Blokčejn može izvršiti svoj posao besprijekorno, a korisnik ipak može ostati bez svega. Potpis je ispravan, privatni ključ odgovara adresi, transakcija ulazi u blok i pametni ugovor radi upravo ono što mu je naloženo. Jedino što sistem ne zna jeste da osoba iza potpisa nije razumjela posljedice.
Tu se nalazi srž savremenih kripto prevara. Napadač sve rjeđe mora probijati kriptografiju. Mnogo je jeftinije promijeniti priču oko transakcije i uvjeriti vlasnika da dobrovoljno odobri nešto što nikada ne bi odobrio da mu je stvarno značenje bilo jasno.
Iz toga ne slijedi da su Bitcoin, Ethereum, self-custody novčanici ili decentralizovane aplikacije prevarantski sistemi. Naprotiv, njihova pravila su uglavnom vrlo precizna. Problem nastaje jer kriptografska preciznost ne provjerava ljudsku namjeru. Mreža može potvrditi ko je potpisao, ali ne i zašto je potpisao, šta mu je obećano i ko ga je prethodno sedmicama ubjeđivao.
Meni je zato korisnije govoriti o zaštiti namjere nego o apstraktnoj „sigurnosti kripta“. Korisnik ne treba još jedno upozorenje da je kripto rizičan. Treba mu jasna informacija o tome ko dobija njegova sredstva, koje ovlaštenje daje, koliko dugo ono traje i može li druga strana kasnije uzeti još imovine.
Osam, 21 ili 30 prevara nisu tri različite istine
Jedna analiza grupiše osam velikih porodica kripto prevara za početnike u Srbiji. Druga ih razlaže na 21 konkretan scenario s kojim se domaći korisnik može susresti. Treća opisuje 30 obrazaca koje bi Web3 developeri morali uključiti u model prijetnji.
To nije kontradikcija niti pokušaj da se pronađe neki konačan broj prevara. Razlika je u nivou detalja.
Lažna investiciona platforma može se posmatrati kao jedan obrazac. Ako se razloži na oglas s poznatom osobom, poziv lažnog brokera, izmišljeni trgovački nalog, program za udaljeni pristup, naknadu za povlačenje i naknadnu prevaru s „povratom sredstava“, već imamo šest različitih scenarija. Developer će ih dodatno razdvojiti prema mjestu na kojem ih proizvod može otkriti ili usporiti.
Brojevi će se mijenjati, ali osnovna mehanika ostaje prilično stabilna. Većina slučajeva može se razumjeti kroz četiri vrste raskoraka:
- Zamjena identiteta: korisnik misli da razgovara s berzom, podrškom, poznatom osobom ili pravim projektom, a iza naloga, domena ili ugovora nalazi se neko drugi.
- Zamjena namjere: korisnik misli da se prijavljuje, potvrđuje novčanik ili preuzima nagradu, dok zapravo odobrava prijenos imovine.
- Nesrazmjer ovlaštenja: funkciji koja zahtijeva jednokratnu uplatu daje se pravo da neograničeno i bez roka raspolaže tokenima.
- Lažno poravnanje: interfejs prikazuje profit, platu ili kupljenu imovinu, iako druga strana transakcije uopšte nije izvršena ili je potpuno pod kontrolom prevaranta.
Napad obično počinje oglasom, porukom, ponudom za posao, tokenom koji se iznenada pojavio u novčaniku ili nalogom koji imitira podršku. Slijedi stvaranje povjerenja ili hitnosti, zatim tehnički zahtjev, potpis ili uplata. Kada sredstva stignu napadaču, pojavljuje se prepreka za povlačenje. Posljednji čin često je nova osoba koja tvrdi da može vratiti izgubljeni novac.
Takav redoslijed je korisniji od liste sumnjivih domena. Domen se može ugasiti i zamijeniti za nekoliko sati. Psihološki i tehnički tok prevare mnogo se sporije mijenja.
Zašto je domaći kontekst bitan
Srbija prevarantima nije zanimljiva zato što su njeni građani navodno lakovjerniji od drugih. Zanimljiva je zato što se globalni model prevare može uvjerljivo prilagoditi lokalnom jeziku, bankarskim navikama i regulatornim pojmovima.
Oglas može imitirati domaći portal. Telefonski poziv može doći s lokalnog broja. Sagovornik može pravilno koristiti izraze poput deviznog računa, matičnog broja, poreskog rješenja ili verifikacije klijenta. Lažna platforma može se pozivati na Narodnu banku Srbije iako NBS nema nikakve veze s navodnim „odobravanjem isplate“.
