274,6 ETH z 224 portfeli. Policzyłem, ile kosztował jeden film z poradnikiem o botach kryptowalutowych

👁 118 przeczytań

Schemat jest na tyle elegancki, że przez chwilę trudno znaleźć w nim moment oszustwa. Widz ogląda poradnik: krok po kroku, z lektorem, z kodem na ekranie, z obietnicą, że nawet bez umiejętności programowania zbuduje z pomocą modelu językowego w pełni autonomicznego bota do handlu kryptowalutami. Kopiuje kod, instaluje zależności, podłącza własny portfel, wdraża kontrakt, podpisuje transakcję własnym kluczem. Nikt go nie prosi o seed phrase, nikt nie podsuwa podejrzanej domeny banku, nie ma phishingowego maila. A potem portfel jest pusty.

Firma TRM Labs, która zajmuje się analizą blockchainów na potrzeby organów ścigania, opisała tę kampanię jako skoordynowaną operację, a nie serię przypadkowych incydentów. Dziewięć praktycznie identycznych poradników na różnych kanałach, przedstawianych jako dzieła niezależnych twórców. Ten sam scenariusz, ta sama kolejność kroków na ekranie, w części filmów te same kwoty zysku co do grosza, z obietnicą zwrotu 1 ETH co dwadzieścia godzin. Prezenterzy i głosy generowane syntetycznie. Komentarze pod filmami - sfabrykowane.

Jedna strona w całym łańcuchu była podrobiona

Cały mechanizm opiera się na jednym podmienionym elemencie. Poradnik w pewnym momencie kieruje widza do strony udającej Remix, czyli popularne środowisko do kompilowania i wdrażania kontraktów na Ethereum. Wklejony przez użytkownika kod jest tam po cichu ignorowany. W tle skrypt pobiera z serwera przestępców zupełnie inny kontrakt i to on trafia na blockchain. Kod widoczny na ekranie nigdy nie zostaje wdrożony, a kod wdrożony nigdy nie pojawia się na ekranie. Kontrakt, który faktycznie wchodzi do sieci, ma jedno zadanie: przekazać środki z portfela ofiary na adresy kontrolowane przez organizatorów.

Dlatego ten atak omija niemal wszystkie odruchy, których uczymy się w szkoleniach z bezpieczeństwa. Ofiara używa prawdziwego portfela, prawdziwego Ethereum, prawdziwych narzędzi deweloperskich i sama podpisuje transakcję. Nie klika w link z SMS-a, nie podaje nikomu hasła. Jedyny fałszywy element to adres jednej strony pomocniczej, na którą nikt nie patrzy, bo przecież wszystko inne działa.

Policzyłem: 8 890 złotych średniej straty na portfel

Zgodnie z danymi TRM Labs okradziono 224 portfele, a łączna suma to 274,6 ETH, czyli - jak podaje Niebezpiecznik - prawie dwa miliony złotych. Zrobiłem z tego arytmetykę, której w raportach nie ma. Dzielę 274,6 ETH przez 224 portfele i wychodzi 1,226 ETH średnio na ofiarę. Przy wycenie użytej przez Niebezpiecznik (2 000 000 zł za 274,6 ETH, czyli około 7 283 zł za jeden ETH) średnia strata pojedynczej osoby to około 8 930 złotych. Mediana była niższa, bo wyniosła dokładnie 1 ETH - tyle, ile instrukcje kazały wpłacić na start, bo poradniki zalecały zasilenie bota kwotą 1-2 ETH kapitału.

Druga liczba, którą warto wyciągnąć, dotyczy tempa. Kradzieże trwały od 12 lutego do 11 sierpnia 2026 roku, czyli przez 181 dni. To daje średnio 1,24 okradzionego portfela dziennie i około 11 050 złotych dziennego przychodu grupy przez pół roku. Rozłożone na dziewięć kanałów wychodzi niecałe 25 portfeli na kanał - dokładnie tyle, żeby żaden z nich nie zebrał lawiny zgłoszeń naraz.

Trzecia liczba jest najbardziej niewygodna dla platformy. Wyprodukowanie jednego takiego filmu to dziś koszt syntetycznego lektora i awatara, czyli przy komercyjnych stawkach rzędu 30 dolarów miesięcznie za narzędzie do generowania wideo z awatarem - jakieś 113 złotych za abonament, z którego da się wyprodukować całą dziewiątkę. Nawet jeśli dołożyć hosting fałszywej kopii Remiksu i napisanie kontraktu, mówimy o kilku tysiącach złotych nakładu wobec dwóch milionów przychodu. Zwrot z inwestycji liczony w setkach, jeśli nie tysiącach procent - i to jest prawdziwy powód, dla którego ta kategoria oszustwa będzie się mnożyć.

Ofiary okradano dwa razy, drugi raz za ich własną zgodą

Najciekawszy element to dogrywka. Kiedy ofiara widziała, że coś poszło nie tak, ale jeszcze nie rozumiała, że została okradziona, interfejs pokazywał jej sfabrykowany komunikat: ERROR: Arbitrage stuck. Do tego prośba o dopłatę 50 procent pierwotnej kwoty, maksymalnie 1 ETH, rzekomo na gaz, i ponowne uruchomienie kontraktu. Czyli ta sama osoba, już okradziona, miała dobrowolnie dorzucić do połowy więcej.

W tym ataku nie było phishingowego linku, fałszywej domeny ani podejrzanej prośby o zatwierdzenie uprawnienia. Praktycznie wszystkie kroki „poradnika” są legitne, a ofiara używa prawdziwego portfela, wdraża kontrakt i podpisuje transakcje sama.

