Czy kryptowaluty są bezpieczne? Zagrożenia i zasady ochrony

Kryptowaluty same w sobie opierają się na bezpiecznej technologii (blockchain), ale środowisko wokół nich – giełdy, portfele, platformy inwestycyjne – jest pełne zagrożeń. Oszustwa kryptowalutowe to jeden z najszybciej rosnących typów cyberprzestępczości. Według firmy analitycznej Chainalysis globalne przychody z krypto-oszustw przekroczyły 9,9 miliarda dolarów w 2024 roku. W Polsce problem jest równie poważny – CERT Polska w 2025 roku wpisał na Listę Ostrzeżeń ponad 100 000 złośliwych domen, z czego 55% było związanych z oszukańczymi ofertami inwestycyjnymi, głównie kryptowalutowymi.

Ten artykuł nie doradza, w co inwestować. Skupia się na tym, jak nie stracić pieniędzy przez oszustów, hakerów i własne błędy w zabezpieczeniach.

Najczęstsze oszustwa kryptowalutowe

Przestępcy wykorzystujący temat kryptowalut rzadko atakują sam blockchain. Celują w ludzi – ich zaufanie, chciwość i brak wiedzy technicznej. Większość oszustw kryptowalutowych to odmiany phishingu i socjotechniki.

Fałszywe platformy inwestycyjne

Najpowszechniejszy schemat. Przestępcy tworzą strony imitujące platformy inwestycyjne, reklamując je w mediach społecznościowych – często z wykorzystaniem wizerunku znanych osób (Robert Lewandowski, Rafał Brzoska) lub podszywając się pod koncerny energetyczne (Orlen, PGE). KNF regularnie dopisuje kolejne podmioty do listy ostrzeżeń publicznych.

Mechanizm jest prosty. Ofiara rejestruje się na fałszywej platformie i wpłaca „minimalną kwotę inwestycji” (najczęściej 250 EUR). Na platformie widzi podrobione wykresy pokazujące rosnące zyski. Zachęcona wpłaca więcej. Przy próbie wypłaty okazuje się, że pieniądze zniknęły, a platforma przestaje odpowiadać. Straty Polaków na fałszywych platformach liczone są w dziesiątkach milionów złotych rocznie – w jednej z głośniejszych spraw grupa oszustów naciągnęła ponad 600 osób na ponad 40 milionów złotych.

Oszustwo „na kryptowaluty” przez telefon

Oszust dzwoni i informuje o rzekomo zainwestowanych kryptowalutach, które przyniosły duży zysk, lub o środkach czekających na wypłatę. W trakcie rozmowy nakłania ofiarę do zainstalowania programu do zdalnego dostępu (AnyDesk, TeamViewer). Po uzyskaniu kontroli nad komputerem wyprowadza pieniądze z konta bankowego ofiary. KNF opisuje ten schemat jako jedno z najczęstszych oszustw kryptowalutowych w Polsce.

Wariant tego oszustwa polega na stopniowym budowaniu „relacji inwestycyjnej” (tzw. pig-butchering) – oszust przez tygodnie lub miesiące kontaktuje się z ofiarą, buduje zaufanie, pokazuje „zyski” na fikcyjnej platformie i zachęca do coraz większych wpłat.

Pump and dump

Grupa oszustów kupuje dużą ilość mało znanej kryptowaluty po niskiej cenie, a następnie agresywnie ją promuje w mediach społecznościowych, na forach i w grupach na Telegramie. Cena rośnie, bo nowi kupujący napędzają popyt. Gdy osiągnie szczyt, oszuści sprzedają swoje zasoby – cena gwałtownie spada, a spóźnieni inwestorzy tracą pieniądze.

Fałszywe giełdy i aplikacje mobilne

Oszuści budują aplikacje mobilne podszywające się pod znane giełdy kryptowalut i umieszczają je w Google Play Store. CERT Polska w 2025 roku zgłosił 119 takich aplikacji podszywających się pod polskie firmy – najczęściej pod Orlen. Aplikacje wyłudzają dane logowania lub pieniądze pod pretekstem „inwestycji”.

Kradzież kryptowalut z giełd

Nawet prawdziwe, duże giełdy kryptowalut padają ofiarą ataków hakerskich. Mt. Gox (2014) straciła 850 000 bitcoinów, Bitfinex (2016) – 120 000 bitcoinów, Binance (2019) – kryptowaluty warte ponad 40 mln dolarów. Środki trzymane na giełdzie są zabezpieczone tylko tak dobrze, jak zabezpieczenia tej giełdy – a użytkownik nie ma na nie wpływu.