Srbija od juna 2021. primjenjuje Zakon o digitalnoj imovini. Narodna banka Srbije nadležna je za oblast virtuelnih valuta, dok srbijanska Komisija za hartije od vrijednosti ima nadležnosti povezane s digitalnim tokenima. Postojanje regulatornog okvira korisno je za provjeru, ali prevarantima istovremeno daje stručne izraze koje mogu zloupotrijebiti.
Prema stanju javnog registra zabilježenom u septembru 2026, među domaćim pružaocima usluga povezanih s virtuelnim valutama bila su navedena društva VESCON DOO, MCM 965 D.O.O. i AX CRYPTO DOO. Taj podatak treba tumačiti precizno. Prisustvo u registru nije garancija zarade niti potvrda da je svaka konkretna ponuda dobra. Odsustvo strane platforme iz registra takođe ne znači automatski da je riječ o prevari. Registar odgovara na uže pitanje: ima li određena domaća kompanija dozvolu NBS za usluge koje tvrdi da pruža.
Ako se neko predstavlja kao „licencirana srpska kripto-berza“, a njegove kompanije nema u registru, tvrdnja se može provjeriti i osporiti. To je mnogo korisnije od nagađanja na osnovu dizajna stranice.
Da problem nije teorijski pokazala je međunarodna operacija od 11. januara 2023. godine. Tada je uhapšeno 15 osoba, od kojih 14 u Srbiji, zbog mreže pozivnih centara i lažnih investicionih platformi. Dokumentovani gubici njemačkih žrtava prelazili su dva miliona EUR, dok su među oduzetom imovinom bili hardverski novčanici povezani s kriptoimovinom procijenjenom na približno milion USD.
Širu razmjeru pokazuje FBI-jev izvještaj za 2025. godinu koji navode analizirani izvori. U Sjedinjenim Američkim Državama zabilježeno je 181.565 prijava povezanih s kriptovalutama i više od 11 milijardi USD prijavljenih gubitaka. Samo investicione prevare činile su približno 7,2 milijarde USD kroz više od 61.000 prijava. To nisu globalne procjene, nego prijavljeni slučajevi u jednoj državi, što stvarni obim problema čini još težim za precizno mjerenje.
Broj na ekranu nije dokaz da novac postoji
Lažna investiciona platforma ne mora imati sistem za trgovanje. Potrebni su joj uvjerljiv interfejs, tabela izmišljenih transakcija, nekoliko grafikona, adresa za uplatu i administratorski panel kroz koji operator mijenja stanje na računu.
Put do nje često počinje lažnim medijskim člankom. Fotografija glumca, sportiste, preduzetnika ili televizijskog voditelja stavlja se uz izmišljenu izjavu o tajnom programu za zaradu. Stranica imitira poznati portal, ali se nalazi na drugom domenu. Novije kampanje dodaju sintetički glas, montirani video ili deepfake snimak koji je dovoljno dobar da preživi nekoliko sekundi gledanja na telefonu.
Domaće kampanje poput onih za „Bitcoin Up“ pokazale su koliko se lako mogu spojiti klonirani medij, poznato lice, lažni komentari čitalaca i obrazac za ostavljanje telefonskog broja. Nakon toga ne zove tehnologija, nego dobro uvježban prodavač.
„Broker“ ne mora odmah tražiti životnu ušteđevinu. Mnogo je efikasnije početi s 250 ili 300 EUR, prikazati rast salda i dozvoliti jednu malu isplatu. Ta isplata nije dokaz da postoje stvarne pozicije na tržištu. Ona može biti trošak sticanja povjerenja, isto kao što legitimna kompanija plaća reklamu da bi dobila novog kupca.
Prelomni trenutak dolazi kod ozbiljnijeg zahtjeva za povlačenje. Tada se iznenada pojavljuju porez, osiguranje, naknada za sprečavanje pranja novca, provizija za verifikaciju ili minimalni saldo koji navodno prvo mora biti dopunjen.
Zahtjev da pošaljete novi novac kako biste dobili novac koji je već navodno vaš jedan je od najsnažnijih znakova prevare. Posebno je opasan zahtjev da instalirate AnyDesk, TeamViewer ili drugi program za udaljeni pristup. Osoba s druge strane tada može vidjeti bankovne podatke, upravljati nalogom na berzi i usmjeravati vas kroz potvrđivanje transakcija čije značenje ne razumijete.
