Przejęcie konta kryptowalutowego: jak się chronić

Oszustwo polegające na przejęciu konta (account takeover) ma miejsce, gdy przestępca uzyskuje kontrolę nad istniejącym kontem innej osoby, np. loginem do giełdy kryptowalut, skrzynką e-mail lub rachunkiem bankowym, i wykorzystuje je do kradzieży pieniędzy lub danych. W kryptowalutach wyrządza ono szczególne szkody, ponieważ gdy monety zostaną wypłacone na zewnętrzny adres, zwykle nie ma możliwości chargebacku ani łatwego sposobu na cofnięcie transferu.

Ten poradnik wyjaśnia, jak dochodzi do przejęć kont, dlaczego konta kryptowalutowe są ulubionym celem, co użytkownicy mogą zrobić, aby zabezpieczyć swoje konta, oraz jak giełdy wykrywają i powstrzymują przejęcia. Jest przeznaczony dla zwykłych użytkowników oraz zespołów ds. przeciwdziałania oszustwom i compliance, które ich chronią.

Czym jest oszustwo polegające na przejęciu konta

FBI opisuje oszustwo typu account takeover (ATO) jako uzyskanie przez przestępców nieautoryzowanego dostępu do internetowego konta ofiary w instytucji finansowej, systemie płacowym lub na koncie oszczędności zdrowotnych „w celu kradzieży pieniędzy lub informacji dla osobistej korzyści”. W komunikacie z 25 listopada 2025 r. poinformowało, że Internet Crime Complaint Center (IC3) otrzymało od stycznia 2025 r. ponad 5100 skarg dotyczących ATO, a straty przekroczyły 262 mln USD (FBI IC3, I-112525-PSA).

Dwa szczegóły tego komunikatu są istotne dla użytkowników kryptowalut. Po pierwsze, FBI podało, że skradzione środki są często przelewane na konta kontrolowane przez przestępców, „z których wiele jest powiązanych z portfelami kryptowalutowymi”, więc szybko się je rozprasza i trudno je wyśledzić oraz odzyskać. Po drugie, w niemal wszystkich przypadkach socjotechniki przestępcy zmieniali hasło do konta i blokowali dostęp właścicielowi.

ATO różni się od oszustw z użyciem nowych kont. W przypadku oszustwa na syntetyczną tożsamość przestępcy zakładają nowe konta na fałszywe tożsamości. Przy ATO przejmują konto, które już należy do prawdziwego, zweryfikowanego klienta, i właśnie dlatego jest ono cenne: konto przeszło KYC, ma historię i często zawiera środki.

Jak atakujący przejmują konta

Większość przejęć wykorzystuje kilka technik, często łączonych:

• Credential stuffing. OWASP definiuje go jako „zautomatyzowane wprowadzanie skradzionych par nazw użytkowników i haseł” do formularzy logowania. Ponieważ wiele osób używa tych samych haseł, dane logowania ujawnione w jednym wycieku otwierają konta w innych serwisach. OWASP uznaje to za jedną z najczęstszych technik przejmowania kont (OWASP).
• Fałszywe wsparcie i phishing. FBI opisuje przestępców podszywających się pod pracowników banku, obsługę klienta lub wsparcie techniczne, którzy nakłaniają ludzi do podania danych logowania i jednorazowych kodów, a następnie sami resetują hasło. Ostrzega także przed „SEO poisoning”: płatnymi reklamami w wyszukiwarkach prowadzącymi do przekonujących fałszywych stron logowania.
• SIM swapping. Przestępca przekonuje operatora komórkowego do przeniesienia numeru ofiary na kartę SIM, którą kontroluje, a następnie odbiera kody SMS i wiadomości do resetowania haseł. Szczegółowo omawia to nasz poradnik o atakach SIM swap.
• Przejęcie sesji. Zamiast hasła atakujący kradnie zalogowaną sesję, np. za pomocą złośliwego oprogramowania na komputerze ofiary, i wykorzystuje ją, by działać jako użytkownik bez ponownego logowania.
• Wykorzystanie wykradzionych danych klientów do ukierunkowanych oszustw. Dane skradzione firmie mogą sprawić, że fałszywy telefon od „wsparcia” będzie znacznie bardziej przekonujący.

