Jak poznać, czy strona kryptowalutowa jest fałszywa?

Dlaczego dokładna domena jest pierwszym sprawdzeniem?

Domena to jedyna część strony, której atakujący nie może skopiować. Układ strony, logo i treść są do sklonowania za darmo, ale nazwa na pasku adresu należy do tego, kto ją zarejestrował. Przewodnik Kerberus z 10 kwietnia 2026 roku zauważa, że oszuści rejestrują podobne domeny z drobnymi zamianami znaków, a niektórzy używają liter cyrylicy, które wyglądają identycznie jak łacińskie.

Odczytaj część bezpośrednio przed pierwszym pojedynczym ukośnikiem. W https://examplecoin.com.claim-rewards.example/start stroną jest claim-rewards.example, a examplecoin.com to tylko etykieta umieszczona przed nią. Ta sama sztuczka działa z nazwą z myślnikiem, np. examplecoin-claim.com, która jest inną domeną niż examplecoin.com. Wiele telefonów skraca długie adresy, więc otwórz adres w pełni, zanim podejmiesz decyzję.

Czy kłódka dowodzi, że strona kryptowalutowa jest prawdziwa?

Nie: kłódka pokazuje, że połączenie jest zaszyfrowane, a nie kto prowadzi stronę. Raport Blockaid z 19 marca 2026 roku o przejęciach front-endów z lutego 2026 roku mówi, że atakujący wystawiali nowe certyfikaty SSL dla każdej przejętej domeny w dniu ataku, w tym płatne certyfikaty Sectigo oraz bezpłatne certyfikaty Let's Encrypt i Google Trust Services, a certyfikaty utrzymywały strony z kłódką jako bezpieczne.

Ten sam raport opisuje przypadek, w którym użytkowników kierowano na podobnego hosta, podczas gdy certyfikaty wildcard wystawiano dla prawdziwej nazwy, więc nawet przejęta, autentyczna domena może pokazać ważny certyfikat. Kłódka rozstrzyga jedno pytanie: czy osoba trzecia może odczytać ruch. Zostawia otwarte to, na czym Ci zależy: czy właścicielem tego adresu jest projekt. FAQ Let's Encrypt z kolei każe użytkownikom zgłaszać strony nadużywające jego certyfikatów do Google Safe Browsing i Microsoft SmartScreen.

Co z podobnymi literami i punycode?

Przeglądarki ukrywają niektóre podobne domeny, pokazując xn-- zamiast liter, ale wpisany ręcznie adres to pewna obrona. Dokumentacja Chromium wyjaśnia, że Chrome sprawdza każdą etykietę nazwy hosta i pokazuje punycode, gdy kontrola się nie powiedzie: mieszane alfabety, np. łacinka z cyrylicą lub grecką, znaki mylące, podobne cyfry i etykiety, których szkielet pasuje do znanej domeny. Wynik nie zależy od ustawień języka przeglądarki, a Chrome pokazuje też osobne ostrzeżenie na pełnym ekranie w niektórych przypadkach podobnych nawigacji.

Te zabezpieczenia mają ograniczenia: inna przeglądarka może stosować inne reguły, a atakujący może użyć zwykłych liter, np. rn zamiast m. Mechanizm z przykładami opisuje czym jest atak homograficzny IDN, a główne kształty podobnych nazw są w jakie typy podobnych domen rejestrują oszuści.

Skąd brać oficjalne linki projektu?

Z zweryfikowanych kanałów projektu, sprawdzone w dwóch miejscach. Kerberus podaje jako pierwszą czerwoną flagę brak ogłoszenia w zweryfikowanych kanałach projektu i radzi dodać oficjalną stronę do zakładek oraz wchodzić na nią bezpośrednio, zamiast podążać za linkami. Stosuj to w tej kolejności:

1. Otwórz stronę projektu z zakładki.
2. Przeczytaj tam link do claimu lub mintu, a nie w wiadomości, która Cię do niego skierowała.
3. Sprawdź, czy zweryfikowane konto w mediach społecznościowych prowadzi do tego samego adresu.
4. Ignoruj prywatne wiadomości oferujące tokeny, wsparcie lub wczesny dostęp.
5. Odrzuć każdą stronę, która prosi o frazę seed lub płatność za otrzymanie tokenów: Kerberus zauważa, że prawdziwe airdropy są bezpłatne.

Jeśli podejrzewasz stronę, nie podłączaj portfela. Zgłoś ją, korzystając z kroków z jak zgłosić domenę phishingową.

Dlaczego to ma teraz znaczenie?

Oszustwa podszywania się gwałtownie wzrosły według najnowszych danych Chainalysis. Chainalysis w raporcie z 13 stycznia 2026 roku stwierdza, że oszustwa podszywania się wzrosły o ponad 1400% w porównaniu z 2024 rokiem, że średnia kwota płacona tym klastrom wzrosła o ponad 600%, a średnia płatność w oszustwie wzrosła z 782 $ do 2764 $. Raport Interisle z 9 września 2025 roku stwierdził, że 77% domen phishingowych zarejestrowano złośliwie, a ponad 1,5 miliona nazw domen użyto do phishingu w okresie od maja 2024 do kwietnia 2025.

Te liczby opisują podaż fałszywych stron, których użytkownicy nie są w stanie sprawdzić jeden po drugim. Projekt też musi działać.

Co może zrobić projekt, żeby użytkownicy nie musieli sami wykrywać podróbek?

Zarejestruj oczywiste nazwy, wskaż je na oficjalną stronę i opublikuj jedną listę oficjalnych linków. Użytkownik, który źle wpisze examplecoin.co albo examplecoin.xyz, trafi wtedy na prawdziwą stronę, a nie na cudzą. Połącz to z krótką stroną „oficjalne linki” na głównej stronie, którą powtarza każdy zweryfikowany kanał, oraz z kontrolami z jak chronić projekt kryptowalutowy przed domenami phishingowymi.

Według przeglądu Wardmint z 12 listopada 2026 roku podstawowy zestaw sześciu rozszerzeń (.com, .net, .org, .io, .xyz, .app) kosztuje $128.94 rocznie, a dziewięć rozszerzeń używanych przez oszustów kosztuje $212.41 rocznie, z tą samą ceną przy odnowieniu. Wardmint rejestruje wyłącznie warianty własne projektu, nie podobne do cudzej marki, i nie prowadzi monitoringu ani zdejmowania stron; przewodniki pokazują bezpłatne narzędzia i oficjalne drogi zgłaszania.