Oszustwo na kryptowaluty - nie daj się cyberprzestępcom! Część 1

Oszustwa związane z kryptowalutami mnożą się jak przysłowiowe grzyby po deszczu. Oszuści wykorzystują rozmaite techniki: oferty nowych projektów (Initial Coin Offering - ICO), phishing, fałszywe inwestycje, kryptowalutowe piramidy finansowe, cyberataki na platformy wymiany walut i inne. Wysokość wyłudzonych w ten sposób kwot jest porażająca.

‍

‍

Według amerykańskiej Federalnej Komisji Handlu (FederalTrade Commission – FTC), liczba oszustw dokonanych za pomocą kryptowalut niepokojąco wzrasta. Powyżej prezentujemy wykres FTC, obrazujący skalę zjawiska w okresie styczeń 2018 - marzec 2022 tylko w samych Stanach Zjednoczonych. W tym roku chyba padnie nowy rekord!

O co chodzi w przestępstwach kryptowalutowych

Cyfrowa waluta jest formą waluty przechowywaną w cyfrowym portfelu. Właściciel może tę walutę zamienić w gotówkę, przelewając ją na konto bankowe. Kryptowaluta, taka jak bitcoin, różni się od zwykłej waluty cyfrowej. Do weryfikacji wykorzystuje technologię blockchain. Blockchain to postać księgi rachunkowej, w której zapisuje się transakcje w cyfrowej postaci, rozproszone w Internecie. Technologia opiera się na sieci peer-to-peer, co oznacza, że nie ma tu komputerów centralnych czy systemów zarządzających i weryfikujących transakcje, a każdy podłączony komputer może brać udział w ich przesyłaniu i uwierzytelnianiu. Użycie technologii blockchain oznacza, że transakcja nie przebiega przez instytucje finansowe. Jeżeli zatem zostaniesz oszukany przy jej użyciu, trudniej o odzyskanie skradzionych środków, chociaż da się to zrobić (jest to temat na osobny artykuł).‍

Dlaczego ludzie dają się naciągać na kryptowaluty?

Bo kryptowaluta wielu kojarzy się z dużym i łatwo przychodzącym bogactwem. My również w naszej praktyce natknęliśmy się na przypadki oszukanych klientów.

Scenariusz oszustwa

Zaczyna się często od kliknięcia w reklamę obiecującą duży i szybki zysk na inwestycji w kryptowaluty. Kliknięcie przenosi potencjalnego inwestora na stronę, gdzie zostaje poproszony o dane do kontaktu, po czym, zwykle po bardzo niedługim czasie dzwoni „doradca” („specjalista”, „analityk”).„Doradca” namawia do inwestycji w bitcoina, do czego trzeba założyć konto inwestycyjne na giełdzie kryptowalut (musisz wysłać zdjęcie dokumentu tożsamości). Na podstawie tych danych oszuści tworzą konto na giełdzie kryptowalut oraz wirtualny portfel. Teraz inwestor musi ściągnąć na własne urządzenie aplikację AnyDesk, która ma mu umożliwić podgląd swojej inwestycji. Tak naprawdę jest to aplikacja zdalnie przejmująca pulpit, która pozwala na obserwowanie wszystkiego, co na swoim urządzeniu robi jego użytkownik, włącznie z logowaniem do konta bankowego. Pozwala również na przejęcie kursora na tym urządzeniu. Inwestycje oczywiście są fikcyjne. Założone na giełdzie kryptowalut konto posłuży tylko do anonimowego wypłacenia ich na prywatne konto przestępcy.