Povjerenje je često važnije od tehničkog trika
Kod romantičnih i prijateljskih investicionih prevara napadač prvo gradi odnos, a tek kasnije uvodi ulaganje. Početna poruka može izgledati kao slučajno poslana poruka, poziv za povezivanje na LinkedInu ili običan razgovor na aplikaciji za upoznavanje.
Sedmicama se priča o poslu, porodici, putovanjima i svakodnevnom životu. Investicija se pojavljuje usput, kao nešto što je sagovorniku već donijelo uspjeh. Kada žrtva konačno otvori pravi nalog na berzi, prođe provjeru identiteta, kupi kriptovalutu svojim novcem i sama potvrdi povlačenje, tradicionalni sigurnosni sistemi ne vide nužno ništa neobično.
KYC može dokazati ko je vlasnik naloga. Ne može dokazati da vlasnik postupa slobodno, bez manipulacije osobe kojoj vjeruje.
Zato kombinacija okolnosti vrijedi više od bilo kojeg pojedinačnog signala: potpuno nova odredišna adresa, iznos mnogo veći od ranijih, kupovina praćena trenutnim povlačenjem cijelog salda, promjena uređaja ili podatak da je adresu poslao „mentor“ iz privatne investicione grupe.
Generičko upozorenje da su kriptovalute rizične ovdje malo pomaže. Mnogo je korisnije pitanje: „Da li vam je ovu adresu poslala osoba koju poznajete samo s interneta i koja vam je obećala pomoć pri ulaganju?“
Posao za koji radnik mora platiti nije posao
WhatsApp i Telegram prevare sa zadacima počinju vrlo jednostavno. Korisniku se ponudi fleksibilan posao koji podrazumijeva lajkovanje videa, ocjenjivanje proizvoda, rezervisanje hotela ili takozvanu optimizaciju podataka.
Prvih nekoliko zadataka može donijeti stvarnu malu isplatu. Baš kao kod lažnog brokera, novac služi za kupovinu povjerenja. Zatim se pojavljuje premium zadatak, kombinovana narudžba ili negativan saldo koji treba pokriti uplatom u USDT-u.
Aplikacija prikazuje sve veći iznos zarade, ali ga nije moguće povući dok se ne završi cijeli niz novih zadataka. Svaki sljedeći zahtijeva više novca. Korisnik nastavlja jer ne želi izgubiti ono što je već uplatio i ono što mu ekran tvrdi da je zaradio.
Nacionalni CERT Srbije upozoravao je i na OKEGreen i srodne piramidalne modele koji su spajali jednostavne zadatke, obećanje brze zarade i nove uplate. Poseban problem predstavljaju fotografije ličnih dokumenata koje korisnici pošalju takvim platformama. Gubitak se tada ne završava novcem, jer ukradeni identitet može biti iskorišten za otvaranje novih naloga i prevare drugih ljudi.
Pravilo je kratko: poslodavac plaća radnika. Radnik ne uplaćuje kriptovalutu da bi otključao platu koju je već zaradio.
Legitimne platforme za nagrade i honorarni rad zato moraju jasno odvojiti depozit, promotivni kredit, proviziju koja još nije dospjela i novac koji je zaista dostupan za isplatu. Ako je sve prikazano kao jedan „saldo“, interfejs počinje ličiti na alat prevaranta čak i kada kompanija ima poštenu namjeru.
Staking, rudarenje i referral bonus nisu dokaz prinosa
Ponzi šeme često koriste rječnik stakinga, arbitraže, cloud mininga ili automatizovanog trgovanja. Korisnik kupuje paket, dobija obećanje stabilnog dnevnog prinosa i dodatnu nagradu za dovođenje novih članova.
Prve isplate mogu biti sasvim stvarne. Problem je njihov izvor. Ako se stari korisnici isplaćuju novcem novih članova, sistem izgleda uspješno sve dok priliv raste. Ljudi koji su zaista dobili novac postaju najbolji promotori jer mogu iskreno reći da je njima isplata stigla.
Kada priliv oslabi, pojavljuju se održavanje sistema, nova verifikacija, obavezna migracija, zaključavanje isplata ili interni token kojim se zamjenjuje stvarni dug. Referral program tada više nije dodatak proizvodu, nego njegov glavni izvor likvidnosti.
Cloud mining koristi sličnu iluziju. Fotografije data-centra, brojač hashratea i dnevna proizvodnja ne dokazuju da oprema postoji. Kod pravog rudarenja prihod zavisi od cijene imovine, težine mreže, potrošnje električne energije, efikasnosti uređaja i naknada. Garantovan prinos koji se ne mijenja ni pod kojim tržišnim uslovima zaslužuje ozbiljnu sumnju.
