Fałszywe maile z okupem w bitcoinie: jak je rozpoznać

Mail z żądaniem zapłaty bitcoinem — dlaczego trafia właśnie do ciebie

Od 2020 roku niemal każda skrzynka e-mail w Polsce dostaje przynajmniej kilka wiadomości, w których nadawca twierdzi, że przejął komputer, nagrał cię przez kamerę albo ma twoje hasła. Żądanie jest zawsze podobne: kilkaset euro lub równowartość w bitcoinie, wpłata w ciągu 48 godzin, adres portfela podany na końcu. To masowa kampania, nie atak wymierzony w ciebie. Cyberprzestępcy kupują bazy wyciekłych adresów e-mail hurtowo i wysyłają ten sam tekst do setek tysięcy osób, licząc, że kilka procent się przestraszy.

Schemat ma nazwę „sextortion” i w polskiej wersji językowej często zawiera charakterystyczne błędy: tłumaczenie z angielskiego, dziwną składnię, nazwę rzekomego narzędzia, którego nie ma, oraz adres bitcoinowy, który po sprawdzeniu w publicznym eksploratorze blockchain ma na koncie zero transakcji. To najlepszy dowód, że nadawca wysyła te wiadomości hurtowo i nikt jeszcze nie zapłacił. Jeśli w treści pojawia się „mail od hakera bitcoin 2020” jako data rzekomego włamania, prawie na pewno chodzi o szablon z tamtego okresu, krążący do dziś bez zmian.

Polska policja i CERT Polska przyjmują zgłoszenia takich wiadomości, ale nie są w stanie ścigać nadawcy, jeśli ten działa z zagranicznego serwera. Realna ochrona zaczyna się więc na twoim komputerze i w twoim sposobie czytania poczty, a nie w działaniach organów ścigania po fakcie.

Jak odróżnić blef od realnego zagrożenia

Trzy sygnały, które niemal zawsze oznaczają oszustwo

Po pierwsze, brak jakiegokolwiek dowodu. Prawdziwy atakujący zwykle załącza fragment twojego hasła, zdjęcie ekranu lub inne dane, których nie ma w ogólnodostępnych bazach. Jeśli nadawca pisze tylko ogólnikami („znam twoje hasła”, „widziałem twoje nagrania”), to straszenie bez pokrycia. Po drugie, adres bitcoinowy, na który ma trafić wpłata, jest nowy i nigdy wcześniej nie był używany — widać to w publicznym rejestrze blockchain. Po trzecie, presja czasu: 24 lub 48 godzin, brak możliwości kontaktu, żądanie odpowiedzi tylko przez e-mail.

Prawdziwe włamanie rzadko wygląda jak list z żądaniem okupu. Znacznie częściej kończy się cichą kradzieżą środków z giełdy lub portfela, przejęciem konta na komunikatorze albo wyłudzeniem kodu SMS. Bitcoin kradzież w praktyce oznacza najczęściej, że ktoś zdobył twoje hasło i kod 2FA, a nie że nagrał cię przez kamerę laptopa. Warto więc najpierw sprawdzić historię logowań do skrzynki i do giełdy, na której trzymasz kryptowaluty, a dopiero potem nerwowo reagować na treść maila.

Co zrobić po otrzymaniu takiej wiadomości

Nie odpowiadaj, nie płać, nie klikaj w linki ani nie otwieraj załączników. Zapisz wiadomość w formacie .eml i prześlij ją na adres zgłoszeniowy CERT Polska, a jeśli zawiera wyraźne groźby, złóż zawiadomienie na komisariacie — policja przyjmie je nawet bez wiedzy, kim jest nadawca. Zmień hasła do poczty, banku i giełdy kryptowalut, włącz dwuskładnikowe uwierzytelnianie oparte na aplikacji, a nie na SMS. Jeśli korzystasz z tego samego hasła w kilku miejscach, potraktuj to jako sygnał do natychmiastowej zmiany — to jedyna realna część zagrożenia, którą możesz wyeliminować w ciągu godziny.

Adres bitcoinowy jako ślad — co naprawdę widzą analitycy blockchain

Każdy adres bitcoin jest publiczny i zapisany na zawsze w łańcuchu bloków, więc teoretycznie można prześledzić, dokąd trafiły środki. W praktyce blockchain forensics to żmudna praca polegająca na łączeniu adresów w klastry, analizie czasu transakcji i współpracy z giełdami, które wymagają weryfikacji tożsamości przy wypłacie. Firmy takie jak Chainalysis czy Elliptic robią to komercyjnie dla banków i giełd, ale pojedynczy poszkodowany raczej nie uzyska tam pomocy.

Problem polega na tym, że oszuści z masowych kampanii rzadko wypłacają środki bezpośrednio. Używają mieszaczy, portfeli z wieloma adresami i natychmiastowej wymiany na monety prywatnościowe. Jeśli na adres z maila wpłynie jakikolwiek bitcoin, wpłacający może mieć pewność, że jego pieniądze znikną w ciągu godzin. Dlatego kwoty podawane w tych mailach — zwykle równowartość 200–1000 euro — mają sens właśnie wtedy, gdy ofiara traktuje je jako „mały koszt świętego spokoju”.

Warto też wiedzieć, że polskie banki i firmy płatnicze coraz częściej pytają o źródło środków przy przelewach na giełdy kryptowalut. Jeśli ktoś próbuje wpłacić okup przez kantor online lub paysafecard, transakcja może zostać wstrzymana, a klient poproszony o wyjaśnienia. To dodatkowa bariera, choć nie ochroni osoby, która sama zdecyduje się wysłać bitcoin z własnego portfela.

Bezpieczne nawyki zamiast paniki

Najskuteczniejsza obrona to higiena cyfrowa, a nie znajomość zaawansowanych narzędzi. Osobny adres e-mail do rejestracji w serwisach, hasła generowane przez menedżer haseł, aktualizowany system i wyłączona kamera, gdy nie jest używana — to wystarczy, by zdecydowana większość takich maili traciła sens. Warto też regularnie sprawdzać, czy nasze dane nie pojawiły się w znanych wyciekach; serwisy takie jak Have I Been Pwned robią to bezpłatnie.

Osoby, które realnie inwestują w kryptowaluty, powinny trzymać środki na portfelu sprzętowym, a na giełdzie tylko tyle, ile potrzebują do bieżących transakcji. Klucze prywatne nigdy nie powinny znajdować się w e-mailu, notatniku ani w chmurze. Warto również zapisywać adresy odbiorców, z którymi współpracujemy, i weryfikować je przy każdej większej wypłacie — podmiana adresu bitcoin to jeden z najczęstszych sposobów kradzieży po zainfekowaniu komputera.

Fałszywe maile z żądaniem okupu są irytujące, ale rzadko stanowią realne zagrożenie dla portfela. Prawdziwe ryzyko kryje się w prostych błędach: powtórzonym haśle, braku 2FA i trzymaniu większych środków na giełdzie. Świadomość tych mechanizmów jest tańsza niż jakikolwiek okup — i to jedyna inwestycja w wiedzę, która zawsze się zwraca.