Inny przypadek oszustwa

Za namową brokera inwestor, Polak pracujący w UK, wpłacił na kryptowalutowe konto kwotę kilkudziesięciu tysięcy euro. Otrzymał informację, że na inwestycji zarobił prawie drugie tyle, jednak nie ma możliwości wypłacenia pieniędzy, ponieważ urząd skarbowy UK (HMRC) musi najpierw otrzymać od całości zysku podatek w wysokości 19%. Na potwierdzenie powyższego inwestor otrzymał mailowo kopię listu wysłanego przez bank, kopię listu wysłanego przez HMRC oraz certyfikat potwierdzający wysokość zgromadzonych środków. Warto zaznaczyć, że w liście wysłanym rzekomo przez HMRC znalazła się informacja, iż w przypadku nieopłacenia podatku w określonym terminie fundusze ulegną „konfiskacie na rzecz skarbu państwa”, a według brokera zapłaty podatku należy dokonać przez bitomat, czyli odmianę bankomatu – wpłatomatu, gdzie można kupować oraz sprzedawać kryptowaluty za gotówkę. Cała korespondencja została także wysłana poprzez platformę @protonmail.com. Oczywiście inwestycja okazała się oszustwem, a HMRC nic nie wiedziało o żadnej korespondencji w związku z inwestycją. Nielicencjonowany broker ukradł wpłacone pieniądze i chciał wyciągnąć ich jeszcze więcej, korzystając z nieznajomości przez inwestora brytyjskich przepisów. W przypadku Polaków w UK dodatkowym problemem jest także fakt, że wielu z nich, przyjeżdżając tu tylko do pracy, nawet nie posługuje się językiem angielskim. Są oni niestety oszukiwani najczęściej również przez naszych rodaków. Poniżej prezentujemy kopię pisma, wysłanego rzekomo z HMRC:

Sposobów na oszustwa jest bez liku i wciąż pojawiają się nowe.

Przykłady powszechnych oszustw kryptowalutowych

1. Schematy inwestycyjne dotyczące bitcoinów

• Oszust kontaktuje się z inwestorem i przedstawia jako doświadczony doradca inwestycyjny, który zarobi dla inwestora mnóstwo pieniędzy. Za swoje usługi żąda opłaty z góry, z którą następnie znika;
• Oszust prosi o dane identyfikacyjne celem zdeponowania funduszy, dzięki czemu uzyskuje dostęp do portfela kryptowalutowego ofiary i kradnie jej kryptowaluty;
• Zaproponowana inwestycja jest poparta przez znaną osobę – celebrytę. Zdjęcia celebryty są ponakładane na fałszywe konta, artykuły i reklamy, które przekonują, że inwestycja gwarantuje duży zysk. Wszystko zwykle wygląda bardzo profesjonalnie: strona www, logo itp. Wykorzystywane są też nazwy renomowanych firm. Na polskim rynku takiego oszustw dokonano za pomocą Bitcoin Profit, gdzie nielegalnie wykorzystano wizerunki Roberta Lewandowskiego i Kuby Wojewódzkiego.

2. Oszustwa typu „Rug pull”

Oszust przyciąga inwestorów do nowego projektu kryptowalutowego, którym może być niezbywalny token (NFT) lub moneta. Uzyskuje finansowanie, a następnie znika, zanim projekt zostanie zbudowany. Kodowanie tych inwestycji uniemożliwia ludziom sprzedaż bitcoina po zakupie, więc inwestorzy zostają z bezwartościową inwestycją. Popularna wersja oszustwa rug pull to oszustwo Squid coin (nazwa powstała na bazie tytułu serialu Squid Game). Aby zarobić kryptowalutę, trzeba było grać, a zatem ludzie kupowali tokeny do gier online i mieli zarobić więcej później, wymieniając te tokeny na inne kryptowaluty. Cena tokena Squid szybko skoczyła od wartości 1 centa do około 90 dolarów. Wtedy handel stanął i wszystkie wpłacone fundusze zniknęły, a tokeny stały się bezwartościowe. W ten sposób oszuści zdobyli w sumie kwotę w wysokości około 3 milionów dolarów.
‍

3. Oszustwa romansowe (Romance scams)

Oszustwa te, inaczej znane jako „pig butchering scam”, są dokonywane za pomocą aplikacji randkowych, gdzie oszust poznaje swoją ofiarę i poświęca czas, aby zdobyć jej zaufanie, aby z czasem przekonać ją do zakupu lub przekazania pieniędzy w formie kryptowaluty. Gdy to się uda, oszust znika.
‍

4. Oszustwa phishingowe (Phishing scams)

Oszust wysyła e-mail z linkiem do fałszywej strony internetowej celem uzyskania klucza do portfela kryptowalut. Każdy użytkownik otrzymuje tylko jeden unikalny klucz do cyfrowego portfela i jego utrata wymaga otworzenia nowego portfela.
Nigdy zatem nie wprowadzaj żadnych danych na stronę, która została otwarta za pomocą linku – zawsze wchodź na stronę bezpośrednio.
‍