Dobra pitanja nisu „koliko obećavaju“ i „ko je već zaradio“, nego:
- Ko drži glavnicu?
- Koja provjerljiva aktivnost stvara prihod?
- Postoji li pozicija vidljiva na blokčejnu ili kod poznatog skrbnika?
- Može li administrator jednostrano promijeniti prinos i pravila povlačenja?
- Da li se više govori o proizvodu ili o dovođenju novih članova?
- Pokazuje li dokaz rezervi i obaveze prema korisnicima ili samo odabranu imovinu?
Visok prinos sam po sebi nije dokaz prevare. Međutim, neobjašnjiv izvor prinosa, neprovjerljivo skrbništvo i zavisnost od novih članova zajedno čine vrlo jasan obrazac.
Slično važi za pump-and-dump grupe. Organizatori kupuju token prije javne najave, a članove pozivaju da kupuju u tačno određenom trenutku. Kada nova potražnja podigne cijenu, organizatori prodaju. Članovi nisu ravnopravni učesnici koordinisane akcije, nego izlazna likvidnost onih koji su ušli ranije.
Ni tržišna kapitalizacija prikazana u novčaniku nije dokaz da se ta vrijednost može unovčiti. Token može imati posljednju zabilježenu cijenu koja izgleda impresivno, a toliko plitku likvidnost da bi prodaja malog dijela pozicije srušila tržište.
Seed fraza nije podatak za korisničku podršku
Početnik koji ima problem prirodno traži pomoć tamo gdje se već nalazi, u Telegram grupi, na Discordu, Redditu ili u komentarima. Prevaranti upravo takve poruke aktivno prate.
Nekoliko minuta nakon javnog pitanja pojavljuje se nalog s logotipom novčanika i nudi „sinhronizaciju“, „validaciju“ ili „oporavak“. Link vodi na obrazac koji traži seed frazu.
Seed fraza nije obična lozinka. Ona omogućava rekonstrukciju privatnih ključeva i kontrolu nad novčanikom. Prava podrška nema opravdan razlog da je traži, a promjena lozinke aplikacije neće poništiti već otkrivene ključeve. Lozinka uglavnom štiti lokalni pristup aplikaciji, ne mijenja ono što postoji na blokčejnu.
Ako je seed fraza unesena na tuđoj stranici, taj novčanik treba smatrati trajno kompromitovanim. Preostala sredstva premještaju se u potpuno novi novčanik napravljen na čistom uređaju. Stara fraza se više ne koristi, čak ni ako napadač nije odmah pomjerio imovinu.
Automatsko prepoznavanje niza od 12 ili 24 riječi može spriječiti dio slučajnog dijeljenja, ali nije potpuna zaštita. Napadač može tražiti riječi jednu po jednu, fotografiju ekrana ili podijeliti unos kroz više poruka. Mnogo bolji sistem kombinuje trajna upozorenja, maskiranje osjetljivog sadržaja, ograničeno čuvanje podataka i strogo pravilo da agenti podrške nikada ne koriste proceduru koja zahtijeva privatni ključ.
Padlock ne potvrđuje identitet stranice
Phishing stranica može biti vizuelno savršena kopija prave berze ili novčanika. Do nje se dolazi preko plaćenog oglasa u pretraživaču, poruke o blokiranom nalogu, lažne aplikacije, kompromitovanog društvenog profila ili QR koda.
Katanac u adresnoj liniji znači da je veza s tim domenom šifrovana. Ne znači da domen pripada kompaniji čiji se logo nalazi na stranici. I prevarant može dobiti ispravan TLS certifikat.
Zato je domen važniji od dizajna. Treba provjeriti zamijenjena slova, dodatne crtice, neobičan nastavak i poddomene koje pokušavaju sakriti stvarnog vlasnika. Stranica berza.provjera-naloga.com pripada domenu provjera-naloga.com, bez obzira na riječ „berza“ na početku.
Sačuvan bookmark je sigurniji od oglasa. Ipak, čak ni poznati društveni nalog nije konačan dokaz. Zvanični profil projekta može biti preuzet, a legitimni frontend kompromitovan. Za ozbiljne iznose ima smisla uporediti ugovornu adresu kroz više nezavisnih zvaničnih kanala.
Potpis bez mrežne naknade može biti veoma skup
Korisnik ne mora otkriti seed frazu da bi izgubio tokene. Dovoljno je da pametnom ugovoru dodijeli pravo da njima raspolaže.
