Hogyan ismerik fel a hamis kriptoalkalmazásokat azok, akiket még sosem vertek át?

A kriptopiac egyik legsötétebb szeglete 2026-ban sem tűnt el: a fake alkalmazások tömege lepte el az app store-okat, és az áldozatok nem feltétlenül kezdők. Egy figyelmetlan pillanat, egy meggyőzőre formázott ikon, egy megszokott név — és máris lecsapolt tárcával találod magad szemben.

A DefiLlama esete tanulságos. Az egyik legnépszerűbb DeFi adataggregátor szándékosan nem adott ki mobilappot, mert a csapat szerint a hamisítók mindig megelőzik őket. Amíg ők fejlesztenének, addigra már tucatnyi fake verzió kerülne fel — és a felhasználók ezeket töltik le. Ez nem pesszimizmus, ez tapasztalat.

Miért pont az App Store-ban találod meg ezeket?

Sokan azt hiszik, hogy az Apple kertje zárt, tehát biztonságos. Részben igaz — de a felülvizsgálati folyamat nem tévedhetetlen. A hamisítók pontosan ismerik az App Store moderációs ritmusát: gyorsan feltöltenek egy alkalmazást, amely az első napokban ártatlannak tűnik, majd egy frissítéssel aktiválják a rosszindulatú kódot.

Android esetén a helyzet még aggasztóbb. A Google Play nyitottabb ökorendszere miatt az APK-k oldalról is telepíthetők, és a Play Protect sem szűr ki mindent. Ha valaki egy Telegram-csoportban kap „exkluzív” linket egy crypto apphoz — az szinte biztosan átverés.

Konkrét red flagek: mit nézz meg a szövegben?

Telepítés előtt az app oldalán minden szöveg potenciális jelzés. Íme, ami azonnal gyanút kell keltsen:

• Elütések és gépelési hibák az app nevében: „DefïLlama” (i helyett ï), „UniSwapp”, „MetaMàsk” — egy karakter, és máris más alkalmazás. Zoomigazíts rá a névre, ne csak rápillants.
• Fejlesztői fiók neve nem egyezik: A valódi MetaMask fejlesztője a „ConsenSys”. Ha az app store-ban más cégnevet látsz — például „MetaMask Labs LLC” vagy „Crypto Wallet Inc.” — az piros lámpa.
• Leírás tele van kulcsszavakkal, de üres tartalommal: „Best crypto wallet, DeFi, NFT, Bitcoin, Ethereum, secure, fast” — semmi konkrét, semmi csapatinfó, semmi GitHub-link.
• Friss regisztrációs dátum, magas értékelés: Ha egy app 4,9 csillagos, de csak 3 hónapja létezik és 200 értékelése van — ezeket szinte biztosan vásárolták. Nézd meg, mikor töltötték fel először.
• Az értékelések szövege generikus: „Great app!”, „Very useful!”, „Love it!” — egyszavas, dátum nélküli, profilkép nélküli értékelések tömeges jelenléte egyértelmű jel.
• Nincs weboldal-link, vagy a link nem működik: Minden legitim projekt megad egy verifikálható honlapot. Ha a fejlesztői link egy Linktree-re vagy egy frissen regisztrált domainre mutat, ne telepítsd.

Az AML-ellenőrzős átverés: új módszer, régi trükk

2026-ban terjedt el egy különösen aljas variáns: fake AML (Anti-Money Laundering) ellenőrző alkalmazások. Ezek azt ígérik, hogy megmondják, „tiszta-e” a tárcád — vagyis nem szerepel-e tiltólistán. A folyamat lépései általában így néznek ki:

1. Letöltöd az appot, amely profinak tűnik, esetleg ismerős logóval.
2. Bekéri a tárcád seed phrase-ét vagy privát kulcsát „ellenőrzés céljából”.
3. Azonnal leürítik a tárcádat.