Ta ostatnia droga nie jest hipotetyczna. W raporcie z 15 maja 2025 r. Coinbase ujawnił, że sprawca opłacił kontraktorów lub pracowników działu wsparcia poza USA, aby zebrali dane klientów z systemów wewnętrznych, a następnie zażądał pieniędzy za ich niepublikowanie. Coinbase poinformował, że żadne hasła ani klucze prywatne nie zostały ujawnione, odrzucił żądanie 20 mln USD i oszacował koszty naprawy oraz dobrowolnych zwrotów na około 180–400 mln USD (Formularz 8-K Coinbase). Jego blog wyjaśniał cel: listę klientów, do których przestępcy mogliby dzwonić, „udając Coinbase”, aby nakłonić ich do oddania kryptowalut (Coinbase).

Dlaczego konta kryptowalutowe są głównym celem

Przejęcie konta na giełdzie kryptowalut jest atrakcyjne z trzech powodów:

• Szybkość i nieodwracalność. Wypłata na zewnętrzny adres zostaje rozliczona w ciągu kilku minut i nie ma sieci kartowej, która mogłaby ją cofnąć.
• Zweryfikowana tożsamość. Konto przeszło już KYC, więc przestępca może za jego pomocą przenosić lub prać środki bez przedstawiania własnych dokumentów. Pokrywa się to z działalnością słupów (money mules).
• Powiązane dostępy. Konta giełdowe są często połączone z rachunkami bankowymi, kartami i kluczami API, co poszerza zasięg atakującego.

Portfele self-custody nie mają konta, które można przejąć, ale są narażone na tę samą socjotechnikę, wymierzoną w inny łup: frazę seed lub złośliwy podpis. Zobacz wallet drainery i phishing zatwierdzeń.

Sygnały ostrzegawcze, że Państwa konto jest celem

• Powiadomienia o logowaniu lub e-maile dotyczące resetu hasła, o które Państwo nie prosili.
• Nieoczekiwane telefony lub wiadomości od „wsparcia” w sprawie podejrzanej aktywności, zwłaszcza z prośbą o kod, hasło lub przeniesienie środków do „bezpiecznego” portfela.
• Nagła utrata zasięgu w telefonie, która może oznaczać trwający SIM swap.
• Nowe adresy wypłat, klucze API lub urządzenia na koncie, których Państwo nie dodali.
• Zmiany na koncie e-mail, np. reguły przekierowania, których Państwo nie ustawili.

Ostrzeżenie samego Coinbase po incydencie z 2025 r. to dobra zasada dla każdej platformy: „nigdy nie poprosi o hasło, kody 2FA ani o przelanie aktywów na konkretny lub nowy adres”.

Jak chronić swoje konto

Największą zmianą jest przejście od ręcznie wpisywanych kodów do logowania odpornego na phishing:

