oszustwa, jednak może znacznie zwiększyć konsekwencje udzielenia zgody niewłaściwej stronie.

Załóżmy, że posiadamy 1 000 tokenów USDC w sieci Ethereum, a strona internetowa oferuje nagrodę w wysokości 25 USDC. Zamiast po prostu przekazać oczekiwaną nagrodę, strona prosi o zgodę na dostęp do wszystkich naszych tokenów USDC. Ta rozbieżność jest kluczowym sygnałem ostrzegawczym. Nie zatwierdzamy tego żądania; zamiast tego sprawdzamy, dlaczego takie uprawnienie w ogóle byłoby potrzebne do wykonania obiecanej czynności.

Połączenie się ze stroną internetową, podpisanie wiadomości i udzielenie zgody na tokeny nie są działaniami zamiennymi.

Brak opłaty sieciowej nie oznacza, że podpis nie może narazić środków na ryzyko. Niektóre mechanizmy pozwalają na przyznanie uprawnień do tokenów poprzez podpisaną wiadomość, która może być następnie wykorzystana w łańcuchu bloków. Taki podpis nie może być automatycznie traktowany jako nieszkodliwe żądanie logowania.

Jeśli nie rozumiemy konsekwencji, odrzucamy żądanie. Zamknięcie strony lub odłączenie portfela nie cofa już udzielonej zgody. MetaMask wyraźnie rozróżnia odłączenie aplikacji od cofnięcia zgody na token.

W naszym portfelu pojawia się nieznana nagroda

Na liście aktywów znajdujemy token, którego nigdy nie kupiliśmy. Jego nazwa lub towarzyszący mu komunikat odsyła do strony internetowej, na której rzekomo możemy odebrać nagrodę. Strona ta prosi nas następnie o podłączenie portfela, podpisanie wiadomości lub dokonanie przedpłaty.

Otrzymanie nieznanego tokenu samo w sobie nie oznacza, że ktoś kontroluje nasze klucze prywatne. Token ten może jednak stanowić przynętę mającą na celu skłonienie nas do podjęcia dalszych działań. Coinbase ostrzega przed fałszywymi airdropami, a także przed tokenami, których transfery lub sprzedaż są ograniczone przez ukryte reguły smart kontraktów. Wyświetlana nazwa lub wartość tokenu nie gwarantuje zatem, że aktywo to można faktycznie sprzedać za pieniądze.

Nie odwiedzamy strony internetowej, do której link znajduje się w nazwie niechcianego tokenu, ani nie podpisujemy niczego z tego powodu. Jeśli nie możemy ustalić pochodzenia tokenu, możemy go pozostawić w spokoju lub ukryć w aplikacji. Prośba o dokonanie przelewu w celu „weryfikacji adresu” lub odblokowania nagrody jest powodem do zaprzestania dalszych działań. Legalne opłaty sieciowe rzeczywiście istnieją, ale samo ich wspomnienie nie czyni oferty autentyczną.

„Ekspert ds. odzyskiwania środków” obiecuje zwrot utraconych środków

Po wcześniejszej stracie kontaktuje się z nami osoba podająca się za specjalistę lub przedstawiciela prawnego. Twierdzi, że namierzyła środki, zna szczegóły sprawy i może odzyskać pieniądze. Najpierw jednak żąda przedpłaty, opłaty za uwolnienie środków lub dostępu do naszego portfela.

Może to być oszustwo następcze, powszechnie znane jako oszustwo związane z odzyskiwaniem środków. FBI ostrzega przed firmami, które obiecują odzyskać skradzioną kryptowalutę, pobierają opłatę z góry, a następnie przestają odpowiadać lub żądają dalszych płatności. Oszuści mogą nawet podszywać się pod osoby powiązane z organami prawnymi lub organami ścigania.

Śledzenie przepływu środków nie jest równoznaczne z kontrolowaniem ich ani z możliwością wymuszenia ich zwrotu. Raport zawierający listę adresów i transakcji nie dowodzi zatem, że jego autor kontroluje te pieniądze. Nie weryfikujemy nieproszonych obietnic gwarantowanego odzyskania środków poprzez wysyłanie kolejnej płatności. Przekazujemy odpowiednią dokumentację poszkodowanej instytucji oraz policji, a dane nowego kontaktu przechowujemy w ramach prowadzonej sprawy.

Przed potwierdzeniem sprawdź zarówno źródło, jak i konsekwencje

Opisane powyżej scenariusze łączy jedna prosta zasada: należy zweryfikować wiadomość lub ofertę za pośrednictwem kanału niezależnego od osoby, która prosi o podjęcie działania. Inny kontakt podany przez tę samą osobę może nie stanowić niezależnej weryfikacji.

