Bezpieczeństwo i scamy

Co wyjaśnia ta lekcja i dla kogo jest

Ta lekcja opisuje, jak nie stracić środków w krypto przez błąd weryfikacji, a nie przez zły ruch na wykresie. Jest dla osoby, która sama podpisuje transakcje, łączy portfel z nowymi aplikacjami albo kupuje tokeny poza głównymi giełdami. Znajdziesz w niej jedną stałą sekwencję sprawdzeń wykonywaną przed wysłaniem czegokolwiek, listę warunków stopu i sposób policzenia maksymalnej straty, jaką przyznajesz, podpisując uprawnienie. Temat przechowywania kluczy, segregacji środków i testu wypłaty należy do osobnej lekcji — przechowywanie środków — i tutaj pojawia się tylko jako odsyłacz.

Model zagrożenia: cztery wektory utraty

Scam w krypto rzadko wygląda jak oszustwo. Najczęściej wygląda jak normalna czynność wykonana na podstawie podstawionej informacji. Cztery wektory pokrywają większość praktycznych przypadków.

Cztery wektory, jedna konsekwencja: strata bez stop-lossu. Rynek nie odda Ci pozycji po wycieku klucza, bo nie ma czego zamykać. Dźwignia i funding zabijają konto tradingowe; te cztery wektory zabijają konto, zanim trading się zacznie.

Protokół weryfikacji przed wysłaniem czegokolwiek

Sekwencja jest stała i wykonywana w tej samej kolejności. Kolejność ma znaczenie: każdy krok odsiewa przypadki, które unieważniają następny. Wszystkie kroki wykonujesz przed pierwszym podpisem, a nie po błędzie.

1. URL z oficjalnego źródła. Otwierasz adres, wpisując go samodzielnie albo wchodząc z zakładki, którą zapisałeś wcześniej. Link z wiadomości prywatnej, komentarza, reklamy w wyszukiwarce albo postu nie jest źródłem. Porównaj domenę znak po znaku, z domeną najwyższego poziomu włącznie.
2. Adres kontraktu zgodny z dokumentacją projektu. Dokumentacja albo oficjalny kanał projektu podaje adres. Kontrakt widziany w interfejsie musi być identyczny, znak po znaku. Nie polegasz na nazwie ani na symbolu, bo oba można skopiować.
3. Zakres uprawnienia (approve) świadomie ograniczony. Zanim potwierdzisz, przeczytaj, do czego uprawnienie daje dostęp i na jaką kwotę. Jeśli interfejs proponuje limit bez górnej granicy, a Ty nie umiesz uzasadnić, po co jest potrzebny, wpisujesz limit samodzielnie.
4. Limity wypłat sprawdzone przed wpłatą. Zanim środki wejdą do nowej aplikacji, sprawdź, czy w ogóle da się je wyprowadzić w rozsądnym czasie i czy znasz warunki wypłaty. Limit wypłaty, o którym dowiadujesz się po wpłacie, jest informacją spóźnioną.
5. Oficjalny kanał potwierdza komunikat. Jeżeli jakakolwiek instrukcja przyszła z wiadomości, potwierdzasz ją w kanale, który znasz z dokumentacji projektu — nie w tym samym wątku, z którego przyszła. Airdrop, migracja tokena, „weryfikacja konta” — każdy z tych komunikatów przechodzi przez ten test.

Pięć kroków, jeden cel: żaden podpis nie jest efektem pośpiechu wywołanego cudzą wiadomością.

Warunki stopu: kiedy przerywasz, a nie „sprawdzasz dalej”

Warunek stopu to sytuacja, w której kończysz procedurę natychmiast, bez negocjowania i bez doprecyzowywania. Zapisujesz ją z góry, bo w trakcie rozmowy nacisk działa inaczej niż przy biurku.

Warunek stopu obowiązuje także wtedy, gdy jesteś w połowie procedury i wszystko dotąd się zgadzało. Zgodność czterech kroków nie unieważnia piątego.

