Hakerzy nie biorą urlopów, a Twój portfel kryptowalut jest bezpieczny do pierwszej zgubionej komórki lub "okazyjnej" oferty na LinkedInie. Dzisiejsze notatki to kilka lekcji przetrwania na rynku cyfrowych aktywów od mojej Rady Ekspertów - o błędach i zasadach, które ratują majątek.
Witajcie, tu Janusz.
Mój siostrzeniec Paweł ostatnio o mało nie zszedł na zawał, bo nie mógł znaleźć telefonu. "Wujku, tam mam wszystko! Portfele, kody, całe oszczędności!" - krzyczał, przetrząsając cały dom, gdy reszta rodziny spokojnie jadła niedzielny obiad. Paweł nie zapisał nigdzie indziej haseł awaryjnych, bo "co się może stać", "nigdy nie zgubiłem telefonu". No cóż, zawsze może być ten pierwszy raz. Wtedy pytanie brzmi, czy potrafisz odzyskać swój majątek.
Cyfrowe koło ratunkowe, czyli fraza seed
Utrata urządzenia z dostępem do portfeli to jeden z najczarniejszych scenariuszy dla amatora, ale dla kogoś z planem awaryjnym to tylko logistyczna niedogodność. Dowodzi tego przypadek prof. Krzysztof Piech, który jak opowiedział mi, kiedyś w wyniku zdarzenia losowego, stracił telefon z dostępem do swoich kryptowalut.
- Na szczęście miałem zapisany tzw. seed, czyli zestaw słów pozwalających odzyskać dostęp do środków. Dzięki temu wszystkie kryptowaluty udało się odzyskać - wspomina ekspert. - To dobra lekcja dla początkujących: najważniejsze jest bezpieczne przechowywanie seeda. Jeśli ktoś go straci, często nie ma już żadnej możliwości odzyskania środków.
To brutalna prawda, którą powinien zapamiętać mój siostrzeniec - w krypto tym co strzeże Twojego majątku nie jest iPhone czy Samsung, ale zestaw słów schowany w bezpiecznym miejscu. Jeśli urządzenie się zgubi, kupujesz nowe. Ale jeśli zgubisz seed, to tak, jakbyś zatrzasnął kluczyki w niezniszczalnym samochodzie. Nie dostaniesz się już do środka.
Więcej o bezpiecznym przechowywaniu kryptowalut pisałem w notatkach: "Bitcoin u siebie, czyli jak nie utonąć z giełdą. Wszystko o portfelach kryptowalut".
Trzy schematy, na które złapie się nawet stary wyga
Eksperci cyberbezpieczeństwa tacy jak Łukasz Mikuła próby phishingu otrzymują kilka razy w miesiącu. To pokazuje, że jeśli masz kryptowaluty lub działasz w związanej z nimi branży, jesteś na celowniku hakerów 24/7. Łukasz wskazuje na trzy najpopularniejsze pułapki, które czyhają na nas w 2026 roku:
- Nierzetelne projekty, które manipulują ceną tokenu lub symulują hakerski atak, by ogłosić, że "pieniądze niestety zniknęły".
- Wyłudzenia "approvali". Approval to takie blockchainowe upoważnienie do dysponowania środkami, podpisane przy pomocy portfela mocodawcy. Przestępcy wykorzystują tę technologię w miejscach, gdzie na stronie należy "podłączyć portfel", aby korzystać z strony projektu kryptowalutowego. Mniej uważni użytkownicy mogą kliknąć o jedno "okienko" za dużo, co wystarczy do utraty środków - dlatego tak ważne jest, aby nigdy nie "przekilkiwać" okienek dialogowych wyświetlany przez przeglądarkowy portfel bez czytania.