Przed dokonaniem płatności, zainstalowaniem oprogramowania lub podpisaniem czegokolwiek powinniśmy zadać sobie kilka pytań:

Czy sami zainicjowaliśmy to działanie, czy też odpowiadamy na nieproszoną prośbę?

Co dokładnie ujawnilibyśmy drugiej stronie lub na co pozwolilibyśmy jej?

Czy skutek żądanego działania jest zgodny z tym, co chcemy osiągnąć?

Czy zweryfikowaliśmy tożsamość i warunki niezależnie od podanych linków i danych kontaktowych?

Czy możemy odłożyć decyzję i poświęcić trochę czasu na sprawdzenie informacji?

Pojedynczy sygnał ostrzegawczy niekoniecznie świadczy o oszustwie. Nie musimy jednak wykazywać zamiaru popełnienia przestępstwa, aby odrzucić niejasną prośbę. Wystarczy, że nie możemy zweryfikować jej źródła ani racjonalnie wyjaśnić, dlaczego potrzebny jest dostęp do naszych środków.

Jeśli już udzieliliśmy odpowiedzi

Przestajemy wysyłać pieniądze i wykonywać polecenia podejrzanej osoby. Jeśli zdarzenie dotyczy przelewu bankowego, karty płatniczej lub dostępu do bankowości internetowej, natychmiast kontaktujemy się z naszym bankiem. Kontaktujemy się również z odpowiednim dostawcą usług kryptowalutowych za pośrednictwem jego oficjalnych kanałów. Szybkie działanie może ograniczyć dalsze szkody, choć nie można zagwarantować wyniku.

To, co robimy dalej, zależy od już podjętych działań. Jeśli ujawniono hasło lub kod weryfikacyjny, zabezpieczamy konto za pomocą zaufanego urządzenia oraz sprawdzamy podłączone urządzenia i adres e-mail służący do odzyskiwania dostępu. Jeśli doszło do włamania na komputer, nie używamy tego samego, potencjalnie niebezpiecznego urządzenia ani ścieżki dostępu do zmiany danych konta.

Jeśli udzieliliśmy zgody za pomocą tokena, musimy sprawdzić i, w razie potrzeby, cofnąć to konkretne uprawnienie w odpowiedniej sieci. W przypadku podpisanych wiadomości sposób postępowania zależy od rodzaju podpisu: standardowe cofnięcie zgody może nie obejmować wszystkich podpisanych żądań. Korzystamy ze sprawdzonej dokumentacji dotyczącej używanego przez nas portfela, zamiast klikać w nowo dostarczony link „odzyskiwania”.

Jeśli fraza odzyskiwania lub klucz prywatny zostały ujawnione, zmiana hasła do aplikacji nie wystarczy. Wszelkie pozostałe środki mogą wymagać zabezpieczenia za pomocą nowych, niezależnie wygenerowanych kluczy w zaufanym środowisku, a my powinniśmy zaprzestać korzystania z naruszonego portfela. Jeśli przychodzące środki znikają natychmiast, nie wysyłamy na ślepo kolejnych kryptowalut w celu pokrycia opłat transakcyjnych: portfel może być opróżniany przez zautomatyzowany program kontrolowany przez atakującego.

Zachowujemy wiadomości, adresy stron internetowych i szczegóły płatności, w tym identyfikatory transakcji kryptowalutowych. Zgłaszamy podejrzenia działalności przestępczej do Policji Republiki Czeskiej. Nie czekamy na obiecany zwrot środków ani na odpowiedź od rzekomego doradcy. Poczucie wstydu nie powinno opóźniać podjęcia kroków, które mogą pomóc w zapobieganiu dalszym stratom.

Wniosek

Oszustwa związane z kryptowalutami często kończą się sukcesem, gdy ktoś akceptuje wyjaśnienia atakującego bez zastanowienia się nad konsekwencjami własnych działań. Rzekoma ochrona konta może oznaczać przekazanie pieniędzy nieznajomemu; obietnica zwrotu może prowadzić do fałszywej platformy; a pozornie rutynowa weryfikacja portfela może skutkować przyznaniem niebezpiecznych uprawnień.

Najskuteczniejszą obroną jest zatrzymanie się przed podjęciem decydującego działania i niezależne zweryfikowanie go. Znajome logo, przekonujący głos czy rosnące saldo na ekranie to za mało. Musimy wiedzieć, kto naprawdę zgłasza prośbę i na co się zgadzamy, potwierdzając ją.

Jeśli udostępniliśmy już informacje lub wysłaliśmy środki, nasze kolejne kroki powinny odzwierciedlać charakter zagrożenia. Natychmiastowe zabezpieczenie konta, skontaktowanie się z bankiem lub dostawcą usług oraz zabezpieczenie dowodów są ważniejsze niż uiszczanie kolejnej opłaty za obiecaną odzyskanie środków.