U Srbiji se godinama ponavlja ista rečenica, da je neko hakovao kripto. Zvuči dramatično i pogrešno opisuje ono što se zaista događa. Blokčejn u ogromnoj većini slučajeva radi savršeno ispravno. Izvrši tačno ono što si potpisao. Problem je što često nisi razumio šta si potpisao, kome si poslao i zašto si uopće povjerovao da je to pametna odluka.

Ja to zovem industrijom krađe povjerenja, jer se ne radi o pojedinačnim prevarantima koji improvizuju. Radi se o razrađenom procesu koji ima svoj marketing, prodaju, psihologiju i tehničku infrastrukturu. Oglas te pronađe, čovjek te obradi, interfejs te uvjeri, a zatim sam povučeš okidač. I to je najvažnija zajednička teza svih ozbiljnih opisa ove pojave. Tehnologija je ispravna, čovjek je meta.

Zajednička arhitektura je uvijek ista i zato je važno da je zapamtiš. Prvo te pronađu preko oglasa, društvene mreže, aplikacije za upoznavanje ili poruke o poslu. Zatim grade kredibilitet malom isplatom, lažnim profitom ili nedjeljama pažljivog dopisivanja. Onda te navedu da kupiš pravi USDT, bitcoin ili ethereum preko sasvim legitimne mjenjačnice. Tek tada novac sele na lažnu platformu, privatnu adresu ili zlonamjerni ugovor. Na ekranu vidiš rast, a iza ekrana nema ničega. Kada zatražiš isplatu, pravila se mijenjaju. Porez, naknada za otključavanje, depozit za verifikaciju, sprječavanje pranja novca, još jedan zadatak, još jedna uplata. Kada odbiješ da platiš, nalog se zaključava. Kada se požališ, javlja se spasilac koji nudi povraćaj za avans. To nije osam ili devet ili dvadeset jedna različita prevara. To je jedan proces sa više kostima.

Broker koji zove prije nego što se predomisliš

Najpoznatiji ulaz i dalje je lažna investicijska platforma sa ličnim brokerom. Ostavljaš ime i broj telefona ispod oglasa o automatskom trgovanju, a poziv stiže gotovo odmah. Sagovornik govori srpski, zna šta je tekući račun, devizni račun, poresko rješenje i matični broj firme. Ne traži mnogo, recimo 250 ili 300 EUR za probu.

Platforma poslije toga izgleda odlično. Grafikoni, pozicije, istorija trgovanja. Samo što to nije berza nego obična baza podataka koju operator ručno mijenja. Mala probna isplata je uračunati trošak, mamac kojim se kupuje tvoja sljedeća uplata od nekoliko hiljada.

Da to nije teorija, pokazala je međunarodna akcija 11. januara 2023. Europol i Eurojust su tada razbili mrežu kol centara u Srbiji, Bugarskoj i na Kipru. Uhapšeno je 15 osoba, od toga 14 u Srbiji, a zaplijenjeni su i hardverski novčanici sa kriptovalutama vrijednim oko milion USD. Samo dokumentovana šteta njemačkih žrtava prelazila je dva miliona EUR. Obrazac je bio identičan. Mali trocifreni ulozi na početku, izmišljeni profit na ekranu, pa nagovaranje na veće uplate.

Ovdje vrijedi jedno brutalno jednostavno pravilo koje potvrđuju svi izvori. Legitiman trošak može se odbiti od postojećeg stanja. Ako moraš poslati novi novac da bi dobio navodno svoj novac, ne otključavaš isplatu. Finansiraš sljedeću fazu prevare. I tu priča o lošem dizajnu ili nerazumijevanju završava, a počinje priča o namjeri.

Isti mehanizam koriste i lažni medijski članci. Klonirani domaći portal, izmišljeni intervju poznatog glumca ili sportiste, novinar koji se kune da je za tri dana od 250 EUR napravio čudo. BIRN je dokumentovao takve kampanje za sheme poput Bitcoin Up, a danas se tome dodaje sintetički video koji na malom ekranu djeluje dovoljno uvjerljivo. Provjera je banalna. Otvori pravi portal u novoj kartici i potraži naslov. Ako vijest postoji samo kao sponzorisani oglas, nikada nije ni objavljena.

