Podvody s kryptomenami

Telefonát od niekoho, kto sa vydáva za pracovníka zákazníckej podpory, investičná príležitosť propagovaná známou tvárou alebo odmena, ktorá sa nečakane objaví vo vašej peňaženke. Každá situácia môže vyzerať inak, ale všetky môžu viesť k rovnakému výsledku: prezradíme citlivé informácie, pošleme peniaze alebo schválime transakciu bez toho, aby sme pochopili, čo sa tým vlastne deje.

Podvod nemôžeme vždy rozpoznať podľa názvu kryptomeny alebo vzhľadu aplikácie. Dôležitejšie je to, o čo nás druhá strana žiada a aký prístup alebo kontrolu by sme jej tým poskytli. Nasledujúce scenáre poukazujú na momenty, v ktorých môžeme podvod zastaviť skôr, než dôjde k akejkoľvek škode.

Sústreďte sa na to, čo od vás podvodník žiada

Útočník môže začať tým, že v nás vyvolá obavy o bezpečnosť nášho účtu, sľúbi mimoriadne výnosy alebo si postupne získa našu dôveru. Časový tlak potom zanecháva menej priestoru na overenie. Niekedy útočník požiada o ďalší vklad až po týždňoch komunikácie; inokedy chce, aby sme urobili rozhodujúci krok v priebehu niekoľkých minút. Profesionálne vystupovanie a ochota odpovedať na otázky nie sú samy o sebe dôkazom, že ponuka je legitímna.

Pri posudzovaní situácie sa preto vrátime ku konkrétnej akcii, o ktorú nás žiadajú. Žiadajú nás, aby sme zdieľali prihlasovacie údaje, povolili vzdialený prístup k zariadeniu, previedli peniaze alebo niečo podpísali v peňaženke? Veta „je to len overovací krok“ nevysvetľuje, čo toto potvrdenie v skutočnosti spôsobí. Rozdiel medzi tým, čo sa sľubuje, a tým, čo požadovaná akcia umožňuje, je často najdôležitejším varovným signálom.

Falošné ponuky podpory na „ochranu“ vášho účtu

Niekto zavolá, pozná naše meno a predstaví sa ako zástupca služby v oblasti kryptomien. Tvrdí, že náš účet bol napadnutý. Je nám povedané, aby sme nainštalovali softvér na vzdialený prístup a presunuli naše kryptomeny na novú adresu, ktorú nám poskytnú. Údajne to ochráni prostriedky pred krádežou.

V tomto scenári sa to, čo sa prezentuje ako bezpečnostné opatrenie, stáva prevodom finančných prostriedkov vykonaným na pokyn neznámej osoby. To, že volajúci pozná naše meno alebo zobrazuje známe telefónne číslo, ešte neznamená, že je to skutočne on. Napríklad spoločnosť Coinbase varuje, že podvodníci môžu falšovať skutočné telefónne čísla a že jej tím podpory nežiada heslá, overovacie kódy ani prevody na externé adresy.

Hovor ukončíme a k službe sa prihlásime samostatne prostredníctvom aplikácie, ktorú už poznáme, alebo overenej webovej stránky. Tam skontrolujeme, či nenastal nejaký problém, a kontaktujeme podporu prostredníctvom nezávisle overeného kanála. Nepoužívame telefónne číslo ani odkaz poskytnutý volajúcim. Nikdy neprezradíme obnovovaciu frázu ani súkromný kľúč, a to ani niekomu, kto sľubuje, že našu peňaženku iba „skontroluje“.

„Investičný poradca“ zobrazuje zisky na obrazovke

Po tom, čo zareagujeme na inzerát, kontaktuje nás niekto, kto sa vydáva za investičného poradcu. Ponúka automatizované obchodovanie s kryptomenami a pomôže nám vytvoriť účet. V tomto príklade vložíme 20 000 CZK a o pár dní neskôr vidíme zostatok 31 000 CZK. Aplikácia vyzerá presvedčivo a poradca nám ochotne vysvetlí, čo robiť ďalej.

Číslo zobrazené v aplikácii však nie je dôkazom, že aktíva skutočne existujú. Česká polícia opisuje podvody, pri ktorých platforma zobrazuje fiktívne zisky, zatiaľ čo páchateľ postupne presviedča obeť, aby vkladala ďalšie prostriedky. Umožnenie malého výberu môže tiež pomôcť budovať dôveru. Takáto výplata sama o sebe však neznamená, že zostávajúce prostriedky existujú alebo sú k dispozícii na výber.