Kod ERC-20 tokena funkcija approve određuje koliko određeni spender smije potrošiti. Stanje allowance bilježi preostalo odobrenje, dok transferFrom omogućava prijenos u tom okviru. To je standardan mehanizam koji koriste decentralizovane berze i drugi legitimni protokoli.
Drainer koristi isti mehanizam, samo s drukčijom namjerom. Korisnik misli da preuzima airdrop, potvrđuje podobnost, učestvuje u mintu ili migrira token. U stvarnosti odobrava napadaču prijenos svih tokena, ponekad bez vremenskog ograničenja.
Prekid WalletConnect sesije, zatvaranje stranice ili uklanjanje aplikacije ne brišu odobrenje zapisano na blokčejnu. To su dvije različite stvari. Sesija govori može li aplikacija ponovo zatražiti radnju, dok postojeći allowance već predstavlja trajno pravo pametnog ugovora.
Ni strukturirani EIP-712 potpis nije automatski siguran. On može učiniti sadržaj čitljivijim, ali korisnik i dalje mora vidjeti domen, mrežu, ugovor koji provjerava potpis, iznos, rok i stvarnu mogućnost koju potpis daje. Gasless potpis može biti opasan upravo zato što ne izgleda kao transakcija koja odmah pomjera sredstva.
Isto važi za NFT odobrenja poput setApprovalForAll, dozvole unutar pametnih naloga i session ključeve. Naziv dugmeta nije sigurnosna činjenica. Važan je stvarni opseg ovlaštenja.
Dobar interfejs ne bi smio napisati samo „Potpišite poruku“. Trebao bi reći nešto poput: „Ovim dajete ugovoru X pravo da premjesti sve vaše USDT tokene, bez roka isteka.“
Ako proizvod tehničku vrijednost najvećeg mogućeg broja sakrije iza riječi „odobri“, onda od početnika očekuje da sam dešifruje posljedicu koju je proizvod već mogao jasno objasniti.
Neželjeni token nije poklon, nego neprovjeren sadržaj
Naziv i simbol tokena nisu jedinstveni identifikatori. Svako može napraviti token koji se zove kao poznata kriptovaluta i koristi isti simbol. Pravi identitet čine ugovorna adresa i mreža na kojoj je token izdat.
Lažni airdrop zato ne mora odmah uzeti novac. Dovoljno je da se token pojavi u novčaniku s nazivom koji podstiče korisnika da posjeti određenu stranicu. Interakcija sa stranicom zatim traži zlonamjerno odobrenje ili potpis.
Isto se dešava s lažnim migracijama, mostovima i zamjenama starih tokena. Poruka stvara hitnost, tvrdeći da će imovina isteći ili izgubiti vrijednost ako korisnik ne reaguje odmah. Ozbiljan projekat treba objaviti adresu novog ugovora kroz više provjerljivih kanala, jasno opisati proces i ostaviti razuman rok.
Novčanici bi neželjene tokene trebali tretirati kao neprovjeren sadržaj, slično neželjenoj elektronskoj pošti. Automatsko prikazivanje velike navodne vrijednosti može korisnika podstaći da klikne baš tamo gdje ne bi trebao.
Kada poznata adresa nije poznata
Address poisoning ne pokušava pogoditi privatni ključ. Napadač generiše adresu koja ima sličan početak i završetak kao adresa koju korisnik često koristi. Zatim šalje bezvrijedan token ili transakciju nulte vrijednosti kako bi se lažna adresa pojavila u istoriji.
Ako novčanik prikazuje samo nekoliko prvih i posljednjih znakova, dvije različite adrese mogu izgledati isto. Korisnik kasnije kopira pogrešan unos iz istorije i sam šalje sredstva napadaču.
To nije slabost kriptografije, nego slabost prikaza. Kod ozbiljnog prijenosa treba provjeriti cijelu adresu, koristiti imenik pouzdanih primalaca i potvrditi podatke drugim komunikacionim kanalom.
Mala testna transakcija ovdje ima smisla, ali treba razumjeti njene granice. Ona može potvrditi da kontrolišemo pravu odredišnu adresu. Ne može dokazati da je investiciona platforma legitimna, jer prevarant može namjerno dozvoliti malu isplatu ili potvrdu kako bi privukao mnogo veći iznos.
Sličan ishod proizvodi malware koji mijenja adresu u međuspremniku. Korisnik kopira ispravnu adresu, ali se nakon lijepljenja pojavi napadačeva. Provjera mora uslijediti nakon lijepljenja, ne samo prije kopiranja.
