Trust Wallet: najczęstsze oszustwa i jak chronić swoje środki
Spis treści
- Większość strat nie wynika z luk w aplikacji, lecz z phishingu: fałszywych aplikacji, stron i „supportu”.
- Jeśli ktoś prosi o seed phrase lub podpisanie nieznanej transakcji, to niemal na pewno oszustwo.
- Po przejęciu portfela odzyskanie środków jest praktycznie niemożliwe, więc kluczowa jest prewencja.
Czy Trust Wallet jest bezpieczny?
Trust Wallet jest legalnym portfelem niepowierniczym (self-custody): firma nie przechowuje środków użytkowników, a dostęp do nich daje wyłącznie fraza odzyskiwania, czyli seed phrase. Bezpieczeństwo portfela zależy więc głównie od jego właściciela: kto pozna seed phrase, przejmuje wszystkie aktywa.
Nie oznacza to, że sama infrastruktura jest wolna od ryzyka. Między 24 a 26 grudnia 2025 r. w Chrome Web Store dostępna była nieautoryzowana, złośliwa wersja 2.68 rozszerzenia przeglądarkowego Trust Wallet, opublikowana z pominięciem standardowego procesu wydawniczego.
Według komunikatu firmy okradziono 2 520 adresów, a z adresami atakujących powiązano aktywa o wartości ok. 8,5 mln USD. Incydent nie dotyczył aplikacji mobilnej ani innych wersji rozszerzenia, a Trust Wallet zdecydował się dobrowolnie zwrócić środki poszkodowanym.
Najczęstsze oszustwa związane z Trust Wallet
Popularność Trust Wallet sprawiła, że jego marka stała się celem wielu grup przestępczych. Schematy różnią się formą, ale niemal każdy ma jeden z trzech celów: wyłudzić seed phrase, wymusić złośliwy podpis lub podsunąć fałszywy adres.
Fałszywe aplikacje i rozszerzenia
W sklepach z aplikacjami, w wynikach wyszukiwania i na stronach zewnętrznych pojawiają się klony Trust Wallet z podobnym logo i nazwą. Po instalacji wyłudzają seed phrase lub przesyłają środki do portfela oszusta. Typowy sygnał ostrzegawczy: aplikacja prosi o frazę odzyskiwania zaraz po uruchomieniu, choć nie przywracasz żadnego portfela. To samo dotyczy rozszerzeń do przeglądarki: w wynikach wyszukiwania sklepu Chrome Web Store podróbki potrafią wyglądać niemal identycznie jak oryginał.
Phishing i fałszywe strony
Oszuści tworzą witryny łudząco podobne do trustwallet.com, często na domenach różniących się jednym słowem lub znakiem. Linki trafiają do reklam w wyszukiwarce, postów w mediach społecznościowych i maili podszywających się pod support. Celem jest nakłonienie do „weryfikacji portfela”, czyli wpisania frazy odzyskiwania lub klucza prywatnego. Prawdziwy Trust Wallet nie potrzebuje jej do logowania: fraza służy wyłącznie do przywrócenia portfela na nowym urządzeniu.
Fałszywe airdropy i darmowe tokeny
Użytkownik dostaje do portfela „darmowe” tokeny udające popularne aktywa, np. USDT czy USDC, albo trafia na stronę z rzekomym rozdawnictwem. Aby je „odebrać”, musi połączyć portfel z nieznaną stroną i zatwierdzić transakcję. W rzeczywistości podpisuje złośliwy kontrakt (tzw. drainer), który pozwala oszustowi wyprowadzić prawdziwe środki. Takie tokeny często pokazują w portfelu wysoką wycenę, ale nie da się ich sprzedać bez interakcji ze stroną oszusta. Więcej o tym, czym jest token i czym różni się od kryptowaluty, wyjaśniamy w osobnym artykule.
Address poisoning, czyli zatruwanie historii transakcji
Oszust wysyła na Twój adres znikomą kwotę lub bezwartościowy token z adresu, który zaczyna się i kończy tymi samymi znakami co adres, z którym często się rozliczasz. Liczy na to, że przy kolejnym przelewie skopiujesz adres z historii transakcji. Jedna pomyłka wystarczy, by środki trafiły do przestępcy bez możliwości ich cofnięcia.
Portfele „tylko do podglądu” (watch wallet)
W trybie podglądu widać saldo i transakcje cudzego adresu, ale nie można nimi dysponować. Oszuści pokazują ofierze taki „portfel” z dużym saldem i przekonują, że do jego odblokowania trzeba najpierw wpłacić tokeny na opłaty lub aktywację. Wpłacone środki trafiają prosto do nich.