Keď sa pokúsime o väčší výber, môžu od nás požadovať zaplatenie dodatočnej sumy za údajnú daň, poistné alebo poplatok za odblokovanie účtu. V tomto príklade nám bolo povedané, aby sme poslali ďalších 8 000 CZK, aby sme získali prístup k už zobrazeným výnosom. Eskalujúce požiadavky môžu jednoducho zvýšiť naše straty. To, že sa platba nazýva „daňou“, ju ešte nerobí legitímnou.

Pred vykonaním prvého vkladu si v oficiálnych registroch overíme skutočného prevádzkovateľa a jeho oprávnenie poskytovať regulovanú službu. Skontrolujeme tiež, či identita spoločnosti zodpovedá webovej stránke a kontaktným údajom, prostredníctvom ktorých komunikujeme. Podvodník môže zneužiť názov skutočnej spoločnosti; Česká národná banka (ČNB) preto odporúča overiť si nielen licenciu poskytovateľa, ale aj jeho skutočnú identitu. Fotografia oprávňujúceho dokumentu alebo odkaz na register poskytnutý druhou stranou nenahrádza nezávislé overenie.

Ak sa už v takejto situácii ocitneme, neposielame ďalšie peniaze len preto, aby sme „zachránili“ náš pôvodný vklad. Požiadavku overujeme nezávisle od údajného poradcu. Tlak na uzavretie úveru alebo utajenie investície pred rodinou a priateľmi je ďalším dôvodom na zastavenie sa a prehodnotenie situácie.

Známa webová stránka nás žiada o opätovné prihlásenie

Hľadáme peňaženku alebo službu, ktorú pravidelne používame. Otvoríme výsledok s známym logom a webová stránka nás požiada o prihlásenie. Následne si vyžiada našu obnovovaciu frázu, údajne na aktualizáciu alebo overenie peňaženky.

Ide o typickú formu phishingu: podvodná webová stránka sa vydáva za dôveryhodnú službu s cieľom získať citlivé informácie. Útok nemusí nevyhnutne začínať podozrivým e-mailom. Spoločnosť Coinbase varuje aj pred podvodnými reklamami vo vyhľadávačoch, správami na sociálnych médiách a falošnými decentralizovanými aplikáciami. Vysoké umiestnenie vo výsledkoch vyhľadávania preto nezaručuje, že webová stránka je autentická.

Pred zadávaním akýchkoľvek informácií skontrolujeme skutočný názov domény a pôvod aplikácie. Nespoliehame sa na odkaz z nevyžiadanej správy alebo reklamy ako na jediný prostriedok overenia. Nikdy nezadávame obnovovaciu frázu do formulára, ktorý sa otvoril v reakcii na neočakávanú žiadosť. Ak skutočne potrebujeme obnoviť našu peňaženku, postupujeme podľa overených pokynov poskytovateľa peňaženky.

Podobná žiadosť môže prísť dokonca z účtu, ktorý patrí niekomu, koho poznáme. Nezvyčajné správy overujeme prostredníctvom iného komunikačného kanála. Plynulý jazyk, známy hlas alebo presvedčivé video nie sú dostatočným dôkazom totožnosti; na ich napodobnenie sa dá použiť aj umelá inteligencia.

Peňaženka žiada o potvrdenie údajného overenia

Webová stránka sľubuje odmenu za prepojenie našej peňaženky. Po prepojení tvrdí, že stačí len podpísať jednoduchú žiadosť o overenie. Peňaženka však v skutočnosti zobrazuje žiadosť o povolenie na prístup k tokenom, ktoré už vlastníme.

V prípade určitých tokenov a blockchainových aplikácií tzv. schválenie tokenu oprávňuje určenú adresu alebo inteligentnú zmluvu na prevod špecifikovaných tokenov až do dohodnutého limitu. Ide o bežný technický mechanizmus, ktorý sa však dá zneužiť. Neobmedzený limit sám o sebe nie je dôkazom podvodu, môže však výrazne zväčšiť následky udelenia súhlasu nesprávnej strane.