5. Atak typu „Man-in-the-middle”

Tego typu kradzież odbywa się, kiedy ofiara loguje się na swoje konto kryptowalutowe korzystając z publicznych, niezabezpieczonych sieci. Wówczas oszust może wykraść ich hasła, klucze portfela kryptowalutowego i informacje o koncie. Za każdym razem, gdy użytkownik jest zalogowany, złodziej może zebrać te wrażliwe informacje, stosując podejście man-in-the-middle. Odbywa się to poprzez przechwytywanie sygnałów Wi-Fi w zaufanych sieciach, jeśli znajdują się one w bliskim sąsiedztwie. Dlatego najlepiej używać wirtualnej sieci prywatnej (Virtul Private Network - VPN), która szyfruje wszystkie przesyłane dane.
‍

6. „Rozdawanie” kryptowalut w mediach społecznościowych

Na portalach społecznościowych znajdziesz wiele postów, które obiecują bitcoin giveaways. Czasem wykorzystywane są do tego nielegalnie wizerunki znanych osób. Kliknięcie przeniesie Cię na fałszywą stronę, gdzie musisz przeprowadzić „weryfikację”, aby otrzymać bitcoin. W procesie „weryfikacji” poproszą Cię o dokonanie płatności, celem udowodnienia, że Twoje konto jest legalne. W ten sposób narazisz się na kradzież danych osobowych oraz kryptowalut.
‍‍

7. Schemat Ponziego (Ponzi scheme) czyli piramida finansowa

Za pomocą tej formy oszustwa są wyłudzane największe sumy. Oszuści chcą Cię namówić do inwestycji, obiecując wysokie i szybkie zyski. Kluczem do udanego oszustwa jest pozyskanie jak największej ilości uczestników, ale zainwestowane przez nich pieniądze nie są lokowane w aktywa, a faktycznym źródłem zysku czyli spłaty wcześniejszych uczestników są wpłaty kolejnych inwestorów. Nieuniknione jest zatem nadejście chwili, w której wypłaty zrównują się z kapitałem organizatora i piramida upada. Nazwa schematu została wzięta od nazwiska włoskiego emigranta w USA, który zastosował go jako pierwszy na masową skalę w 1919 roku (po pierwszej wojnie światowej), co przyszło mu łatwo na skutek powojennych różnic cenowych w poszczególnych krajach. Ponzi obiecywał osiągnięcie zysków w wysokości 50% wpłaconych pieniędzy w ciągu 45 dni. Oszukał swoich inwestorów na kwotę 15 milionów dolarów. W przypadku kryptowalut oszust wabi swoje ofiary za pomocą zysków z kryptowalut.
Przykładem takiej kryptowalutowej piramidy finansowej jest głośna sprawa BitClub Network, gdzie obiecano inwestorom zyski z kopania kryptowalut. Kwota, którą udało się oszustom wyłudzić od kwietnia 2014 do grudnia 2019, to 772 miliony dolarów. Inne afery tego typu to PlusToken (wyłudzono 3 miliardy dolarów) czy OneCoin– rzekoma kryptowaluta z prywatnym blockchainem i platformą do nauki o krypto (wyłudzono około 4 miliardy dolarów).
‍

8. Fałszywe giełdy kryptowalut

Oszust wabi Cię obietnicą bardzo korzystnej wymiany kryptowalut. W rzeczywistości do żadnej wymiany nie dochodzi – stracisz tylko pieniądze. Dlatego nie dokonuj wymiany za pomocą nieznanych rynków.
‍

9. Podejrzane oferty zatrudnienia i nieuczciwi pracownicy

Oszust podaje się za rekrutera, który oferuje Ci interesującą pracę, ale warunkiem przejścia przez obowiązkowe szkolenie jest zapłata w kryptowalutach.

Może też być odwrotnie – do firmy kryptowalutowej zgłasza się freelancer IT z imponującym resume, który oferuje swoje usługi jako pracownik pracujący zdalnie. Po uzyskaniu dostępu włamuje się do systemów, aby wykraść fundusze, albo informacje. Dlatego ważne jest, aby Twoi pracownicy przeszli przez odpowiednio dokładną kontrolę, zanim uzyskają dostęp do wrażliwych danych.

Ciąg dalszy nastąpi...