- Różne socjotechniczne scenariusze - w tym miejscu Łukasz opowiedział mi o przypadku, kiedy jesteśmy zapraszani, np. za pośrednictwem LinkedIn, na rozmowę online z kotrahentem czy rekruterem. Ponieważ dziwnym trafem rozmowa nie działa, zostajemy poproszeni o doinstalowanie czegoś, a my nie chcąc źle wypaść w pośpiechu pobieramy "alternatywny program do rozmów” albo wchodzimy na "nowy link do spotkania". W innym wariancie, kandydatom do pracy przesyłany jest "program, który trzeba przebudować" co również wymaga uruchomienia czegoś. Instalacja dowolnego oprogramowania z takiego scenariusza kończy się utratą wszystkich wartościowych danych z komputera.
W moich notatkach "Haker nie musi łamać hasła, by Cię okraść. Te zasady cyfrowego BHP warto znać" przeczytacie więcej o technicznych zasadach bezpieczeństwa - np. czy Windows Defender wystarczy do ochrony komputera, czy dwuetapowa weryfikacja to konieczność (tak) i na co szczególnie uważać.
Zimny portfel i święty spokój
Kolejny z moich zaprzyjaźnionych ekspertów, Jarosław Fuchs, który do ochrony aktywów podchodzi z dyscypliną wypracowaną w sektorze bankowym, powiedział mi, że nigdy nie stracił dostępu do swoich środków.
- To efekt jednej konsekwentnie stosowanej zasady - zimny portfel, przechowywany w bezpiecznym miejscu, odłączony od sieci. Tyle. Nie ma tu żadnej magii - mówi Jarosław Fuchs. - Początkujący często myślą, że hardware wallet to sprzęt dla zaawansowanych, a to błąd. To sprzęt dla każdego, kto traktuje swoje środki poważnie. Radziłbym zająć się tym, zanim kupi się pierwsze krypto.
To podejście w stylu "lepiej zapobiegać niż płakać". W świecie cyfrowym najbezpieczniejsze jest to, co nie ma połączenia z Wi-Fi. Jeśli Twoje klucze prywatne znajdują się w portfelu sprzętowym odłączonym od internetu, haker ma przed sobą barierę, której nie przeskoczy. Paweł narzeka, że portfel sprzętowy kosztuje tyle, co trzy wyjścia na pizzę. Ja mu na to: wybieraj - albo zapłacisz raz za porządny sejf, albo będziesz fundował pizzę hakerom do końca życia.
Gdy celem staje się człowiek
Niestety, nawet najwyższa wiedza techniczna nie zawsze chroni przed atakiem, który uderza prosto w psychikę. W sierpniu 2024 roku prof. Krzysztof Piech padł ofiarą wyrafinowanego ataku socjotechnicznego. Haker próbował go szantażować rzekomym ujawnieniem materiałów, których w rzeczywistości nie posiadał. Klasyczny bluff, ale z bolesnym skutkiem.
- W wyniku tego ataku napastnikowi udało się przejąć dostęp do jednego z moich portfeli w MetaMask – mówi Krzysztof Piech. - Najbardziej problematyczne było to, że każde nowe środki pojawiające się na tym adresie były natychmiast automatycznie przekierowywane na adres należący do napastnika. Sytuacja wymusiła zmianę wielu haseł i wdrożenie nowych procedur bezpieczeństwa, jak choćby lepszy program do przechowywania haseł.
To, o czym mówi profesor, pokazuje, że hakerzy wcale nie muszą włamywać się do Twoich urządzeń - wystarczy, że "zhakują użytkownika". A jeśli Twój portfel zostanie w ten sposób przejęty, staje się "spaloną ziemią” i każdy token, który zostanie tam wpłacony, natychmiast znika.
Dzisiejsze notatki uczą nas jednego: na tym rynku nie ma osób nietykalnych. Różnica polega na tym, że profesjonaliści mają plan awaryjny - backupy i żelazne zasady. Paweł w końcu znalazł swój telefon pod kanapą, ale mam nadzieję, że ta lekcja zostanie z nim na dłużej - bezpieczeństwo to proces i przygotowanie się na najgorszy możliwy scenariusz, a nie jednorazowe ustawienie trudnego hasła.
Wasz Janusz Krypto
Wszystkie zapiski z mojego dziennika znajdziecie w tym miejscu. Zapraszam też do odwiedzin na moim Facebooku. Maile możecie słać na adres janusz.krypto@bankier.pl.