Fałszywe wsparcie techniczne
Na Telegramie, Discordzie czy X (dawniej Twitterze) działają konta podszywające się pod support Trust Wallet. Często odpowiadają na publiczne pytania użytkowników w ciągu kilku minut i przenoszą rozmowę do wiadomości prywatnych. Oferują „pomoc”, a potem wyłudzają seed phrase albo każą zainstalować podejrzane oprogramowanie. Sam Trust Wallet przypomina, że fraza odzyskiwania nie powinna trafić do nikogo, kto przedstawia się jako obsługa klienta.
Zgodność z przepisami
Australian Securities and Investments Commission (ASIC), Cyprus Securities and Exchange Commission, Commissione Nazionale per le Società e la Borsa (CONSOB), The Financial Conduct Authority (FCA)
Cyprus Securities and Exchange Commission, Commissione Nazionale per le Società e la Borsa (CONSOB), Komisja Nadzoru Finansowego (KNF), The Financial Conduct Authority (FCA)
Oferowane produkty
Akcje, ETF, CFD, Kryptowaluty, Commodities, Forex
Akcje, ETF, CFD, Forex, Commodities
Przypadki oszustw podszywających się pod Trust Wallet
Opisane schematy nie są teoretyczne. Poniższe przykłady pochodzą z ostrzeżeń instytucji i relacji użytkowników, także tych bardziej doświadczonych. W każdym z nich zaufanie do znanej marki wykorzystano, by skłonić ofiarę do działania, którego sama by nie podjęła.
Fałszywe „partnerstwo” z bankiem Julius Baer
Szwajcarski bank Julius Baer ostrzega przed rzekomym partnerstwem z aplikacją Trust Wallet. Niepowiązane z bankiem strony kierowały do Google Play lub App Store, zachęcały do pobrania Trust Wallet i „inwestowania” kryptowalut przez nieistniejące konto w Julius Baer. Według banku oszuści celowali głównie w osoby z Chin i Hongkongu, a schemat opierał się na domenach łudząco podobnych do nazwy banku, np. juliusbaer-trade[.]com. To przykład, jak renoma dwóch znanych marek jednocześnie uwiarygadnia fałszywą ofertę inwestycyjną.
Fałszywe tokeny w relacjach z Reddita
Na forach nie brakuje wpisów osób, które znalazły w portfelu podejrzane tokeny. Jeden z użytkowników Reddita opisał token udający USDC, który okazał się fałszywym kontraktem bez płynności. Próba interakcji z nim skończyła się utratą części prawdziwych środków. Mechanizm jest typowy: fałszywy token ma tę samą nazwę i symbol co oryginał, ale inny adres kontraktu.
Fałszywy airdrop opisany przez PCRisk
Serwis PCRisk.pl opisał oszustwo „Trust Wallet Airdrop” promowane m.in. na domenie claiming-trustwallet[.]com, łudząco podobnej do oficjalnej. Strona obiecuje darmowe tokeny, a przy sprawdzaniu, czy użytkownik kwalifikuje się do airdropu, prosi o podłączenie portfela. W ten sposób ofiara podpisuje złośliwą umowę, która pozwala wyprowadzić środki. Według PCRisk takie drainery często promowane są przez natrętne reklamy pop-up, dlatego nawet przypadkowe kliknięcie w baner może prowadzić do fałszywej strony. Serwis zaznacza też, że to samo oszustwo może działać pod innymi adresami, więc blokowanie jednej domeny nie wystarcza.
Jak rozpoznać oszustwo? Sygnały ostrzegawcze
Zanim klikniesz, podpiszesz lub przelejesz środki, sprawdź, czy sytuacja nie spełnia któregoś z tych warunków:
- Ktoś prosi o seed phrase, klucz prywatny lub hasło, pod jakimkolwiek pretekstem.
- „Support” odzywa się pierwszy, zwykle w prywatnej wiadomości.
- Oferta obiecuje darmowe tokeny, podwojenie środków lub gwarantowany zysk.
- Strona wymaga połączenia portfela, aby „odebrać nagrodę” lub „zweryfikować konto”.
- Adres odbiorcy zgadza się tylko w pierwszych i ostatnich znakach.
- Rozmówca wywiera presję czasu, np. „oferta wygasa za godzinę”.
- W portfelu pojawił się nieznany token, którego nazwa zawiera link lub zaproszenie do „odebrania nagrody”.
- Ktoś prosi o instalację aplikacji spoza oficjalnego sklepu lub programu do zdalnego pulpitu.
Wystarczy jeden z tych sygnałów, by przerwać rozmowę lub transakcję. Prawdziwa oferta nie zniknie, jeśli poświęcisz kilka minut na sprawdzenie adresu strony, nadawcy i kontraktu tokena w niezależnym źródle.
Jak się zabezpieczyć przed oszustwami w Trust Wallet?
Korzystaj wyłącznie z oficjalnych źródeł
Pobieraj aplikację tylko z Google Play, App Store lub oficjalnej strony trustwallet.com, a rozszerzenie przeglądarkowe wyłącznie z linku podanego na tej stronie. Zawsze sprawdzaj nazwę wydawcy i liczbę pobrań.