- Niebezpiecznik.pl, opis kampanii opartej na raporcie TRM Labs

Środki wędrowały wyłącznie przez infrastrukturę zdecentralizowaną: wymiana na stablecoina DAI, mostki między sieciami, mikser. Żadnej scentralizowanej giełdy po drodze. To nie jest przypadek, tylko świadomy wybór trasy - scentralizowana giełda ma obowiązki KYC i reaguje na wnioski organów ścigania, mostek i mikser nie mają nikogo, kto odbiera telefon.

Po polsku to jest art. 286 kodeksu karnego, i niewiele więcej

Zagraniczne raporty kończą się na analizie łańcucha transakcji. Dla polskiego czytelnika istotniejsze jest to, co się dzieje, gdy już straci te 1 ETH. Czyn kwalifikuje się jako oszustwo z art. 286 § 1 kodeksu karnego: doprowadzenie innej osoby do niekorzystnego rozporządzenia mieniem przez wprowadzenie jej w błąd. Zagrożenie to od 6 miesięcy do 8 lat pozbawienia wolności, a przy mieniu znacznej wartości - powyżej 200 tysięcy złotych, co przy sumie dwóch milionów jest spełnione dla sprawców łącznie - wchodzi art. 294 § 1 i widełki od roku do 10 lat. Do tego dochodzi art. 269b, bo podstawiona kopia Remiksu i kontrakt-drainer to narzędzia przystosowane do popełnienia przestępstwa przeciwko danym.

Problem leży gdzie indziej. Zawiadomienie składa się na komisariacie albo w prokuraturze rejonowej właściwej dla miejsca zamieszkania, incydent zgłasza się dodatkowo do CERT Polska przez formularz incydent.cert.pl, a fałszywą domenę warto wskazać do Listy Ostrzeżeń CERT, która blokuje stronę u polskich operatorów. Natomiast samych pieniędzy to nie wraca. Transakcja w Ethereum jest nieodwracalna, nie ma chargebacku, nie ma analogii do art. 46 ustawy o usługach płatniczych, który przy nieautoryzowanej transakcji kartą nakazuje bankowi zwrot do następnego dnia roboczego. Tutaj transakcja była autoryzowana - podpisana kluczem właściciela - więc nawet gdyby kryptowaluty objąć reżimem usług płatniczych, przesłanka nie byłaby spełniona. Rzecznik Finansowy nie ma kompetencji wobec podmiotu, którego nie ma. UOKiK też nie, bo nie ma przedsiębiorcy po drugiej stronie.

Odpowiedzialność YouTube’a opiera się w Polsce na art. 14 ustawy o świadczeniu usług drogą elektroniczną i na rozporządzeniu DSA: platforma odpowiada dopiero, gdy otrzyma wiarygodną wiadomość o bezprawnym charakterze treści i nie usunie jej niezwłocznie. Oznacza to, że dopóki nikt nie zgłosi konkretnego filmu, Google nie ma obowiązku go szukać. Pół roku działania kampanii pokazuje, ile taki model wykrywania realnie zajmuje.

Co zrobić, zanim podpiszesz transakcję z poradnika

Praktyczna instrukcja jest krótka i nie wymaga umiejętności programowania. Po pierwsze, adres Remiksu to remix.ethereum.org i nie wpisuje się go z filmu, tylko wkleja z zakładki albo z oficjalnej dokumentacji - każda inna domena, nawet łudząco podobna, dyskwalifikuje cały poradnik. Po drugie, przed wdrożeniem kontraktu sprawdza się w eksploratorze, na przykład na Etherscanie, czy bajtkod wdrożony pod danym adresem odpowiada temu, co było na ekranie; jeśli w ogóle nie wiesz, jak to zrobić, to jest sygnał, że nie powinieneś podłączać do tego portfela z realnymi środkami. Po trzecie, do każdego eksperymentu używa się osobnego, pustego portfela i sieci testowej - Sepolia daje darmowy testowy ETH i cały poradnik można przejść bez ryzyka. Po czwarte, każda obietnica stałego zwrotu, jak 1 ETH co dwadzieścia godzin, jest matematycznie niemożliwa: to ponad 1 000 procent miesięcznie i gdyby ktoś to miał, nie publikowałby tego na YouTubie za przychód z reklam.

Rozpoznanie samego formatu też pomaga. Syntetyczny lektor z idealnie równym tempem, awatar bez naturalnych mikroruchów, komentarze pisane w jednym rejestrze i opublikowane w podobnym odstępie czasu, brak jakiejkolwiek historii kanału sprzed kilku miesięcy - to zestaw cech, który w tej kampanii powtarzał się dziewięć razy.

Fakty sprawdzone 26 października 2026 roku. Przeliczenia walutowe według kursów 3,78 zł za dolara i 4,30 zł za euro. Wycena ETH przyjęta na podstawie relacji 274,6 ETH do 2 000 000 zł podanej w źródle, czyli około 7 283 zł za jeden ETH.

Źródła:

• Niebezpiecznik.pl - Obejrzeli poradnik na YouTube, zostali zainfekowani i stracili kryptowaluty
• TRM Labs - analiza kampanii drainerów rozpowszechnianych przez poradniki wideo
• CERT Polska - formularz zgłoszenia incydentu
• CERT Polska - Lista Ostrzeżeń przed niebezpiecznymi stronami
• ISAP - Kodeks karny (art. 286, 294, 269b)