Predpokladajme, že na Ethereu vlastníme 1 000 tokenov USDC a webová stránka ponúka odmenu vo výške 25 USDC. Namiesto toho, aby nám jednoducho poskytla očakávanú odmenu, požiada o povolenie na prístup ku všetkým našim USDC. Práve tento nesúlad je kľúčovým varovným signálom. Žiadosť neschválime; namiesto toho skontrolujeme, prečo by takéto povolenie bolo vôbec potrebné na vykonanie sľúbenej akcie.

Pripojenie sa k webovej stránke, podpísanie správy a udelenie súhlasu s tokenom nie sú vzájomne zameniteľné akcie.

Absencia sieťového poplatku neznamená, že podpis nemôže ohroziť finančné prostriedky. Niektoré mechanizmy umožňujú udelenie oprávnení k tokenom prostredníctvom podpísanej správy, ktorú je možné následne použiť v blockchainu. Takýto podpis sa nesmie automaticky považovať za neškodnú žiadosť o prihlásenie.

Ak nerozumieme dôsledkom, žiadosť odmietneme. Zatvorenie stránky alebo odpojenie peňaženky nezruší už udelené schválenie. MetaMask výslovne rozlišuje medzi odpojením aplikácie a zrušením schválenia tokenu.

V našej peňaženke sa objavila neznáma odmena

V zozname našich aktív nájdeme token, ktorý sme nikdy nekúpili. Jeho názov alebo sprievodná správa odkazuje na webovú stránku, kde si údajne môžeme vyžiadať odmenu. Stránka nás potom požiada o pripojenie peňaženky, podpísanie správy alebo zaplatenie zálohy.

Samotné prijatie neznámeho tokenu ešte neznamená, že niekto ovláda naše súkromné kľúče. Token však môže byť návnadou určenou na vyvolanie ďalších krokov. Coinbase varuje pred podvodnými airdropmi, ako aj pred tokenmi, ktorých prevody alebo predaj sú obmedzené skrytými pravidlami inteligentných zmlúv. Zobrazený názov alebo hodnota tokenu preto nie je zárukou, že danú aktívu možno skutočne predať za peniaze.

Nenavštevujeme webovú stránku, na ktorú odkazuje názov nevyžiadaného tokenu, ani kvôli tomu nič nepodpisujeme. Ak nemôžeme zistiť pôvod tokenu, môžeme ho nechať tak, ako je, alebo ho v aplikácii skryť. Žiadosť o vykonanie prevodu najskôr na účely „overenia adresy“ alebo odblokovania odmeny je dôvodom na zastavenie. Legitímne sieťové poplatky skutočne existujú, ale ich spomenutie ešte neznamená, že ponuka je autentická.

„Odborník na vymáhanie“ sľubuje vrátenie stratených prostriedkov

Po predchádzajúcej strate nás kontaktuje niekto, kto sa vydáva za špecialistu alebo právneho zástupcu. Tvrdí, že vystopoval prostriedky, pozná podrobnosti prípadu a môže peniaze získať späť. Najskôr však požaduje zálohu, poplatok za uvoľnenie prostriedkov alebo prístup k našej peňaženke.

Môže ísť o následný podvod, bežne známy ako podvod s vrátením prostriedkov. FBI varuje pred spoločnosťami, ktoré sľubujú vrátenie ukradnutej kryptomeny, vyberajú poplatok vopred a potom prestanú reagovať alebo požadujú ďalšie platby. Podvodníci sa môžu dokonca vydávať za osoby spojené s právnymi alebo orgánmi činnými v trestnom konaní.

Vysledovanie pohybu finančných prostriedkov nie je to isté ako mať nad nimi kontrolu alebo byť schopný vynútiť ich vrátenie. Správa obsahujúca zoznam adries a transakcií preto nedokazuje, že jej autor má nad peniazmi kontrolu. Neoverujeme nevyžiadané sľuby o zaručenom získaní späť zaslaním ďalšej platby. Poskytujeme príslušné záznamy dotknutej službe a polícii a uchovávame údaje o novom kontakte ako súčasť prípadu.

Pred potvrdením si overte zdroj aj dôsledky

Scenáre opísané vyššie majú jedno spoločné jednoduché pravidlo: overte si správu alebo ponuku prostredníctvom kanálu nezávislého od osoby, ktorá o danú akciu žiada. Iný kontakt poskytnutý tou istou osobou nemusí predstavovať nezávislé overenie.

Pred vykonaním platby, inštaláciou softvéru alebo podpísaním čohokoľvek by sme si mali položiť niekoľko otázok:

Iniciovali sme túto akciu sami, alebo reagujeme na nevyžiadanú žiadosť?