Kod P2P trgovine ni snimak ekrana nije dokaz primljene uplate. Kriptovalutu treba osloboditi tek kada je novac nezavisno potvrđen na vlastitom bankovnom računu i kada podaci pošiljaoca odgovaraju dogovoru. Hitnost, poziv da se vjeruje fotografiji potvrde ili uplata s računa treće osobe zahtijevaju dodatni oprez.
Centralizovana berza ne uklanja potrebu za zaštitom
Dio prevara cilja naloge na centralizovanim berzama. Napadač može preuzeti elektronsku poštu, organizovati SIM swap, ukrasti jednokratni kod ili nazvati žrtvu predstavljajući se kao odjel sigurnosti.
Lažni agent obično tvrdi da je primijećen pokušaj povlačenja i da nalog hitno treba „osigurati“. Kod koji upravo stiže na telefon zapravo potvrđuje prijavu napadača, promjenu lozinke ili novu adresu za isplatu.
Jednokratni kod ne treba čitati osobi koja je nazvala, bez obzira na to koliko podataka o korisniku već zna. Broj pozivaoca takođe se može lažirati.
Za račune sa značajnijom vrijednošću bolji su autentifikator ili hardverski sigurnosni ključ od SMS-a. Korisne su i liste odobrenih adresa, odlaganje povlačenja nakon promjene sigurnosnih postavki, odvojena zaštita elektronske pošte i obavještenja na drugom uređaju.
Developer je takođe meta
Ljudi koji prave Web3 proizvode nisu izvan ovog modela prijetnji. Lažni regruter može poslati zadatak za posao koji sadrži kradljivca podataka. Navodni GitHub projekat može imati zlonamjernu zavisnost ili instalacijsku skriptu koja traži tokene, privatne ključeve, kolačiće preglednika i sadržaj lokalnih konfiguracijskih datoteka.
Takav napad je posebno opasan kada developer na istom računaru drži produkcijske pristupe, administratorski novčanik i svakodnevni preglednik. Jedno pokretanje neprovjerenog projekta tada može ugroziti mnogo više od ličnog novčanika.
Nepoznati kod treba pokretati u izolovanom okruženju bez produkcijskih tajni. Zavisnosti, instalacijske skripte i promjene u lock datotekama zaslužuju pregled. Administratorski i deploy ključevi ne pripadaju običnom razvojnom okruženju, a pristup repozitorijima i infrastrukturi treba zaštititi hardverskim ključevima i najmanjim potrebnim ovlaštenjima.
Ni revizija pametnog ugovora ne rješava cijeli problem. Ugovor može biti siguran, dok kompromitovani frontend korisniku šalje transakciju prema drugoj adresi. DNS, CDN, paket treće strane, administratorski nalog i proces objave nove verzije takođe su dio sigurnosne granice.
Najskuplji propust zato ne mora biti u Solidity kodu. Može biti u dugmetu koje skriva značenje potpisa, skraćenoj adresi koja izgleda poznato ili podršci koja ne prepoznaje da korisnik plaća „porez“ lažnom brokeru.
Kako proizvod može prepoznati namjeru bez pretvaranja u nadzor
Nijedan pojedinačni signal ne dokazuje prevaru. Nova adresa može biti legitimna. Velik iznos može biti normalan. Promjena uređaja može imati bezazlen razlog. Problem postaje vidljiv kada se više događaja spoji u isti obrazac.
Razuman sistem zaštite može raditi u pet koraka:
- Prikupiti ograničen, relevantan kontekst: porijeklo zahtjeva, domen, mrežu, ugovor, vrstu potpisa, iznos, istoriju primaoca i nedavne sigurnosne promjene na nalogu.
- Pretvoriti različite tehničke podatke u zajedničke pojmove kao što su prijenos, odobrenje potrošnje, operatorsko pravo, promjena vlasništva ili trajna sesija.
- Dekodirati zahtjev, pročitati trenutno stanje i simulirati posljedicu kada je to moguće.
- Primijeniti proporcionalnu prepreku, od jasnog upozorenja do kratkog čekanja, potvrde na drugom uređaju ili ručnog pregleda.
- Sačuvati revizijski trag odluke, uključujući signal koji je aktivirao upozorenje i način na koji je korisnik nastavio.