Uprawnienia: jak policzyć maksymalną stratę

Uprawnienie bez limitu nie jest abstrakcyjnym ryzykiem. Ma wymierny rozmiar, który policzysz przed podpisem:

maksymalna strata z uprawnienia = mniejsza z dwóch wartości: saldo tokena objętego uprawnieniem i limit przyznany w uprawnieniu

To jedno działanie zmienia podejście do nowych aplikacji. Przy limicie ustawionym ręcznie Twoja strata jest z góry znana i wynosi tyle, ile sam wskazałeś. Przy limicie nieograniczonym maksymalna strata równa się całemu saldu tokena, także temu, które dokupisz później. Wtedy każdy przyszły zakup automatycznie zwiększa ekspozycję, o której zapomniałeś.

Revoke, czyli cofnięcie uprawnienia, robisz po zakończeniu eksperymentu — nie „kiedyś”. Uprawnienie przyznane na czas testu i niecofnięte działa dalej, długo po tym, gdy projekt przestaje Cię interesować. Praktyczna higiena DeFi to ten sam mechanizm, co stop-loss, przeniesiony z warstwy decyzji do warstwy dostępu.

MiCA, KNF i CASP: co sprawdzasz u źródła

W Unii Europejskiej obowiązują ramy nadzoru nad rynkiem kryptoaktywów. W Polsce komunikaty dla konsumentów i listę ostrzeżeń publikuje między innymi KNF. Status podmiotu jako dostawcy usług kryptoaktywowych sprawdzasz u źródła — w komunikatach organu i oficjalnych rejestrach — a nie w reklamie, w stopce „regulowane w UE” ani w poście influencera. Hasło KNF wyjaśnia, czym jest ten organ.

Ten kurs nie przyznaje ani nie potwierdza zezwolenia żadnej platformie. Statusy się zmieniają, podobnie jak zakres obowiązków po stronie podmiotów. Twoja notatka z datą sprawdzenia jest więcej warta niż zapamiętane zdanie z reklamy.

Protokół phishingu — wypełnij własnym przypadkiem

Nie kopiuj cudzych opisów incydentów. Przejdź tę tabelę na własnym przykładzie, choćby hipotetycznym, ale z Twoją checklistą i Twoją decyzją.

Cel jest jeden: kompletny wiersz z datą, a nie przekonanie, że temat scamów jest znany.

Jak ograniczyć zasięg strat

Podziel środki świadomie i nazwij koszyki. Kwota przeznaczona do handlu, kwota trzymana poza platformami i kwota eksperymentalna, którą możesz stracić w całości. Nowa aplikacja otrzymuje wyłącznie trzeci koszyk, na przykład kilka procent kapitału (liczba ilustracyjna), plus najmniejszy sensowny limit uprawnienia.

Zasada jest prosta w wersji słownej: żadna nowa aplikacja nie widzi środków, których utrata zmieniłaby Twój plan. Twarda granica jest lepsza niż dobre intencje, bo przy trzecim podpisie w ciągu wieczoru intencje przestają działać. Sposób odseparowania kluczy i rachunków opisuje lekcja przechowywanie środków, a ryzyko po stronie tokena — stablecoiny i ryzyko de pegu oraz spot kontra perpetual.

Kiedy weryfikacja mówi „nie handluj”

1. Nie możesz wskazać adresu kontraktu w dokumentacji projektu. Sam symbol i nazwa nie wystarczają, bo oba są kopiowane w kilka minut. Hasło stablecoin pokazuje, jak łatwo pomylić podobnie nazwane aktywa.
2. Interfejs proponuje uprawnienie bez limitu, a Ty nie umiesz uzasadnić, po co. Brak uzasadnienia oznacza, że nie rozumiesz transakcji, którą podpisujesz.
3. Nie wiesz, jak wypłacić środki z nowej aplikacji. Wpłata, której nie umiesz cofnąć, nie jest testem, lecz zakładem.
4. Instrukcja dotarła tylko prywatnym kanałem i nie potwierdza jej oficjalne źródło. Wiadomość nie staje się prawdziwa przez to, że nadawca ma znajomy avatar.