1. Korzystajcie z passkeys lub sprzętowego klucza bezpieczeństwa, jeśli są dostępne. CISA nazywa MFA odporne na phishing, takie jak FIDO/WebAuthn, „złotym standardem” i zauważa, że inne formy MFA można obejść za pomocą phishingu, push bombingu lub SIM swapu (informator CISA). Zaktualizowane wytyczne NIST dotyczące uwierzytelniania, sfinalizowane w lipcu 2025 r., stwierdzają, że uwierzytelniacze oparte na kodach jednorazowych i kanałach pozapasmowych nie są odporne na phishing, ponieważ kod wpisany na fałszywej stronie może zostać przekazany na prawdziwą (NIST SP 800-63B-4).
2. Jeśli trzeba używać kodów, lepsza jest aplikacja uwierzytelniająca niż SMS. NIST klasyfikuje kody SMS i głosowe jako uwierzytelniacz „ograniczony”.
3. Używajcie unikalnego, długiego hasła dla każdej giełdy i dla poczty e-mail. FBI zaleca unikalne, losowe hasła o długości co najmniej 16 znaków (FBI IC3, kwiecień 2024 r.). Menedżer haseł sprawia, że jest to wykonalne.
4. Włączcie białą listę adresów wypłat oraz każde opóźnienie oferowane przez platformę dla nowych adresów. Złodziej, który się zaloguje, nie będzie wtedy mógł wysłać środków bezpośrednio do własnego portfela.
5. Zapiszcie strony logowania w zakładkach. FBI odradza wchodzenie na strony logowania z wyników wyszukiwania lub reklam, ostrzegając, że „MFA nie ochroni Państwa, jeśli traficie na fałszywą stronę logowania”.
6. Rozłączcie się i oddzwońcie. Jeśli ktoś twierdzi, że dzwoni z Państwa giełdy, zakończcie rozmowę i skontaktujcie się z firmą przez jej oficjalną aplikację lub stronę internetową.

W miarę możliwości długoterminowe zasoby warto trzymać w portfelu, który Państwo kontrolują, a nie na giełdzie. Aplikacje JewelSwap są na przykład niekustodialne: łączą Państwo własny portfel zamiast zakładać konto JewelSwap, więc bezpieczeństwo zależy od tego, jak chronią Państwo ten portfel. Podstawy omawia nasz poradnik self-custody.

Jak giełdy wykrywają i powstrzymują przejęcia kont

Dla platform celem jest sprawienie, by skradzione hasło było bezwartościowe, oraz dodanie utrudnień dokładnie tam, gdzie pieniądze opuszczają platformę. Typowe mechanizmy kontroli to:

• Powiązanie z urządzeniem i sygnały ryzyka. Logowanie z nowego urządzenia, z nowego kraju i z nowego adresu IP, po którym następuje reset hasła i dodanie nowego adresu wypłaty, to klasyczna sekwencja przejęcia. Każdy krok z osobna jest zwyczajny; razem uzasadniają blokadę lub weryfikację.
• Ograniczanie liczby prób i wykrywanie botów na punktach logowania i resetu, wymierzone w credential stuffing.
• Okresy karencji po zmianach zabezpieczeń, takich jak nowy e-mail, numer telefonu, metoda 2FA lub adres wypłaty.
• Uwzględnianie zmian karty SIM. NIST zaleca, aby usługi, które nadal wysyłają kody SMS, przed poleganiem na nich brały pod uwagę wskaźniki ryzyka, takie jak zmiana urządzenia, wymiana karty SIM lub przeniesienie numeru.
• Dodatkowa ponowna weryfikacja (step-up). Przy działaniach wysokiego ryzyka należy poprosić klienta o udowodnienie, że jest tą samą osobą, która otworzyła konto, zwykle za pomocą selfie na żywo porównanego z pierwotnym rekordem KYC. Po incydencie z 2025 r. Coinbase zapowiedział, że oznaczone konta będą wymagały dodatkowej weryfikacji tożsamości przy dużych wypłatach.

Kontrole step-up działają tylko wtedy, gdy nie da się ich oszukać zdjęciem lub odtworzonym nagraniem, dlatego ważne jest wykrywanie żywotności. Dostawcy usług weryfikacji tożsamości, tacy jak iDenfy, oferują porównanie twarzy z wykrywaniem żywotności, które platformy mogą uruchamiać w takich momentach, a nie tylko przy rejestracji.

W tle monitorowanie transakcji pomaga wykryć przejęte konto wykorzystywane do przenoszenia cudzych pieniędzy, a potwierdzone przejęcie wykorzystane do prania środków może wymagać zgłoszenia podejrzanej aktywności.