Objašnjivost je presudna. Upozorenje „Ova transakcija je rizična“ brzo postaje još jedan prozor koji svi zatvaraju. Upozorenje „Ovaj ugovor dobija neograničeno pravo prijenosa tokena i nikada ranije nije korišten s vašeg naloga“ daje razlog za zaustavljanje.
Isto važi za povlačenje s berze. Opcija „investicija“ preširoka je da bi pomogla. Preciznija pitanja mogu prepoznati uplatu privatnom brokeru, naknadu za otključavanje salda, depozit potreban za posao ili adresu dobijenu od osobe upoznate na internetu.
To ne opravdava čitanje privatnih razgovora niti neograničeno profilisanje korisnika. Proizvod treba prikupljati najmanje podataka potrebnih za konkretnu odluku, jasno odrediti vrijeme čuvanja i dati korisniku razumljivo objašnjenje.
Ni implementacija nije nedostižno skupa. Lokalno dekodiranje potpisa i funkcije može se raditi bez protokolarne naknade. Čitanje stanja i simulacija zahtijevaju RPC infrastrukturu. Povlačenje odobrenja i testne transakcije troše mrežnu naknadu, dok baze reputacije i ručni pregled imaju operativni trošak. Veliki dio napretka ipak dolazi iz boljeg teksta, jasnijeg prikaza i pravilnog razdvajanja podataka koje proizvod već posjeduje.
Portfolijske aplikacije, recimo, ne bi trebale spojiti sve vrijednosti u jednu naizgled sigurnu ukupnu cifru. Korisnik treba znati da li gleda stanje nezavisno potvrđeno na blokčejnu, poziciju izvedenu iz pametnog ugovora, saldo koji prijavljuje skrbnik, ručno unesenu vrijednost ili potpuno neprovjerenu tvrdnju vanjske platforme.
Praktična pravila prije svake ozbiljne uplate
Zaštita ne zahtijeva paranoju. Zahtijeva nekoliko dosljednih navika koje prekidaju tok prevare prije nego što postane tehnička činjenica.
- Utvrdite ko je prvi uspostavio kontakt. Neočekivani broker, regruter, agent podrške ili investicioni mentor mora se provjeriti izvan kanala kojim se javio.
- Otvorite zvaničnu stranicu samostalno. Ne koristite link iz oglasa, privatne poruke, komentara ili neželjenog tokena.
- Provjerite pravno lice i njegove tvrdnje. Ako se neko predstavlja kao domaći licencirani pružalac, uporedite naziv firme i domen s registrom NBS.
- Ne vjerujte saldu koji se ne može nezavisno povezati s imovinom, nalogom kod poznatog skrbnika ili provjerljivom transakcijom.
- Ne šaljite dodatni depozit da biste otključali investiciju, platu, nagradu ili navodnu poresku obavezu.
- Nikada ne dijelite seed frazu, privatni ključ, jednokratni kod niti pristup ekranu osobi koja se javila kao podrška.
- Prije potpisa provjerite mrežu, ugovor, token, iznos, primaoca, rok i ovlaštenje koje ostaje nakon transakcije.
- Za svakodnevne Web3 aktivnosti koristite novčanik s ograničenim sredstvima, odvojen od novčanika u kojem čuvate glavnu imovinu.
- Povremeno pregledajte i povucite nepotrebna ugovorna odobrenja. Samo prekidanje veze s aplikacijom nije dovoljno.
- Kod pritiska da reagujete odmah uvedite namjernu pauzu. Razgovor s osobom koja nema emotivni ili finansijski ulog često otkrije ono što je napadač pokušao sakriti.
Najbolja zaštita nije savršeno pamćenje svih vrsta prevara. To je navika da se priča koju vam neko prodaje odvoji od tehničke radnje koju od vas traži.
Šta uraditi kada je incident već počeo
Brzina je bitna, ali panično potpisivanje novih transakcija može povećati štetu. Prvi korak je utvrditi šta je tačno kompromitovano.
Ako ste poslali sredstva, ali niste otkrili ključ
Prekinite svaku dalju uplatu. Ne plaćajte novi porez, proviziju ili naknadu za „hitni povrat“.
Sačuvajte adresu primaoca, hash transakcije, korištenu mrežu, URL platforme, elektronsku prepisku, telefonske brojeve, korisnička imena, snimke ekrana, bankovne potvrde i tačno vrijeme događaja. Obratite se berzi ili servisu preko kojeg je uplata izvršena, kao i banci ako je korišten bankovni prijenos.