Čo presne by sme druhej strane prezradili alebo čo by sme jej umožnili urobiť?

Zodpovedá účinok požadovanej akcie tomu, čo sa snažíme dosiahnuť?

Overili sme si identitu a podmienky nezávisle od poskytnutých odkazov a kontaktných údajov?

Môžeme rozhodnutie odložiť a venovať čas overeniu informácií?

Jedno varovné znamenie nemusí nutne znamenať podvod. Na odmietnutie nejasnej žiadosti však nemusíme preukázať zločinný úmysel. Stačí, ak nemôžeme overiť jej pôvod alebo rozumne vysvetliť, prečo je potrebný prístup k našim finančným prostriedkom.

Ak sme už odpovedali

Prestaneme posielať peniaze a riadiť sa pokynmi podozrivej osoby. Ak sa incident týka bankového prevodu, platobnej karty alebo prístupu k internetovému bankovníctvu, okamžite kontaktujeme našu banku. Kontaktujeme tiež príslušného poskytovateľa služieb v oblasti kryptomien prostredníctvom jeho oficiálnych kanálov. Rýchle konanie môže obmedziť ďalšie škody, hoci výsledok nemožno zaručiť.

To, čo urobíme ďalej, závisí od už prijatých opatrení. Ak došlo k prezradeniu hesla alebo overovacieho kódu, zabezpečíme účet pomocou dôveryhodného zariadenia a skontrolujeme pripojené zariadenia a e-mailovú adresu na obnovenie prístupu. Ak došlo k napadnutiu počítača, nepoužívame to isté potenciálne nebezpečné zariadenie ani spôsob prístupu na zmenu údajov účtu.

Ak sme udelili schválenie prostredníctvom tokenu, musíme skontrolovať a v prípade potreby zrušiť toto konkrétne povolenie v príslušnej sieti. V prípade podpísaných správ závisí náprava od typu podpisu: štandardné zrušenie schválenia nemusí riešiť každú podpísanú žiadosť. Radšej sa riadime overenou dokumentáciou k peňaženke, ktorú používame, ako by sme nasledovali novo poskytnutý odkaz na „obnovenie“.

Ak došlo k úniku obnovovacej frázy alebo súkromného kľúča, nestačí len zmeniť heslo aplikácie. Zostávajúce prostriedky bude možno potrebné zabezpečiť pomocou nových, nezávisle vygenerovaných kľúčov v dôveryhodnom prostredí a mali by sme prestať používať kompromitovanú peňaženku. Ak prichádzajúce prostriedky okamžite zmiznú, nesmieme slepo posielať ďalšiu kryptomenu na pokrytie transakčných poplatkov: peňaženku môže vyprázdňovať automatizovaný program ovládaný útočníkom.

Uchovávame správy, adresy webových stránok a platobné údaje, vrátane identifikátorov transakcií s kryptomenami. Podozrenia z trestnej činnosti nahlásime polícii Českej republiky. Nečakáme na sľúbené vrátenie peňazí ani na odpoveď od údajného poradcu. Pocit rozpakov by nemal zdržiavať kroky, ktoré môžu pomôcť zabrániť ďalším stratám.

Záver

Podvody s kryptomenami sú často úspešné vtedy, keď niekto prijme vysvetlenie útočníka bez toho, aby zvážil dôsledky svojich vlastných činov. Údajná ochrana účtu môže znamenať prevod peňazí cudzímu človeku; sľub výnosov môže viesť k falošnej platforme; a zdanlivo bežné overenie peňaženky môže udeliť nebezpečné oprávnenia.

Najúčinnejšou obranou je zastaviť sa pred vykonaním rozhodujúceho kroku a nezávisle si ho overiť. Známe logo, presvedčivý hlas alebo rastúci zostatok na obrazovke nestačia. Musíme vedieť, kto skutočne podáva žiadosť a čo tým potvrdením umožňujeme.

Ak sme už zdieľali informácie alebo poslali finančné prostriedky, naše ďalšie kroky by mali zodpovedať povahe ohrozenia. Okamžité zabezpečenie účtu, kontaktovanie banky alebo poskytovateľa služieb a uchovanie dôkazov sú hodnotnejšie než zaplatenie ďalšieho poplatku za sľubované obnovenie prostriedkov.