Posao gdje ti plaćaš platu i ljubav koja traži depozit

Druga porodica prevare ne prodaje investiciju nego osjećaj napretka i bliskosti. WhatsApp i Telegram poslovi nude lajkovanje videa, ocjenjivanje proizvoda ili optimizaciju podataka. Dobiješ nekoliko stotina ili hiljada dinara i pomisliš da sistem radi. Ne radi. To je marketinški trošak grupe.

Ubrzo stiže premium ili VIP zadatak koji ne možeš započeti bez vlastite uplate u USDT-u. Zatim cijeli lanac zadataka gdje svaki sljedeći traži veću uplatu, a odustajanje znači gubitak svega. Američka trgovinska komisija FTC opisuje identičan model, a Nacionalni CERT Srbije upozorio je na platformu OKEGreen i srodne piramidalne sheme sa zadacima, brzom zaradom i navodnim ulaganjem u kriptovalute. Pravilo je kratko i vrijedi ga uramiti. Poslodavac plaća radnika. Radnik ne uplaćuje kriptovalutu da bi otključao platu.

Uz to ide Ponzi sa paketima, stakingom i referral bonusima. Kupuješ paket, dobijaš fiksni dnevni prinos, dovodiš prijatelje i prve isplate zaista stižu. Ne stižu iz trgovanja nego iz uplata onih koji su ušli poslije tebe. Zato rani članovi iskreno govore da su dobili novac i postaju najbolji promotori. Kada priliv uspori, kreću održavanje, migracija na novi token, bonus ako ne povlačiš i krivica berze, banke ili mreže. Ključno pitanje glasi odakle dolazi prinos. Ako je jedini provjerljivi izvor novca uplata novih članova, to je ekonomski piramida bez obzira na to kako se zove paket.

Najpodmuklija varijanta je prevara zasnovana na odnosu. Pogrešan broj, LinkedIn zahtjev, aplikacija za upoznavanje, nedjelje razgovora o poslu i porodici, pa usputna priča o ulaganju. FBI to zove prevarom omogućenoj povjerenjem, a u operaciji Level Up kontaktirane su hiljade ljudi koji su već bili usred takve prevare. Mnogi nisu znali da su mete, a neki su bili spremni prodati kuću ili povući penzioni fond. Mala isplata od 100 EUR ovdje nije dokaz poštenja nego ulaganje prevaranta koji cilja 10.000 EUR. Zato ti treba treća osoba bez emotivnog uloga. Onaj ko te voli neće se uvrijediti što si provjerio adresu.

Potpis je ugovor, a ne dugme

Početnici u self custody svijetu prave istu grešku. Misle da se prijavljuju, a odobravaju trošenje tokena. Misle da provjeravaju stanje, a otvaraju phishing domen. Misle da kopiraju svoju adresu, a kopiraju adresu napadača. Misle da kupuju token, a kupuju imovinu koju ne mogu prodati. Misle da razgovaraju sa podrškom, a predaju ključeve.

Lažna podrška je klasik. Pitaš zašto transakcija ne prolazi, a za nekoliko minuta javlja se agent sa logotipom poznatog novčanika. Traži sinhronizaciju, validaciju ili obrazac za oporavak. Taj obrazac traži seed frazu. Zapamti zauvijek. Seed fraza nije lozinka koju podrška resetuje. To je osnova iz koje se izvode privatni ključevi. Ko je ima, ima novčanik. Zvanična dokumentacija MetaMaska kaže da podrška nikada ne traži Secret Recovery Phrase i da MetaMask nema telefonsku podršku koja zove korisnike. Ako si frazu već unio na tuđem sajtu, promjena lozinke ne pomaže. Praviš potpuno novi novčanik na bezbjednom uređaju i seliš ostatak.

Sličan je i wallet drainer. Samo povezivanje novčanika obično ne daje pravo na tokene, ali odobrenje daje. Kod ERC-20 tokena funkcija approve daje spenderu pravo da kasnije pozove transferFrom. Prekid sesije ili zatvaranje taba ne briše allowance zapisan na blokčejnu. Zato ekran prije potpisa mora pokazati koji token je obuhvaćen, ko dobija dozvolu, koliki je limit, da li je praktično neograničen i da li dozvola važi i u budućnosti. Revokacija je on chain transakcija i košta gas, ali je jeftinija od praznog novčanika.