Kripto-transakcija se najčešće ne može jednostavno opozvati, ali sredstva ponekad završe na centralizovanoj platformi koja može sačuvati podatke ili reagovati na pravovremen zahtjev nadležnih organa. Incident treba prijaviti policiji i nadležnim tijelima za visokotehnološki kriminal. Nacionalni CERT može biti koristan za tehničko obavještavanje i upozorenje javnosti, ali nije servis koji privatno vraća izgubljene tokene.
Ako ste potpisali zlonamjerno odobrenje
Prekinite interakciju s kompromitovanom stranicom i provjerite aktivna odobrenja na svakoj mreži koju koristite. Nepotrebno odobrenje treba povući provjerenim alatom otvorenim kroz pouzdan kanal.
Ako postoji sumnja da je odobreno raspolaganje velikim dijelom imovine, preostala sredstva treba premjestiti u čist novčanik. Samo uklanjanje dappa iz liste povezanih stranica neće poništiti pravo koje već postoji na blokčejnu.
Ne unosite seed frazu u navodni alat za povlačenje dozvola. Legitimno povlačenje odobrenja zahtijeva novu transakciju, ne predavanje privatnog ključa nepoznatoj stranici.
Ako je otkrivena seed fraza ili privatni ključ
Stari novčanik više nije siguran. Na provjerenom i čistom uređaju napravite potpuno novi novčanik s novom seed frazom, a preostalu imovinu prenesite čim to možete učiniti sigurno.
Promijenite lozinke relevantnih naloga, pregledajte uređaj zbog zlonamjernog softvera i prekinite aktivne sesije. Ako napadač koristi automatski program koji odmah odnosi svaku novu uplatu, improvizovano slanje mrežne naknade na kompromitovanu adresu može dodatno pogoršati situaciju. Tada je potrebna provjerena stručna pomoć, pronađena nezavisno, a ne kroz osobu koja vam se prva javila.
Ako je preuzet nalog na berzi
Prvo osigurajte elektronsku poštu i telefonski broj, jer se preko njih nalog može ponovo preuzeti. Kontaktirajte berzu isključivo kroz kanal objavljen na njenoj pravoj stranici. Prekinite aktivne sesije, uklonite nepoznate API ključeve, provjerite nove adrese za povlačenje i zamijenite SMS autentifikaciju sigurnijim rješenjem gdje je to moguće.
Čuvajte se druge prevare
Nakon javne objave gubitka često se javljaju „blockchain istražitelji“, hakeri i pravnici koji obećavaju siguran povrat. Traže početnu naknadu, porez, kupovinu posebnog softvera ili pristup novčaniku.
Niko ne može poništiti potvrđenu blokčejn transakciju tajnom administratorskom komandom. Legitimna istraga može pratiti tok sredstava i pokušati povezati adresu s poznatom platformom, ali ne može garantovati povrat. Garancija, hitnost i nova uplata unaprijed obično znače da je počeo drugi krug iste prevare.
Sigurnost mora pratiti ono što korisnik stvarno želi
Kripto prevare neće nestati zato što ćemo početnicima ponavljati da budu oprezni. Neće nestati ni nakon još jedne revizije pametnog ugovora ako proizvod i dalje prikazuje neograničeno ovlaštenje kao bezazlen potpis.
Napredak počinje kada novčanici, berze, dappovi i korisnici počnu razlikovati identitet, namjeru, dato ovlaštenje i stvarni ishod. Tada se lažni broker može prepoznati prije prve velike uplate, task prevara prije premium zadatka, drainer prije potpisa, a otrovana adresa prije prijenosa.
Kriptografska konačnost nije neprijatelj. Ona je jedna od najvrjednijih osobina blokčejna, ali zahtijeva da trenutak autorizacije bude mnogo jasniji nego što je danas. Korisnik ne bi trebao vjerovati dugmetu. Trebao bi razumjeti posljedicu.
Osam, 21 ili 30 obrazaca s vremenom će postati 50 ili 100. Prevaranti će mijenjati nazive, domene, videozapise i priče. Ipak, njihov prostor za djelovanje postaje mnogo manji kada interfejs govori istinu, ovlaštenja imaju razuman opseg, vrijednosti su provjerljive, a korisnik zna da mali uspjeh na početku može biti samo mamac.
Blokčejn će i dalje izvršavati ono što potpišemo. Na nama, kao korisnicima i graditeljima proizvoda, jeste da osiguramo da je to zaista ono što smo namjeravali. Upravo tu kripto prestaje biti lovište za prevarante i postaje zrelija, sigurnija finansijska infrastruktura.
IZVORI
Ispod haube: 8 kripto prevara za početnike u Srbiji