- A kriptó phishing és social engineering támadások 2026-ban szofisztikáltak és célzottak — a phishing-lopások éves káre meghaladja az egymilliárd dollárt.
- Az öt leggyakoribb támadási módszer: hamis wallet-alkalmazások, seed phrase phishing, szociális mérnöksödés, DNS hijacking és airdrop csapások.
- A legtöbb támadás felismerhető jelek alapján kerülhető el — elég, ha az alkalmazásokat csak az official weboldalakról töltöd le és soha nem osztod meg a privát kulcsaidat.
Minden héten hallani olyan történetet, hogy valaki elvesztette a kriptóját. Nem hackertámadás, nem tőzsdekrach — egyszerűen rákattintott valamire, amit nem kellett volna. 2026-ban a kriptós adathalászat már nem a nyilvánvaló „nigériai herceg” szintjén működik. Profi, célzott, és néha elképesztően meggyőző.
A jó hír: a legtöbb támadásnak van felismerhető mintája. Ha tudod, mit keress, az esetek nagy részét el tudod kerülni — nem kell hozzá mérnöki végzettség, csak néhány bevésett szokás.
Miért épp most érdemes ezzel foglalkozni?
A kriptopiacon aktív tőke nő, az új belépők száma is nő — a csalók pedig követik a pénzt. A láncelemző cégek adatai szerint az adathalászat és társadalmi manipuláción alapú lopások összesített kára 2026-ban meghaladta az egymilliárd dollárt, és a trend nem lassult. A célpontok nem csak a naivak: tapasztalt felhasználók is bedőlnek, ha elég fáradtak, elég sietnek, vagy elég jól van megcsinálva a csapda. Egy friss eset a Robinhood vezetője fiókjának feltöréséről bizonyítja, hogy még az iparág kulcsfigurái sem mentesek a támadásoktól.
Az alábbiakban az öt leggyakoribb módszert szedem szét — és mindegyiknél megmondom, mit néz a szemedbe, és mit tehetsz ellene.
1. A hamis tárcaalkalmazás
Letöltöd a „MetaMaskot” vagy a „Ledger Live-ot” — de nem az igazit. Az alkalmazásboltokban rendszeresen jelennek meg klónok, amelyek szinte tökéletesen utánozzák az eredeti megjelenést. A különbség annyi, hogy az általad beírt kulcsmondatot azonnal továbbítják egy szerverre. A kockázat nem korlátozódik a böngészős tárcákra: a Telegram malware és session hijacking támadások szintén veszélyesek lehetnek, ha biztonsági alkalmazásokat vagy kriptó appokat töltöl le nem megbízható helyekről.
A felismerhető jelek:
- Kevés értékelés, rövid ideje elérhető az áruházban
- A fejlesztő neve nem egyezik a hivatalos cégnévvel (pl. „MetaMask LLC” helyett „MetaMask App Studio”)
- A leírásban nyelvtani hibák, furcsa megfogalmazások
- Nem a hivatalos weboldalról irányítottak oda
Mit tegyél ma: Minden tárcaalkalmazásnál menj a projekt hivatalos weboldalára, és onnan kattints az alkalmazásbolt linkre — soha ne fordítva. A már telepített appokat ellenőrizd le fejlesztő szerint.
2. A kulcsmondatot kérő „ügyfélszolgálat”
Ez a klasszikus, mégis meglepően hatékony. Valaki megkeresi Discordon, Telegramon vagy X-en, „ügyfélszolgálatosnak” adja ki magát, és segítséget ajánl egy technikai problémádhoz. A folyamat végén valamilyen formában megkérdezi a kulcsmondatodat (seed phrase) — esetleg egy „ellenőrzési” weboldalra irányít, ahol be kell írni.
A valóság: egyetlen legitim projekt ügyfélszolgálata sem kéri soha a kulcsmondatodat. Nem létezik olyan technikai helyzet, ahol erre szükség lenne. Ha valaki kéri, az 100%-ban csaló — nincs kivétel.
A mintázat felismerése:
- Nem te keresed őket — ők keresnek meg téged, „látták a problémádat”
- Sürgetnek, időnyomást alkalmaznak („ha 10 percen belül nem csináljuk meg, elveszíted a hozzáférést”)
- Privát csatornára hívnak, ahol „részletesebben tudnak segíteni”
Mit tegyél ma: A kulcsmondatodat írd fel papírra (ne digitálisan), tárold biztonságos helyen, és döntsd el most, hogy senkinek nem mondod el — bármi legyen is az indok. A self-custody gyakorlat részletes bevezetéséhez lásd a bitcoin biztonság lépésenkénti útmutatóját.
