5 kriptó phishing módszer és védekezés — Felismerd a csalókat

Minden héten hallani olyan történetet, hogy valaki elvesztette a kriptóját. Nem hackertámadás, nem tőzsdekrach — egyszerűen rákattintott valamire, amit nem kellett volna. 2026-ban a kriptós adathalászat már nem a nyilvánvaló „nigériai herceg” szintjén működik. Profi, célzott, és néha elképesztően meggyőző.

A jó hír: a legtöbb támadásnak van felismerhető mintája. Ha tudod, mit keress, az esetek nagy részét el tudod kerülni — nem kell hozzá mérnöki végzettség, csak néhány bevésett szokás.

Miért épp most érdemes ezzel foglalkozni?

A kriptopiacon aktív tőke nő, az új belépők száma is nő — a csalók pedig követik a pénzt. A láncelemző cégek adatai szerint az adathalászat és társadalmi manipuláción alapú lopások összesített kára 2026-ban meghaladta az egymilliárd dollárt, és a trend nem lassult. A célpontok nem csak a naivak: tapasztalt felhasználók is bedőlnek, ha elég fáradtak, elég sietnek, vagy elég jól van megcsinálva a csapda.

Az alábbiakban az öt leggyakoribb módszert szedem szét — és mindegyiknél megmondom, mit néz a szemedbe, és mit tehetsz ellene.

1. A hamis tárcaalkalmazás

Letöltöd a „MetaMaskot” vagy a „Ledger Live-ot” — de nem az igazit. Az alkalmazásboltokban rendszeresen jelennek meg klónok, amelyek szinte tökéletesen utánozzák az eredeti megjelenést. A különbség annyi, hogy az általad beírt kulcsmondatot azonnal továbbítják egy szerverre.

A felismerhető jelek:

• Kevés értékelés, rövid ideje elérhető az áruházban
• A fejlesztő neve nem egyezik a hivatalos cégnévvel (pl. „MetaMask LLC” helyett „MetaMask App Studio”)
• A leírásban nyelvtani hibák, furcsa megfogalmazások
• Nem a hivatalos weboldalról irányítottak oda

Mit tegyél ma: Minden tárcaalkalmazásnál menj a projekt hivatalos weboldalára, és onnan kattints az alkalmazásbolt linkre — soha ne fordítva. A már telepített appokat ellenőrizd le fejlesztő szerint.

2. A kulcsmondatot kérő „ügyfélszolgálat”

Ez a klasszikus, mégis meglepően hatékony. Valaki megkeresi Discordon, Telegramon vagy X-en, „ügyfélszolgálatosnak” adja ki magát, és segítséget ajánl egy technikai problémádhoz. A folyamat végén valamilyen formában megkérdezi a kulcsmondatodat (seed phrase) — esetleg egy „ellenőrzési” weboldalra irányít, ahol be kell írni.

A valóság: egyetlen legitim projekt ügyfélszolgálata sem kéri soha a kulcsmondatodat. Nem létezik olyan technikai helyzet, ahol erre szükség lenne. Ha valaki kéri, az 100%-ban csaló — nincs kivétel.

A mintázat felismerése:

• Nem te keresed őket — ők keresnek meg téged, „látták a problémádat”
• Sürgetnek, időnyomást alkalmaznak („ha 10 percen belül nem csináljuk meg, elveszíted a hozzáférést”)
• Privát csatornára hívnak, ahol „részletesebben tudnak segíteni”

Mit tegyél ma: A kulcsmondatodat írd fel papírra (ne digitálisan), tárold biztonságos helyen, és döntsd el most, hogy senkinek nem mondod el — bármi legyen is az indok.

3. Az adathalász oldal — a webcím-trükk

Kapsz egy e-mailt vagy látasz egy hirdetést: „Uniswap airdrop — igényeld itt”. A hivatkozás első ránézésre tökéletesnek tűnik. De ha közelebbről megnézed: uniswap-airdrop.io vagy unlswap.com (kis L az i helyett). A weboldalon bekérik a tárca-kapcsolatot, majd aláíratsz veled egy rosszindulatú tranzakciót, ami kiüríti a tárcádat.

A webcím-hamisítás technikailag egyszerű és olcsó. Egy adathalász oldal felrakása percekbe telik, levédetni nehéz, és mire bejelentik, a kár már megtörtént.