Chroń seed phrase jak największy skarb
Nigdy nie podawaj frazy odzyskiwania nikomu, także osobom podającym się za support. Zapisz ją offline, np. na kartce papieru lub metalowej płytce, a nie w telefonie, mailu czy chmurze.
Weryfikuj adresy i kontrakty tokenów
Adresy kontraktów tokenów, np. USDT czy USDC, sprawdzaj na oficjalnych stronach emitentów. Adres odbiorcy wklejaj z zaufanego źródła i porównuj go w całości, a nie tylko pierwsze i ostatnie znaki.
Ignoruj podejrzane airdropy i tokeny
Jeśli w portfelu nagle pojawiły się „darmowe” tokeny, nie próbuj ich sprzedawać ani przesyłać. Najczęściej są przynętą, która ma skłonić do połączenia portfela z fałszywą stroną.
Korzystaj ze skanera bezpieczeństwa Trust Wallet
Wbudowany Security Scanner analizuje adresy i transakcje, zanim je zatwierdzisz, i przypisuje im poziom ryzyka: niski, średni lub wysoki. Ostrzeżenie o wysokim ryzyku warto traktować jako sygnał do przerwania operacji, a nie formalność.
Zabezpiecz urządzenie
Aktualizuj system i aplikację, a przy rozszerzeniach przeglądarkowych śledź komunikaty bezpieczeństwa Trust Wallet. Włącz blokadę biometryczną lub silne hasło. Przy większych kwotach rozważ portfel sprzętowy: przegląd rozwiązań znajdziesz w zestawieniu najlepsze portfele do przechowywania bitcoinów.
Zachowaj sceptycyzm wobec ofert w social mediach
Nie klikaj w linki przesyłane przez nieznajomych. Ogłoszenia o „podwajaniu krypto” czy „ekskluzywnym airdropie” to niemal zawsze scam, podobnie jak obietnice stałych zysków. To klasyczne cechy schematów opisanych w poradniku czym jest piramida finansowa i jak rozpoznać oszustwo.
Co zrobić, jeśli padłeś ofiarą oszustwa Trust Wallet?
Utrata środków w krypto często jest nieodwracalna, ale szybka reakcja może ograniczyć straty i ułatwić dochodzenie roszczeń. Działaj w tej kolejności:
- Odizoluj środki. Przenieś pozostałe aktywa do nowego portfela z nową frazą odzyskiwania. Jeśli podejrzewasz malware, nie używaj już tego samego urządzenia ani aplikacji.
- Zgłoś sprawę do Trust Wallet. Skontaktuj się z supportem wyłącznie przez oficjalną stronę trustwallet.com i podaj adresy, hashe transakcji oraz opis działania oszustów. Środków zwykle nie da się odzyskać, ale zgłoszenie pomaga ostrzec innych.
- Powiadom organy ścigania. Zgłoś przestępstwo na Policji, najlepiej w jednostce ds. cyberprzestępczości, a incydent do CERT Polska przez formularz na incydent.cert.pl. Przygotuj zrzuty ekranu, adresy portfeli oszustów i identyfikatory transakcji.
- Zabezpiecz pozostałe konta. Zmień hasła do e-maila, giełd i bankowości, włącz 2FA i dodaj adres do listy obserwowanych w eksploratorze blockchain; np. Etherscan wysyła powiadomienia e-mail o każdej transakcji.
- Ostrzeż innych. Opisz schemat na forach i w grupach kryptowalutowych, ale nie odpowiadaj na oferty „odzyskania środków”: to częsta druga fala oszustwa.
Trust Wallet jest legalnym portfelem i sam w sobie nie jest oszustwem, a większość strat wynika z podszywania się pod jego markę: fałszywych aplikacji, stron, airdropów i „supportu”. Incydent z rozszerzeniem 2.68 przypomina jednak, że czujności wymaga także oficjalne oprogramowanie.
Najlepszą ochroną pozostaje prosta zasada: seed phrase nigdy nie opuszcza Twojej kartki, a każdą transakcję sprawdzasz przed podpisaniem. Jeśli chcesz być na bieżąco z nowymi zagrożeniami, możesz zapisać się do naszego newslettera.
FAQ: Trust Wallet i oszustwa
Szukasz brokera? Sprawdź nasze rekomendacje
Zgodność z przepisami
Australian Securities and Investments Commission (ASIC), Cyprus Securities and Exchange Commission, Commissione Nazionale per le Società e la Borsa (CONSOB), The Financial Conduct Authority (FCA)
Cyprus Securities and Exchange Commission, Commissione Nazionale per le Società e la Borsa (CONSOB), Komisja Nadzoru Finansowego (KNF), The Financial Conduct Authority (FCA)
Oferowane produkty
Akcje, ETF, CFD, Kryptowaluty, Commodities, Forex
Akcje, ETF, CFD, Forex, Commodities