274,6 ETH z 224 portfeli, czyli 8900 zł od ofiary. Policzyłem, ile kosztował poradnik o botcho AI z YouTube

👁 130 przeczytań

Schemat jest prosty do opisania i dlatego tak skuteczny: widz ogląda poradnik, w którym ktoś pokazuje, jak w kilkanaście minut zbudować „w pełni autonomicznego bota do handlu kryptowalutami”, korzystając z modelu Claude. Kopiuje kod, wdraża kontrakt, podpisuje transakcję własnym portfelem. Nie ma phishingowego linku, nie ma podrobionej domeny banku, nie ma prośby o seed phrase. Jeden krok w całej procedurze jest zatruty - tutorial kieruje widza na stronę podszywającą się pod Remix, popularne środowisko do kompilowania kontraktów Solidity. Wklejony kod jest tam po cichu ignorowany, a na blockchain trafia zupełnie inny kontrakt, pobrany z serwera przestępców i zaprojektowany wyłącznie do opróżniania portfela.

224 portfele, 274,6 ETH i rachunek na jedną ofiarę

Liczby pochodzą z analizy TRM Labs, którą opisał Niebezpiecznik: 224 portfele straciły łącznie 274,6 ETH, czyli według wyliczenia redakcji blisko 2 000 000 złotych. Podzieliłem jedno przez drugie i wyszło mi 1,226 ETH na portfel - czyli mniej więcej 8930 złotych na pojedynczą ofiarę, przy założeniu wyceny użytej w oryginalnym tekście (2 mln zł za 274,6 ETH daje około 7283 zł za jeden ETH). Mediana straty wynosiła dokładnie 1 ETH, bo tyle kazały wpłacić instrukcje: „zasil bota kapitałem 1-2 ETH na start”.

Ta rozbieżność między medianą a średnią jest sama w sobie informacją. Skoro połowa ofiar straciła 1 ETH lub mniej, a średnia wynosi 1,226 ETH, to znaczy, że mniejsza grupa dołożyła wyraźnie więcej - i tu wchodzi druga faza oszustwa. Po opróżnieniu portfela ofiara widziała sfabrykowany komunikat „ERROR: Arbitrage stuck” i prośbę o dopłatę 50 procent pierwotnej kwoty, maksymalnie 1 ETH, rzekomo na gaz. Policzyłem: gdyby każda z 224 ofiar wpłaciła dokładnie 1 ETH i połowa dała się nabrać na dopłatę w wysokości 0,5 ETH, suma wyniosłaby 280 ETH. Rzeczywiste 274,6 ETH mieści się tuż poniżej tego scenariusza, co sugeruje, że druga tura trafiała mniej więcej do co drugiej osoby.

Obietnica 1 ETH co 20 godzin to 1314 procent rocznie

Najmocniejszy sygnał ostrzegawczy był w samym materiale wideo i nikt go nie przeliczył. Filmy obiecywały zwrot 1 ETH co 20 godzin przy wkładzie 1-2 ETH. Wziąłem wariant korzystniejszy dla oszustów, czyli wkład 2 ETH, i rozpisałem rachunek: w roku jest 8760 godzin, co daje 438 cykli po 20 godzin, a więc 438 ETH zysku rocznie z kapitału 2 ETH (lub: …czyli 438 razy więcej niż wkład). To 21 900 procent. Przy bardziej konserwatywnym czytaniu, w którym „1 ETH co 20 godzin” oznacza zwrot łączny z kapitału, a nie czysty zysk, i przy wkładzie 2 ETH, nadal wychodzi ponad 1300 procent rocznie w stosunku do tego, co da się dziś wycisnąć z realnego arbitrażu na zdecentralizowanych giełdach, gdzie marże liczy się w ułamkach procenta na transakcję, a koszt gazu zjada znaczną część wyniku.

Zestawiłem to jeszcze z kosztem samego wdrożenia. Deployment prostego kontraktu arbitrażowego na mainnecie Ethereum to przy typowej cenie gazu wydatek rzędu kilkudziesięciu złotych, a konsultacja z modelem językowym w płatnym planie Claude Pro kosztuje około 20 dolarów miesięcznie, czyli po kursie 3,78 zł niespełna 76 złotych. Innymi słowy: narzędzia były tanie, a ryzyko po stronie użytkownika - niemal całe. Przestępcy nie musieli włamywać się do niczego. Wystarczyło, że ofiara sama wpłaciła stokrotność kosztu narzędzi do kontraktu, którego nigdy nie przeczytała.

Claude i OpenAI nie brały w tym udziału, były dekoracją

Warto to powiedzieć wprost, bo tytuły w zagranicznych mediach sugerują coś innego: model Anthropic nie pełnił w tym ataku żadnej funkcji technicznej. Przestępcy wykorzystali rozpoznawalność nazwy, bo „zbuduj bota z Claude’em” brzmi w 2026 roku wiarygodniej niż „zbuduj bota samodzielnie”. Istniała równolegle wersja poradnika oparta o narzędzia OpenAI - co tylko potwierdza, że marka była wymienna jak nalepka.

TRM Labs zidentyfikowało dziewięć niemal identycznych tutoriali publikowanych na różnych kanałach jako dzieła rzekomo niezależnych twórców. Scenariusze pokrywały się co do kolejności kroków, część filmów pokazywała te same zyski co do grosza, prezenterzy i głosy były generowane syntetycznie, a komentarze pod filmami - sfabrykowane. Kampania trwała od 12 lutego do 11 sierpnia 2026 roku, czyli 181 dni. To daje średnio 1,52 ETH dziennie, mniej więcej 11 000 złotych na dobę przez pół roku, z jednego zestawu filmów.

„W tym ataku nie było phishingowego linku, fałszywej domeny ani podejrzanej prośby o zatwierdzenie uprawnienia. Praktycznie wszystkie kroki »poradnika« są legitne, a ofiara używa prawdziwego portfela, wdraża kontrakt i podpisuje transakcje sama.” - Niebezpiecznik.pl

Skradzione środki szły wyłącznie przez zdecentralizowaną infrastrukturę: wymianę na stablecoina DAI, mostki międzyłańcuchowe i mikser. Na trasie nie było ani jednej scentralizowanej giełdy, czyli ani jednego punktu, w którym ktoś musiałby przejść weryfikację tożsamości. To praktyczna informacja dla każdego, kto liczy na odzyskanie pieniędzy - bez punktu KYC na ścieżce prania prokuratura nie ma do czego przyłożyć wniosku o blokadę (lub: …nie może złożyć wniosku o blokadę).

Co z tego ma polski czytelnik: art. 286 kk i trzy rzeczy do sprawdzenia przed wdrożeniem kontraktu

Jeśli mieszkasz w Polsce i dałeś się na to nabrać, podstawą prawną jest art. 286 § 1 Kodeksu karnego - doprowadzenie do niekorzystnego rozporządzenia mieniem przez wprowadzenie w błąd, zagrożone karą od 6 miesięcy do 8 lat pozbawienia wolności. Przy stracie powyżej 200 000 złotych wchodzi kwalifikacja z art. 294 § 1 kk, czyli mienie znacznej wartości i kara do 10 lat. Przy średniej stracie rzędu 8900 złotych pojedyncza sprawa mieści się w typie podstawowym, ale jeśli poszkodowanych z Polski jest kilku, warto zgłaszać się zbiorczo - prokuratura łatwiej łączy wątki, gdy widzi wzorzec, a nie pojedynczy przelew.

Zgłoszenia przyjmuje CERT Polska przez formularz incydent.cert.pl, a złośliwe domeny podszywające się pod narzędzia deweloperskie trafiają stamtąd na listę ostrzeżeń blokowaną przez polskich operatorów telekomunikacyjnych. Do momentu sprawdzania tego tekstu nie znalazłem w komunikatach [brakuje kontynuacji zdania - urwana konstrukcja] CERT Polska ani w ostrzeżeniach UOKiK osobnego alertu dotyczącego dokładnie tego schematu z poradnikami o botach AI - co nie znaczy, że polskojęzycznych wariantów nie ma. Na YouTube i TikToku od miesięcy krążą materiały o „zarabianiu na arbitrażu z pomocą AI”, zwykle z lektorem syntetycznym i opisem pełnym linków skróconych.

Trzy rzeczy, które realnie chronią. Pierwsza: nigdy nie kompiluj kontraktu na stronie, do której trafiłeś z linku w opisie filmu. Remix ma jeden adres, remix.ethereum.org, i wpisuje się go ręcznie. Druga: zanim podpiszesz transakcję wdrożenia, wklej bajtkod z pola transakcji w portfelu do dekompilatora i sprawdź, czy zgadza się z tym, co widziałeś w edytorze - jeśli się nie zgadza, podpisujesz cudzy kontrakt. Trzecia, najprostsza: do eksperymentów używaj osobnego portfela z kwotą, którą możesz spisać na straty, a nie tego, w którym trzymasz oszczędności. Ofiary z tej kampanii przegrały głównie dlatego, że wpłaciły do testowego bota pieniądze, na które nie mogły sobie pozwolić.

Dlaczego ten schemat będzie się powtarzał

Mechanizm ma dwie cechy, które czynią go trwałym. Po pierwsze, przerzuca całą pracę na ofiarę - to ona uruchamia narzędzia, ona podpisuje, ona płaci za gaz. Automatyczne systemy ostrzegania w portfelach nie mają czego zgłosić, bo transakcja jest formalnie poprawna i podpisana świadomie. Po drugie, koszt produkcji jest zbliżony do zera: dziewięć filmów z syntetycznym lektorem, sfabrykowane komentarze i jedna sklonowana strona to robota na kilka dni. Przy przychodzie 274,6 ETH stopa zwrotu z tej inwestycji jest absurdalna - i dlatego kolejne kampanie powstaną, zanim ta zostanie rozliczona.

Zmieniła się tylko przynęta. Pięć lat temu obiecywano podwojenie bitcoina za tweet celebryty, trzy lata temu - udział w presale tokena, dziś - własnego bota napisanego przez model językowy. Wspólny mianownik się nie zmienił: ktoś prosi, żebyś sam podpisał transakcję, której nie rozumiesz.

Fakty sprawdzone 24 października 2026 roku. Przeliczenia walutowe po kursie 3,78 zł za dolara i 4,30 zł za euro. Wycena ETH przyjęta za oryginalnym źródłem: 274,6 ETH odpowiadało blisko 2 000 000 złotych, czyli około 7283 zł za jednostkę.

Źródła:

• Niebezpiecznik.pl - Obejrzeli poradnik na YouTube, zostali „zainfekowani” i stracili kryptowaluty
• TRM Labs - analiza kampanii
• ISAP - Kodeks karny, art. 286 i 294
• CERT Polska - formularz zgłoszenia incydentu
• Remix IDE - oficjalny adres narzędzia

// czytaj dalej9-latek przepalił 118 tys. dolarów na reklamy YouTube. Policzyłem, ile to kosztowałoby polską rodzinę i gdzie jest lukaMagazynWyciek z Wakacje.pl: policzylem, ile moze kosztowac jeden numer paszportu - od 0 zl do 4,7 tys. zl na osobeMagazynUpadłość Character.ai: policzyłem, ile kosztował jeden użytkownik i dlaczego 9,99 dolara nie wystarczyłoMagazyn