Typowe błędy

• Podawanie seeda komukolwiek. Oficjalne wsparcie nie potrzebuje frazy odzyskiwania, niezależnie od uzasadnienia.
• Kupowanie tokenów o małej kapitalizacji „za rentę”, gdy nie umiesz sprawdzić kontraktu. Jeśli nie potrafisz przejść pięciu kroków, nie wchodzisz.
• Podpisywanie transakcji „bo airdrop”, bez czytania, co autoryzują. Zapowiedź darmowego tokena nie usprawiedliwia podpisu, którego nie rozumiesz.
• Trzymanie całego kapitału w jednym gorącym portfelu podłączonym do eksperymentów. Jedno złe uprawnienie obejmuje wtedy wszystko.
• Traktowanie audytu jako gwarancji. Audyt obniża ryzyko znanych klas błędów, ale nie usuwa ryzyka ekonomicznego ani nie blokuje późniejszych zmian w projekcie.
• Ufanie „zezwoleniu” ze zrzutu ekranu w komunikatorze. Status sprawdzasz w oficjalnym źródle, nie w materiale przesłanym przez rozmówcę.

Ćwiczenie mierzalne

Wykonaj protokół na jednej realnej aplikacji i zapisz wynik z datą.

1. Wypisz pięć kroków weryfikacji i dla każdego zapisz, co konkretnie sprawdziłeś — adres, limit, kanał.
2. Zapisz maksymalną stratę z uprawnienia, licząc ją według formuły z tej lekcji, przy założeniu limitu ustawionego ręcznie na kwotę testową, na przykład pięćdziesiąt złotych (liczba ilustracyjna).
3. Wykonaj jedną transakcję testową z koszyka eksperymentalnego i cofnij zbędne uprawnienie.
4. Wypełnij tabelę protokołu phishingu dla przypadku, który sam wymyślisz, i zapisz decyzję.
5. Ustaw powtórzenie sprawdzenia statusu podmiotu na kolejny kwartał.

Wynik, którego szukasz, to nie „znam teorię scamów”, lecz jeden wypełniony wiersz z datą, jeden cofnięty dostęp i jedna policzona kwota maksymalnej straty.

Częste pytania

Czy audyt smart kontraktu gwarantuje bezpieczeństwo?

Nie. Audyt obniża ryzyko znanych klas błędów technicznych, ale nie usuwa ryzyka ekonomicznego, nie chroni przed nagłym wycofaniem płynności ani przed późniejszą zmianą uprawnień w projekcie. Kontrakt z audytem nadal może być tokenem bez wyjścia.

Po co liczyć maksymalną stratę z uprawnienia, skoro i tak cofam dostęp po teście?

Bo decyzję o cofnięciu podejmujesz dopiero po fakcie, a uprawnienie działa od momentu podpisu. Ta liczba jest jedynym parametrem, który znasz z góry i który nie zależy od Twojej pamięci. Przy limicie nieograniczonym maksymalna strata obejmuje również tokeny dokupione później, więc rośnie bez Twojej decyzji. Bez tej liczby nie wiesz, jak dużą pozycję faktycznie otworzyłeś.

Giełda czy portfel własny — co wybrać?

To nie wybór jednego modelu, lecz podział zadań. Model custodialny przenosi ryzyko na platformę, model własnych kluczy przenosi je na Twoją higienę operacyjną. Oba mają inne wektory awarii, więc nie ma wariantu bez ryzyka.

Czy ten kurs potwierdza, że dana giełda ma status dostawcy usług kryptoaktywowych?

Nie. Status sprawdzasz samodzielnie w oficjalnych komunikatach i rejestrach nadzorczych oraz w komunikatach unijnych. Reklama i zrzut ekranu nie są potwierdzeniem, a sama informacja zmienia się w czasie — zapisuj datę sprawdzenia.