5 kriptócsalás, amit tapasztalt befektetők sem ismernek fel azonnal

Egy brit kutatás szerint 2026-ban már 221 millió font értékű kriptocsalás zajlik csak a közösségi médiában — évente. Ez nem a Mt. Gox kora, nem a 2017-es ICO-hullám. Ezek most, a te Discordodban, a te Telegramodban és a te keresőtalálataiban futnak.

A bálnák sem immunisak. Többször dokumentálták, hogy 8-9 számjegyű összegeket veszítettek el tapasztalt befektetők is — nem naivitásból, hanem mert az újabb módszerek pontosan a rutinosakat célozzák. Az alábbi öt csalástípust ma is aktívan alkalmazzák, és mind rendelkezik jellegzetes ujjlenyomattal, amit 10 másodperc alatt észrevehetsz.

1. Discord-bot scam: a „moderátor” valójában robot

A működési elv brutálisan egyszerű. Belépesz egy népszerű projekt Discord-szerverére, és perceken belül privát üzenetet kapsz egy „moderátortól” vagy „támasz ügynöktől”. A profil megkülönböztethetetlen az igazitól: ugyanaz a profilkép, hasonló felhasználónév, kék pipa is lehet (klónozott).

Az üzenet általában valamilyen sürgős problémáról szól — „a tárcád kockázatban van”, „ellenőrizd a whitelist-regisztrációd”, „az NFT-minted lejár 20 percen belül”. A link egy tökéletes másolat, ahol wallet-connectet kérnekbe — és onnantól a tartalmad az övék.

10 másodperces teszt:

• Kattints a profiljára — mikor csatlakozott a szerverhez? Ha kevesebb mint 30 napja, piros zászló.
• Az igazi moderátorok soha nem írnak először privátban wallet-témában. Ez protokoll, nem véletlen.
• Ellenőrizd a szerver taglistájában a „Staff” vagy „Mod” szerepkört — ha az illető neve nem jelenik meg ott, bot.

2. Fake exchange: a Google hirdetés csapdája

Beírod a keresőbe: „Binance bejelentkezés”. Az első találat — hirdetés — egy pixeltökéletes Binance-másolat, amelynek URL-je mondjuk binance-login.app vagy binancee.com. Beírod az adataidat, és a valódi Binance-en ekkor már valaki más jelszót cserél.

Ez 2026-ban az egyik legjobban skálázható módszer, mert a Google Ads rendszerén keresztül célzottan érheti el az aktív kereskedőket. Egy angliai eset szerint egyetlen hamis exchange-kampány három hónap alatt 4,2 millió fontot termelt a csalóknak.

10 másodperces teszt:

• Nézd meg az URL-t a hirdetés alatt, nem a hirdetés szövegében — a megjelenített cím különbözhet a valóditól.
• Keress HTTPS tanúsítványt, de ne állj meg ott: a tanúsítvány önmagában semmit nem bizonyít, már ingyenesen igényelnek a csalók is.
• Ellenőrizd a domain regisztrációs dátumát: who.is vagy whois.domaintools.com segítségével. Ha a „Binance” domain két hónapos, meneküljön.
• Legjobb védekezés: könyvjelzőzd a tőzsdéket, és soha ne keresőből navigálj oda.

3. Seed phrase + email kombó: az „ügyfélszolgálat” letörli a számlád

Ez a social engineering legkifinomultabb változata. Kapsz egy emailt a Ledger, MetaMask vagy Coinbase „ügyfélszolgálatától” — tökéletes logóval, valódi szövegstruktúrával. Az üzenet szerint probléma van a számláddal, és a visszaállításhoz „biztonsági ellenőrzésképpen” meg kell adnod a seed phrase-edet.

Semmiféle legitim vállalat, semmiféle körülmény között nem kéri el a seed phrase-t. Ha valaki kéri, az 100%-ban csalás — ez nem túlzás, ez matematikai bizonyosság.

Az AI-deepfake variáns már 2025 óta futóban van: videóhívást kezdeményeznek, ahol egy „ügyfélszolgálatos” arcát AI generálja valós időben. Hiteles, angolul folyékonyan kommunikál, és türelmesen végigvezet egy „visszaállítási folyamaton”.

10 másodperces teszt:

• Másold az email fejlécét, és ellenőrizd az SPF/DKIM rekordokat — Gmail-ben a „Tovább” ikon alatt látható az eredeti küldő szerver.
• Keresd meg a vállalat hivatalos támasz-oldalát függetlenül, és hasonlítsd össze az ott megadott email-domainnel.
• Seed phrase-t soha, senkinek — offline, papíron tartsd, és ne gépeld be sehova.