Giełda może też po prostu stracić płynność. W kwietniu 2026 roku klienci największej polskiej giełdy Zondacrypto (dawniej BitBay) przestali otrzymywać wypłaty. Prokuratura Regionalna w Katowicach wszczęła śledztwo w sprawie oszustwa i prania brudnych pieniędzy – szacowana szkoda to co najmniej 350 mln zł, a liczba poszkodowanych może sięgać 30 tysięcy osób. Prezes giełdy tłumaczył problemy „usterką techniczną”, ale analiza blockchain wykazała, że gorący portfel giełdy był niemal pusty. Sprawa pokazuje, dlaczego kryptowaluty nie powinny być przechowywane na giełdzie dłużej, niż to konieczne do przeprowadzenia transakcji.

Jak chronić się przed oszustwami kryptowalutowymi?

Większość strat na kryptowalutach wynika nie z ataków hakerskich, a z socjotechniki – oszuści manipulują ludźmi, nie systemami.

Nie reaguj na obietnice szybkich zysków. Żadna realna inwestycja nie gwarantuje 300% zwrotu w miesiąc. Reklama z twarzą celebryty obiecująca łatwe pieniądze to oszustwo – bez wyjątków. Celebryci nie promują platform inwestycyjnych przez reklamy na Facebooku.

Sprawdzaj platformy przed wpłatą pieniędzy. Przed założeniem konta na jakiejkolwiek platformie sprawdź ją na liście ostrzeżeń KNF. Opcjonalnie, zweryfikuj czy platforma jest zarejestrowana w Rejestrze działalności w zakresie walut wirtualnych. Brak rejestracji nie oznacza automatycznie oszustwa, ale powinien wzbudzić czujność.

Nigdy nie instaluj oprogramowania na prośbę „doradcy inwestycyjnego”. AnyDesk, TeamViewer i podobne programy do zdalnego dostępu dają pełną kontrolę nad komputerem. Żaden prawdziwy broker nie poprosi o ich instalację. Jeśli ktoś to robi – to oszustwo.

Nie trzymaj dużych kwot na giełdzie. Giełda to miejsce do kupna i sprzedaży, nie do przechowywania. Do długoterminowego trzymania kryptowalut służą portfele sprzętowe (hardware wallet). Portfel sprzętowy przechowuje klucze prywatne offline, poza zasięgiem hakerów.

Chroń klucz prywatny i frazę odzyskiwania (seed phrase). Klucz prywatny to jedyny dowód własności kryptowalut. Kto ma klucz – ma kryptowaluty. Frazy seed (12 lub 24 słowa) nie wolno przechowywać w pliku na komputerze, w e-mailu ani w chmurze – infostealer wykradnie je w kilka sekund. Najlepsza metoda: zapisz frazę w sposób zaszyfrowany na kartce i schowaj w bezpiecznym miejscu. Sam komputer, na którym korzystasz z giełdy, zabezpiecz szyfrując dysk – w razie kradzieży laptopa nikt nie odczyta danych.

Włącz uwierzytelnianie dwuskładnikowe (2FA) na giełdzie. Używaj aplikacji do uwierzytelniania (Google Authenticator, Authy), nie SMS-ów – SMS-y można przechwycić przez atak SIM swap. 2FA nie uchroni przed fałszywą platformą, ale znacznie utrudni przejęcie konta na prawdziwej giełdzie.

Używaj silnych, unikalnych haseł do kont giełdowych. Wyciek danych z innego serwisu + to samo hasło na giełdzie = utrata kryptowalut. Menedżer haseł rozwiązuje ten problem.

Sygnały ostrzegawcze – kiedy to na pewno oszustwo

Niektóre sygnały oznaczają oszustwo bez żadnych wyjątków. Jeśli zobaczysz choćby jeden z poniższych – nie inwestuj, nie klikaj, nie dzwoń.

• Reklama na Facebooku, Instagramie lub YouTube z twarzą znanej osoby obiecująca zyski z kryptowalut.
• SMS lub e-mail o „oczekujących środkach z Bitcoina” lub „niezrealizowanej wypłacie”.
• „Doradca” proszący o zainstalowanie AnyDesk, TeamViewer lub innego programu do zdalnego dostępu.
• Platforma gwarantująca zyski lub obiecująca brak ryzyka inwestycyjnego.
• Presja czasowa: „oferta wygasa za 24 godziny”, „ostatnie miejsca”.
• Prośba o podanie frazy seed lub klucza prywatnego – żaden serwis nigdy o to nie poprosi.

Podejrzane strony i wiadomości zgłaszaj do CERT Polska przez formularz na incydent.cert.pl lub SMS-em na numer 8080.

Najczęstsze pytania