Co zrobić, gdy konto zostało przejęte

Komunikat FBI z listopada 2025 r. określa kolejność działań:

1. Natychmiast skontaktujcie się z platformą i poproście o zamrożenie konta oraz wycofanie lub cofnięcie wszystkiego, co się da.
2. Zresetujcie lub unieważnijcie przejęte dane logowania, także w każdym innym serwisie, w którym używaliście tego samego hasła. Na giełdzie unieważnijcie również klucze API i usuńcie nieznane adresy wypłat oraz urządzenia.
3. Złóżcie skargę na ic3.gov, podając jak najwięcej szczegółów i wpisując w opisie słowa „Account Takeover”, jeśli przebywacie w USA.
4. Poinformujcie firmę, pod którą się podszywano, w jaki sposób zostaliście zaatakowani, aby mogła ostrzec innych.

Następnie zabezpieczcie konto e-mail i konto u operatora komórkowego, ponieważ to klucze do resetowania wszystkich pozostałych dostępów. Uważajcie na każdego, kto się z Wami skontaktuje i zaoferuje odzyskanie kryptowalut za opłatą. To częste oszustwo następcze, omówione w naszym poradniku o oszustwach na odzyskiwanie kryptowalut.

Najczęściej zadawane pytania

Czym jest oszustwo polegające na przejęciu konta?

To sytuacja, w której przestępca uzyskuje kontrolę nad istniejącym kontem internetowym innej osoby, np. na giełdzie kryptowalut, kontem e-mail lub bankowym, i wykorzystuje je do kradzieży pieniędzy lub informacji. FBI odnotowało od stycznia do końca listopada 2025 r. ponad 5100 skarg i ponad 262 mln USD strat.

Jak przestępcy przejmują konta na giełdach kryptowalut?

Głównie za pomocą powtarzanych haseł automatycznie testowanych na stronach logowania (credential stuffing), phishingu i fałszywych telefonów od wsparcia, które przechwytują hasła i kody jednorazowe, SIM swapów przejmujących kody SMS oraz złośliwego oprogramowania kradnącego zalogowane sesje.

Czy uwierzytelnianie dwuskładnikowe zapobiega przejęciu konta?

Pomaga, ale nie każdy rodzaj w takim samym stopniu. Kody wysyłane SMS-em lub przepisywane z aplikacji mogą zostać wyłudzone lub przechwycone. Passkeys i sprzętowe klucze bezpieczeństwa oparte na FIDO/WebAuthn są odporne na phishing, co CISA nazywa złotym standardem.

Czy mogę odzyskać kryptowaluty po przejęciu konta?

Czasami, jeśli działa się szybko, a środki nie opuściły jeszcze platformy. Należy natychmiast skontaktować się z giełdą i zgłosić sprawę FBI na ic3.gov, jeśli przebywa się w USA. Gdy monety zostaną wypłacone na zewnętrzny adres, odzyskanie jest trudne, a każdy, kto obiecuje gwarantowane odzyskanie za opłatą, jest najpewniej oszustem.

Dlaczego giełda prosi o selfie przed wypłatą?

To kontrola step-up. Porównanie selfie na żywo z twarzą z pierwotnego KYC potwierdza, że osoba przenosząca środki jest właścicielem konta, co zatrzymuje przestępcę, który ukradł jedynie hasło lub kody.

Czytaj dalej

• Ataki SIM swap: jak działają i jak chronić kryptowaluty
• Wykrywanie żywotności i weryfikacja twarzy
• Wallet drainery i phishing zatwierdzeń
• Oszustwa kryptowalutowe w 2026 r.
• Hot wallet a cold wallet

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej, dotyczącej bezpieczeństwa ani finansowej. Dane liczbowe pochodzą z podlinkowanych w tekście źródeł w opublikowanym brzmieniu: komunikatu FBI IC3 I-112525-PSA (25 listopada 2025 r.), Formularza 8-K Coinbase (15 maja 2025 r.) i NIST SP 800-63B-4 (lipiec 2025 r.). Źródła sprawdzono 9 października 2026 r.