4. NFT rug pull: a csapat „eladja a képeit” és eltűnik

Az NFT-rug pullok mintázata egységes: csili-vili website, Twitter/X-en 50 ezer követő (vásárolt), anonim csapat „doxxolt” tagokkal (hamisított LinkedIn-profil), majd egy nagy mint-nap és… semmi. A website leáll, a Discord-szerver törlődik, a csapat eltűnik.

A legnagyobb ilyen esetek 2024-2026 között már nem millió, hanem tízmillió dolláros skálán mozognak, és az AI-generált „roadmap” és „whitepaper” szinte professzionálissá teszi őket. Volt, ahol a csapatfotón szereplő személyek arcát is AI generálta.

10 másodperces teszt:

• Ellenőrizd a smart contract kódját az Etherscan vagy BscScan felületen: van-e audit? Ki auditálta? A CertiK és Hacken auditok publikusak és verifikálhatók.
• Nézd meg a csapattagok LinkedIn-profilját: mikor hozták létre? Milyen korábbi munkák szerepelnek? Egy 2 hónapos profil 500+ kapcsolattal vásárolt jelenlét.
• A Twitter/X követők minőségét ellenőrizd a SparkToro vagy Botometer eszközzel.

5. Memecoin rug pull: a „10x-os lehetőség” Telegramból

Telegram-csoport, 15 ezer tag, folyamatos „moon” üzenetek, egy anonim fejlesztő, aki „csak a közösségért csinálja”. A token felkerül egy DEX-re (Uniswap, PancakeSwap), az ár megy fel, aztán a likviditást kivonják — és a token értéke nullára esik másodpercek alatt.

A Telegram-ügynök variáns: egy „befektetési guru” személyesen ajánlja a tokent, bizonyítékokat küld korábbi 100x-os nyereségekről (photoshopolt képernyőfotók), és segít „belépni” — majd eltűnik az összeggel együtt.

10 másodperces teszt:

• Ellenőrizd a likviditást a DEXTools vagy DEXScreener oldalon: a likviditás be van-e zárva (locked liquidity)? Mennyi ideig? Ha nincs zárolva, bármikor kivonható.
• Kik a legnagyobb tokenholderek? Ha a top 10 tárca az összes token 60-70%-át tartja, koncentrált dump-kockázat áll fenn.
• A contract-ot ellenőrizd a Token Sniffer vagy Honeypot.is oldalon — ezek jelzik, ha a token eleve úgy programozott, hogy ne lehessen eladni.

Mit tegyél, ha már megtörtént?

Először is: a helyzet nagyobb része sajnos visszafordíthatatlan. A blokklánc-tranzakciók véglegesek, és az anonim struktúrák megnehezítik a visszaszerzést. De nem minden esetben reménytelen.

1. Azonnal vond ki a jóváhagyásokat (token approvalokat): ha egy dApp-hoz kapcsoltad a tárcádat, az revoke.cash oldalon visszavonhatod a hozzáférési engedélyeket.
2. Dokumentálj mindent: képernyőfotók, URL-ek, tranzakció hash-ek, Telegram/Discord üzenetek. Ezek szükségesek a hatóságnál és az exchangen való bejelentéshez.
3. Jelentsd az exchange-nek: ha ismert tőzsdén keresztül ment a pénz, a megfelelő KYC-adatok alapján be tudják fagyasztani a célszámlát — a Binance és a Coinbase erre van protokollja.
4. Magyarországon a Nemzeti Adó- és Vámhivatalnál (NAV) és a rendőrségen is be kell jelenteni — ez egyrészt nyomozást indíthat, másrészt az adóügyi szempontból a veszteség dokumentálható lehet.
5. Chainalysis és hasonló láncelemző cégek egyes esetekben dolgoznak a hatóságokkal — ha a lopás meghaladja az 50-100 ezer dolláros küszöböt, érdemes ügyvédi tanácsot kérni a lehetőségekről.

Összefoglalás

A kriptocsalások nem véletlenszerűek és nem primitívek. Célzottak, skálázottak, és egyre inkább AI-eszközökkel támogatottak. A védelem alapja nem a paranoiás visszahúzódás, hanem a verifikációs rutin — az a 10 másodperces ellenőrzés, amit minden kattintás előtt érdemes elvégezni.

Ha valamit sürgetnek, az szinte mindig manipuláció. Ha valami „csak most” érhető el, az szinte mindig csapda. Ha valaki seed phrase-t kér, az mindig csalás — kivétel nélkül, minden körülmény között.

A legjobb védekezés nem a technológia, hanem a szokás: lassíts le, ellenőrizz, és ne döntsd el 10 másodperc alatt, hogy bízol-e valakiben. Azt csak azt döntsd el 10 másodperc alatt, hogy érdemes-e foglalkozni vele egyáltalán.