Phishing to jedna z najstarszych, a mimo to wciąż najskuteczniejszych metod oszustwa w świecie kryptowalut. Przestępcy rzadko łamią zabezpieczenia techniczne portfeli, znacznie łatwiej złamać czujność człowieka: podszyć się pod zaufaną markę i sprawić, byś sam oddał dostęp do środków. W krypto stawka jest wyjątkowo wysoka, ponieważ transakcje na blockchainie są nieodwracalne, a nie istnieje infolinia, która cofnie błędny przelew.
Jak działa atak
Klasyczny phishing zaczyna się od wiadomości lub reklamy, która prowadzi do strony łudząco podobnej do prawdziwej. Fałszywa witryna kopiuje wygląd giełdy albo portfela, ale kryje się pod nieco zmienionym adresem: literówka, dodatkowy myślnik lub inna końcówka domeny. Kiedy wpiszesz tam dane logowania albo, co gorsza, frazę odzyskiwania, trafiają one prosto do oszusta.
Coraz częściej spotyka się też podszywanie w mediach społecznościowych oraz tak zwane zatruwanie adresów. W tej metodzie napastnik wysyła drobną transakcję z portfela o adresie bardzo podobnym do adresu twojego kontrahenta, licząc, że skopiujesz zły adres z historii.
Zdarzają się również fałszywe aplikacje mobilne, łudząco podobne do oficjalnych, które potrafią trafić nawet do sklepów z aplikacjami, a także podszywanie się pod obsługę techniczną, na przykład w mailu udającym alert bezpieczeństwa. Cel jest zawsze ten sam: skłonić cię do kliknięcia i wprowadzenia danych, zanim zdążysz się zastanowić.
Sygnały ostrzegawcze
Kilka rzeczy powinno natychmiast zapalić czerwoną lampkę:
- prośba o frazę odzyskiwania lub klucz prywatny (żadna prawdziwa usługa o to nie poprosi),
- presja czasu i groźby, na przykład „zweryfikuj portfel w 10 minut, bo stracisz środki”,
- adres strony, który różni się od oryginału jednym znakiem,
- link otrzymany z wiadomości prywatnej, maila lub reklamy zamiast wpisany ręcznie.
Zasada jest prosta: nikt uczciwy nigdy nie poprosi cię o frazę odzyskiwania, a każda taka prośba to próba kradzieży.
Jak się bronić
Podstawą jest spowolnienie i weryfikacja. Wchodź na giełdy i do portfeli tylko przez adres wpisany ręcznie lub zapisany w zakładkach, nigdy przez link z wiadomości. Włącz uwierzytelnianie dwuskładnikowe, najlepiej aplikacją, a nie SMS. Przed każdym podpisem transakcji sprawdź adres i to, na co się zgadzasz. Aktualizuj urządzenia i przeglądarki, bo łatki bezpieczeństwa realnie utrudniają ataki. Pomaga też weryfikowanie profili w mediach społecznościowych, zanim zaufasz komukolwiek, kto podaje się za projekt lub jego administratora.
Phishing działa, bo gra na pośpiechu i zaufaniu. Kiedy nauczysz się zatrzymywać przy każdej prośbie o dane lub podpis, odbierasz oszustom ich najważniejsze narzędzie.
Ten tekst ma charakter edukacyjny i nie stanowi porady inwestycyjnej.