Egyetlen legitim AML-ellenőrző sem kéri a seed phrase-edet. Soha, semmilyen körülmények között. Ha egy alkalmazás vagy weboldal ezt kéri, az maga a lopás — csak még nem kapcsolták be.

Hogyan ellenőrizd telepítés előtt? Lépésről lépésre

1. Menj a projekt hivatalos weboldalára

Ne keress rá az App Store-ban, hanem először a projekt saját oldalán (pl. defillama.com) keresd meg az esetleges app-linket. Ha nincs ilyen link — mint a DefiLlama esetében —, akkor nincs hivatalos app. Kész.

2. Ellenőrizd a fejlesztői profilt

Kattints a fejlesztő nevére az app store-ban. Megnézheted, hány más alkalmazást adott ki. Ha ez az egyetlen appjuk, és a fiókot néhány hónapja hozták létre — erős gyanújel. A legális crypto projektek fejlesztői profiljai általában több éve aktívak.

3. Keresd meg a GitHub-repót

Az open-source projektek (MetaMask, Uniswap, stb.) kódja nyilvánosan elérhető. Ha az app azt állítja, hogy nyílt forráskódú, de nem találsz aktív repót, az hazugság. A legegyszerűbb ellenőrzés: githubon keresd meg a projekt nevét, és nézd meg, mikor volt az utolsó commit.

4. Nézd meg, mit kér az alkalmazás telepítéskor

Egy DeFi adataggregátornak miért kellene hozzáférés a mikrofodhoz, névjegyeidhez vagy SMS-eidhez? Ha az engedélykérések nem logikusak az app funkciójához képest, töröld azonnal.

5. Keress rá a projekt közösségi csatornáin

A valódi projektek Discord-ján, Twitter/X oldalán vagy Reddit-csatornáján az aktív közösség azonnal jelzi, ha fake app jelent meg. Ez az egyik leggyorsabb módszer — néhány perces keresés megspórolhat egy szomorú tapasztalatot.

iOS vs. Android: valóban más a kockázat?

Röviden: igen, de nem úgy, ahogy gondolnád. Az iOS zárt rendszere nehezíti a rosszindulatú kód futtatását, de nem véd a social engineering ellen. Ha te adod meg a seed phrase-t, az Apple sem segít.

Androidon a kockázat magasabb, mert:

• APK-k oldalról telepíthetők — Telegram-csoportokban, Discord-szervereken terjesztik ezeket.
• A Play Protect valós idejű védelme sem fogja el az összes fenyegetést.
• A fejlesztői módban könnyen kikapcsolható a biztonsági figyelmeztetés.

Mindkét platformon igaz: ne csatlakozz ismeretlen appból párosított tárcához. Ha egy alkalmazás azt kéri, hogy add meg a seed phrase-t vagy kapcsold össze a meglévő tárcádat — különösen, ha az appot nem közvetlenül a projekt weboldaláról töltötted le —, az a belépési pont a lopáshoz.

Összefoglalás

A fake crypto alkalmazások nem eltűntek, hanem fejlődtek. Ma már AML-ellenőrzőnek álcázzák magukat, holnap valami mást találnak ki. A DefiLlama döntése — hogy inkább nem ad ki mobilappot, mint hogy versenyezzen a hamisítókkal — egyszerre jelent védelmet a felhasználóinak és kemény üzenetet az iparágnak.

A legfontosabb szabályok, amelyeket érdemes megjegyezni:

• A seed phrase soha nem kell semmilyen appnak.
• Az app store keresője nem biztonságos kiindulópont — először a hivatalos weboldalon keresd az app-linket.
• Ellenőrizd a fejlesztői profilt, az engedélyeket és az értékeléseket — a részletekben van a különbség.
• Ha nincs hivatalos app, nincs app — semmiképpen sem érdemes „közel állót” telepíteni.

Ez nem paranoia, hanem alapvető digitális higiénia. A kriptopiacon az elveszett pénz visszaszerzésére általában nincs mód — sem technikai, sem jogi úton.