3. Az adathalász oldal — a webcím-trükk
Kapsz egy e-mailt vagy látasz egy hirdetést: „Uniswap airdrop — igényeld itt”. A hivatkozás első ránézésre tökéletesnek tűnik. De ha közelebbről megnézed: uniswap-airdrop.io vagy unlswap.com (kis L az i helyett). A weboldalon bekérik a tárca-kapcsolatot, majd aláíratsz veled egy rosszindulatú tranzakciót, ami kiüríti a tárcádat.
A webcím-hamisítás technikailag egyszerű és olcsó. Egy adathalász oldal felrakása percekbe telik, levédetni nehéz, és mire bejelentik, a kár már megtörtént.
Mit tegyél ma:
- Mentsd el a rendszeresen használt oldalakat könyvjelzőbe, és mindig onnan nyisd meg — ne keresőből, ne linkből
- Mielőtt bármit aláírsz egy tárca-kapcsolat után, olvasd el pontosan, mit engedélyezel — nem elég az „Jóváhagyás” gomb megnyomása előtt átfutni
- Használj böngészőbővítményt, ami jelzi az ismert adathalász oldalakat (pl. MetaMask beépített figyelmeztetése, Pocket Universe, Revoke.cash)
4. A hamis token és a kiürítő szerződés
Ez már haladóbb szint, de egyre gyakoribb. Kapsz ingyen valamit a tárcádba — egy ismeretlen tokent, NFT-t — és amikor megpróbálod eladni vagy „felvenni a jutalmadat” egy weboldalon, egy okosszerződés-tranzakciót írsz alá. Ez a szerződés nem azt csinálja, amit gondolsz: teljes hozzáférést ad az összes tokenedhez a tárcádban, és azonnal ki is üríti.
Ezeket hívják kiürítő szerződéseknek (drainer), és a kár néha másodpercek alatt megtörténik. A legjobb védekezés az, ha soha nem foglalkozol olyan tokenekkel, amelyeket nem te vásároltál vagy nem ismert forrásból kaptál.
Mit tegyél ma: Ha ismeretlen tokent látsz a tárcádban, ne próbáld meg tranzakcióba vinni. Ellenőrizd le a token szerződéscímét Etherscanon vagy hasonló eszközön, és nézd meg, mások mit írnak róla.
5. A romantikus és befektetési csalás — a „pig butchering”
Ez a leghosszabb játék, és a legfájdalmasabb, mert emberi kapcsolat épül
Gyakori kérdések
A támadók aPlay Store és App Store-ban klón alkalmazásokat töltölnek fel, amelyek tökéletesen utánozzák az eredeti wallet-appokat. Amikor a felhasználó bejelentkezik és megadja a seed phrase-t, az közvetlenül egy támadó szerverére kerül. A védelem: csak az official weboldalról kattints az alkalmazásboltba, és ellenőrizd a fejlesztő nevét.
A seed phrase-t (helyreállítási mondatot) a támadók fishing e-mailek, hamis weboldalak vagy social engineering útján próbálják megszerezni. Ha rendelkezésükre áll a seed phrase, teljes hozzáférést kapnak a tárcához és az összes pénzhez. Soha ne oszd meg senkivel a seed phrase-t, még nem támogatási ügynökséggel sem.
A DNS hijacking során a támadók megváltoztatják a domain név szervereit, és a felhasználó egy hamis weboldalra kerül. Például a wallet.com helyett egy wallet-clone.com-ra. Az ellenkezés: használj kettős faktoros azonosítást, és mivel az e-mailek ellenőrzésénél, közvetlenül a keresőben keress rá az official weboldalra.
Az airdrop-csapások ígéretes ingyenes token-eket ígérnek cserébe a wallethez való hozzáféréségül vagy valamilyen személyes adat megosztásáért. A valódi airdrop-ok nem kérnek privát kulcsot vagy seed phrase-t. Ha valami túl jónak tűnik ahhoz, hogy igaz legyen, valószínűleg nem is igaz.
Alapvető szokások: csak official forrásokon töltsd le az alkalmazásokat, soha ne oszd meg a seed phrase-t, használj hardware wallet-t a nagyobb mennyiségű tárolásához, és óvatlanul ellenőrizz minden linket mielőtt rákattintanál. Az erős jelszavak és a kétfaktoros hitelesítés szintén lényeges.