Mit tegyél ma:

• Mentsd el a rendszeresen használt oldalakat könyvjelzőbe, és mindig onnan nyisd meg — ne keresőből, ne linkből
• Mielőtt bármit aláírsz egy tárca-kapcsolat után, olvasd el pontosan, mit engedélyezel — nem elég az „Jóváhagyás” gomb megnyomása előtt átfutni
• Használj böngészőbővítményt, ami jelzi az ismert adathalász oldalakat (pl. MetaMask beépített figyelmeztetése, Pocket Universe, Revoke.cash)

4. A hamis token és a kiürítő szerződés

Ez már haladóbb szint, de egyre gyakoribb. Kapsz ingyen valamit a tárcádba — egy ismeretlen tokent, NFT-t — és amikor megpróbálod eladni vagy „felvenni a jutalmadat” egy weboldalon, egy okosszerződés-tranzakciót írsz alá. Ez a szerződés nem azt csinálja, amit gondolsz: teljes hozzáférést ad az összes tokenedhez a tárcádban, és azonnal ki is üríti.

Ezeket hívják kiürítő szerződéseknek (drainer), és a kár néha másodpercek alatt megtörténik. A legjobb védekezés az, ha soha nem foglalkozol olyan tokenekkel, amelyeket nem te vásároltál vagy nem ismert forrásból kaptál.

Mit tegyél ma: Ha ismeretlen tokent látsz a tárcádban, ne próbáld meg tranzakcióba vinni. Ellenőrizd le a token szerződéscímét Etherscanon vagy hasonló eszközön, és nézd meg, mások mit írnak róla.

5. A romantikus és befektetési csalás — a „pig butchering”

Ez a leghosszabb játék, és a legfájdalmasabb, mert emberi kapcsolat épül fel alatta. Valaki ismeretlenül megkeres, idővel barátság vagy románc alakul ki, majd „véletlenül” szóba kerül egy nagyon jó befektetési lehetőség egy „privát” platformon. Az első befizetés után látszólag profitot termelsz — de amikor ki akarsz venni, újabb és újabb díjak merülnek fel. A pénz soha nem jön vissza.

A pig butchering (disznóhízlalás) kifejezés nem véletlen: hónapokig „hizlalják” az áldozatot bizalommal, mielőtt „levágják”. A 2026-os adatok szerint ez a kriptós csalások egyik legköltségesebb formája globálisan — átlagos károsodás esetenként több tízezer dollár.

A piros zászlók:

• Ismeretlen személy keres meg proaktívan, gyorsan mélyülő kapcsolat
• Irreálisan magas hozamokat emleget
• A platform nem ismert, nincs rá független vélemény, a domain friss
• Kivétel előtt mindig valami újabb akadály merül fel

A biztonsági minimum — amit ma be tudsz állítani

Nem kell minden egyszerre. Ha ma csak ennyit csinálsz meg, már lényegesen biztonságosabb vagy:

1. Hardveres tárca a hosszú távú vagyonnak — a Ledger vagy Trezor típusú eszközök fizikailag izolálják a privát kulcsot az internettől
2. Kulcsmondat offline, fizikai formában — ne Notesban, ne Google Drive-ban, ne Telegramon magadnak küldve
3. Külön „hot wallet” kisebb összegekhez — amit napi szinten használsz decentralizált pénzügyekre, ne tartson komoly összeget
4. Minden engedélyt rendszeresen visszavonj — a Revoke.cash segítségével megnézheted, melyik okosszerződésnek adtál hozzáférést, és visszavonhatod, ami már nem szükséges
5. Kéttényezős hitelesítés mindenhol — tőzsdéken, e-mailben, mindenütt; lehetőleg hitelesítő alkalmazás, nem SMS

Összefoglalás

A kriptós adathalászat és kulcsmondat-lopás azért működik, mert az emberi pszichológiára épül: sürgetés, bizalom, kapzsiság, segítőkészség. A technológia csak az eszköz.

A védekezés nem arról szól, hogy mindentől félj és semmit ne csinálj. Arról szól, hogy legyen néhány automatikus szokásod: ellenőrzöd a webcímet, nem adod ki a kulcsmondatot soha senkinek, és nem írsz alá tranzakciót anélkül, hogy tudnád, mit engedélyezel.

Ezek a szokások nem bonyolultak. De az a különbség köztük és a hiányuk között néha az összes kriptód elvesztése lehet. Érdemes most foglalkozni velük — nem majd egy incidens után.