Posebno opasan je potpis bez gas naknade. Mnogi misle da je bezazlen ako ne plaćaju naknadu. Nije. Standard ERC-2612 sa permit porukom omogućava da potpisom promijeniš odobrenje, a napadač gas plati kasnije sa svoje adrese. Dugme kaže Verify wallet, Sign in ili Claim, a stvarno značenje može biti dozvoli ovoj adresi da troši moj token. EIP-712 strukturirani potpis ima domen, chainId, ugovor i rok, ali sam standard ne garantuje poštenu namjeru. Ako novčanik ne umije objasniti šta potpis radi, pretpostavi da posljedica nije provjerena.

Tu su još dvije tehničke zamke koje koristim kao test pismenosti proizvoda. Address poisoning ubacuje u tvoju istoriju adresu koja liči na onu koju često koristiš, recimo isti početak i kraj uz drugačiju sredinu. Cilj je da je sljedeći put kopiraš iz istorije. Clipboard malver ide korak dalje i mijenja adresu u trenutku kopiranja. Zato se adresa provjerava poslije lijepljenja, gleda se i sredina, koristi se imenik provjerenih primalaca, a veći iznos se dijeli na probnu i glavnu uplatu. Na hardverskom novčaniku adresa se provjerava na ekranu uređaja, ne na ekranu računara koji može biti kompromitovan.

Lažni airdrop, giveaway pošalji jedan dobićeš dva, lažni presale, rug pull i honeypot dio su iste priče. Naziv, simbol i logo tokena nisu dokaz identiteta. Bilo ko može napraviti token sa oznakom USDT ili ETH. Samo pojavljivanje tokena u novčaniku nije krađa, ali odlazak na sajt iz njegovog naziva, potpis nejasne poruke ili plaćanje naknade za otključavanje jeste ulaz u drainer. Token koji se može kupiti ali ne može prodati zbog naknade od skoro 100 odsto, blacklist logike ili pauze transfera nije investicija nego zamka. Verifikovan kod i audit bedž nisu garancija poštenja ako vlasnik može mintovati nove tokene ili izvući likvidnost. Ako je jedina funkcija projekta rast cijene njegovog tokena, ti nisi korisnik. Ti si izlazna likvidnost.

Posebno poglavlje su P2P zamjene i lažne migracije. Lažna potvrda o uplati, uplata sa tuđeg računa, triangulacija gdje prevarant drugoj žrtvi daje tvoj broj računa, pa ti šalješ kripto njemu. Ime platioca, verifikovani korisnik i vlasnik adrese moraju biti usklađeni, a kripto se pušta tek kada novac zaista legne, ne na osnovu slike potvrde. Lažna migracija tokena koristi istinitu činjenicu da projekti ponekad mijenjaju ugovor, pa hitan upgrade zvuči logično. Pravi projekat migraciju objavljuje kroz više nezavisnih kanala, a adresa novog ugovora mora se slagati na sajtu, u dokumentaciji i na block exploreru. Nijedna migracija ne traži seed frazu.

Na kraju lanca čeka druga krađa istih žrtava. Lažni servis za povraćaj, advokatska kancelarija, blockchain forenzičar ili navodna policija tvrde da su sredstva pronađena i traže trošak istrage, porez ili gas unaprijed. Praćenje na javnom blokčejnu nije kontrola. Ako je novac na adresi čiji ključ drži napadač, privatni agent ne može poništiti potvrđenu transakciju. Ako je stigao na centralizovanu mjenjačnicu, postoji šansa za zamrzavanje uz saradnju organa gonjenja, ali niko pošten ne garantuje povraćaj. Legitiman organ ne šalje privatnu kripto adresu preko WhatsAppa i ne traži hitnu uplatu da bi obustavio istragu.

Licenca nije garancija, ali lažna licenca jeste dokaz

Srbija ima regulatorni okvir od juna 2021, kada je počeo da se primjenjuje Zakon o digitalnoj imovini. Narodna banka Srbije nadležna je za virtuelne valute, Komisija za hartije od vrijednosti za dio koji se odnosi na digitalne tokene. U javnom registru NBS, na dan provjere 22. septembra 2026, nalaze se tri društva. VESCON DOO, MCM 965 D.O.O. i AX CRYPTO DOO. Prisustvo u registru ne znači garanciju dobiti. Odsustvo strane platforme iz registra ne znači automatski prevaru. Ali ako neko tvrdi da je srpska licencirana berza, a nema ga u registru, tvrdnja je provjerljivo lažna.

Prevaranti to znaju i zato mašu izvodom iz APR-a, poreskim brojem ili kancelarijom. Registracija firme potvrđuje da pravno lice postoji, ne da ima dozvolu za kripto usluge. Sama NBS naglašava da virtuelnu valutu nije izdala centralna banka, da za njenu vrijednost ne garantuje organ javne vlasti i da se na kripto ne primjenjuje osiguranje depozita kao u banci. Globalni brojevi objašnjavaju motiv. FBI je za 2025. zabilježio 181.565 prijava povezanih sa kriptovalutama i preko 11 milijardi USD prijavljenih gubitaka, pri čemu su investicijske prevare među najskupljima. To su samo prijavljeni slučajevi u SAD.

Ako gradiš proizvod, nemoj korisnika daviti generičkim modalom da je trgovanje rizično. Takvo upozorenje svi kliknu i nastave dalje. Pokaži konkretan nesklad između namjere i operacije. Prije prve uplate pitaj za razlog. Kupujem za sebe je drugačije od plaćam naknadu da bih povukao sredstva. Drugo mora paliti crveno svjetlo i rečenicu da legitimna isplata ne traži slanje dodatnog kripta na privatnu adresu. Dekodiraj approve, prikaži pun domen i Punycode kod sumnjivih domena, upozori na adresu sličnu poznatom kontaktu, ponudi najmanji potrebni limit umjesto maksimuma, simuliraj transakciju ali ne laži da zelena simulacija znači bezbjednost. Ugovor se može promijeniti već u sljedećem bloku. Mjeri šta se desi poslije upozorenja, jer sistem bez povratne sprege postaje kolekcija starih heuristika koje samo smetaju poštenim korisnicima.

Ako si već poslao novac, nemoj brisati tragove. Sačuvaj txHash, mrežu, adrese, iznos, vrijeme, domen, brojeve, korisnička imena i prepiske. Ne šalji još da bi spasio prethodno, jer je to psihološka zamka na koju prevarant računa. Ako si odobrio zlonamjerni ugovor, opozovi dozvole preko provjerenog alata. Ako si otkrio seed, seli ostatak na novi novčanik sa bezbjednog uređaja. Ako sumnjaš na zaražen uređaj ili SIM swap, prvo obezbijedi uređaj i naloge, pa tek onda pravi novi seed. Slučaj prijavi policiji i Nacionalnom CERT-u koji prima indikatore poput domena, URL-ova, IP adresa i hash vrijednosti, a sumnju na neovlašćene kripto usluge možeš poslati i na [email protected]. Prijava ne garantuje povraćaj, ali povezuje žrtve i ponekad zaustavi sljedeću uplatu.

Jezik prevare je stabilniji od domena i zato ga nauči napamet. Nije dostupno široj javnosti. Imaš još samo nekoliko sati. Ne pričaj s bankom. Dobit je garantovana. Prvo plati porez. Pošalji još samo ovu uplatu. Ovo je posljednja naknada. Poveži novčanik da dokažeš da je tvoj. Instaliraj ovaj program da ti pomognem. Svaka od tih rečenica ima istu funkciju, da ti oduzme vrijeme za provjeru. Ozbiljna investicija ne propada zato što si prespavao noć. Ako ponuda ne može preživjeti 24 sata provjere, ne zaslužuje ni tvoju uplatu.

Ja kao Noel poslije ova tri izvora nemam dilemu. Najvažnija zaštita nije tehnička nego mentalna. Seed fraza se ne dijeli, dozvola za trošenje se čita, adresa se provjerava, posao se ne plaća unaprijed, a svoj novac se ne otključava novom uplatom. Početnik nije ranjiv zato što malo zna, nego u trenutku kada povjeruje da je našao čovjeka koji će misliti umjesto njega. Prevaranti se tada predstavljaju kao brokeri, mentori, partneri, podrška i spasioci. Prava pomoć ne traži privatni ključ, prava platforma ne izmišlja porez u trenutku isplate, a prava prilika ne bježi ako je provjeriš.

IZVORI: