Hacki krypto w 2026: Trust Wallet, iPhone i jak chronić środki

Dane PeckShield nie uwzględniają jeszcze środków zamrożonych i odzyskanych, a firmy liczą incydenty różnie: DefiLlama naliczyła w październiku 35 ataków o łącznej wartości zbliżonej do 6,5 mld USD. Rekord pobił atak na Binance (ok. 6,3 mld USD), za który 31 października FBI obwiniło północnokoreańską grupę TraderTraitor. Ten tekst skupia się na zagrożeniach, które dotyczą zwykłych użytkowników portfeli i telefonów, a nie tylko giełd.

Najważniejsze incydenty — zestawienie

Czy Trust Wallet jest bezpieczny? Incydent z grudnia 2025

W dniach 24-26 grudnia 2025 roku w oficjalnej wtyczce Trust Wallet do Chrome, w wersji 2.68, znalazł się złośliwy kod JavaScript. Podczas zwykłego korzystania z portfela wykradał frazy odzyskiwania i klucze prywatne. Według Cointelegraph straty wyniosły około 7 mln USD, poszkodowanych zostało co najmniej 2 596 adresów, a złożono blisko 5 tysięcy wniosków o zwrot.

Wskazywano, że atakujący prawdopodobnie użyli skradzionego klucza API do sklepu Chrome Web Store, więc złośliwa wersja trafiła do użytkowników oficjalnym kanałem aktualizacji, a nie przez phishing. Trust Wallet wyłączył zainfekowaną wersję, wydał wersję 2.69 bez złośliwego kodu i uruchomił portal zwrotów.

Czego uczy ten incydent

Ryzyko nie leżało w kryptografii portfela, tylko w łańcuchu dostaw: automatycznych aktualizacjach wtyczki. Ktoś, kto zrobił wszystko poprawnie (oficjalny sklep, oficjalny dostawca), mógł mimo to dostać zainfekowaną wersję. Wtyczka działa w tym samym środowisku co strony internetowe i inne rozszerzenia, więc to najmniej odizolowana forma portfela programowego.

Cointelegraph nie rozstrzyga, czy incydent dotyczył także aplikacji mobilnej; część relacji podaje, że nie. Jak opisujemy w recenzji Trust Wallet, aplikacja i wtyczka są zamkniętym kodem (otwarta jest tylko biblioteka Wallet Core), więc użytkownik nie może samodzielnie zweryfikować kodu. Przy większych kwotach lepszym wyborem jest portfel sprzętowy.

Fałszywe aplikacje portfeli w App Store

Badacze Kaspersky opisali 26 fałszywych aplikacji w sklepie Apple App Store, podszywających się m.in. pod MetaMask, Ledger, Trust Wallet i Coinbase oraz pod mniej znane portfele (TokenPocket, imToken, Bitpie). Aplikacje same nie kradną środków, lecz służą jako przynęta: w pewnym momencie proszą o frazę odzyskiwania, która trafia na serwer atakujących.

Wersje podszywające się pod Ledgera potrafią wyświetlić prośbę o frazę po podłączeniu portfela sprzętowego. Większość ofiar to według badaczy użytkownicy z Chin, ale zasada dotyczy każdego: frazę wpisuje się wyłącznie na samym urządzeniu sprzętowym, nigdy w aplikacji na telefonie ani komputerze. Obecność w oficjalnym sklepie nie gwarantuje bezpieczeństwa aplikacji.

Bezpieczeństwo kryptowalut na iPhonie: DarkSword i worse_query

W marcu 2026 Lookout, Google Threat Intelligence Group i iVerify opisały DarkSword — łańcuch exploitów i program kradnący dane. Atak następuje przez Safari, po wejściu na zainfekowaną stronę (zaobserwowano wstrzyknięte ramki na przejętych serwisach), bez instalowania czegokolwiek przez ofiarę. Program wykrada m.in. hasła, wiadomości (w tym z WhatsApp i Telegrama), zdjęcia i lokalizację, a lista celów obejmuje aplikacje giełd i portfeli, takich jak Coinbase, Binance, Kraken, Ledger, Trezor i MetaMask. Google przypisuje go grupie UNC6353, którą Lookout ocenia jako prawdopodobnie rosyjską.

10 listopada 2026 Binance ostrzegł przed luką w iOS opisywaną jako ucieczka z piaskownicy (sandbox escape) o nazwie worse_query: złośliwa aplikacja mogłaby czytać pliki należące do innych aplikacji, bez jailbreaka. Do wykorzystania luki atakująca aplikacja musi mieć własny kontener App Group, a Binance wskazuje, że zagrożone mogą być frazy odzyskiwania, klucze prywatne i dane logowania. Opublikowana dokumentacja nie dowodzi jednak, że da się w ten sposób odszyfrować każdy portfel — ryzyko zależy od tego, jak dana aplikacja chroni swoje dane. Binance nie raportuje potwierdzonych kradzieży, a sama luka jest problemem całego systemu, nie jednej aplikacji.

Pojawiły się też relacje o nowszych odmianach DarkSword; ich zasięg i skuteczność nie są potwierdzone przez producentów.

Bitget i Binance: ataki na giełdy

24-25 września 2026 z giełdy Bitget skradziono 387,5 mln USD w ETH, XRP, BNB, USDT, USDC i innych tokenach, w kilku sieciach. Według ustaleń Mandiant atakujący uzyskali uprzywilejowany dostęp do zewnętrznych urządzeń bezpieczeństwa giełdy, wykorzystując lukę zero-day, a następnie przeszli do serwera obsługującego portfele produkcyjne. Giełda wstrzymała wypłaty i zaoferowała 5% nagrody za pomoc w odzyskaniu środków. Prezes wskazała jako sprawców północnokoreańskich hakerów, ale nie ma niezależnego potwierdzenia tej tezy.

Wniosek z obu przypadków jest podobny: nawet dobrze zabezpieczona giełda jest tak odporna, jak jej najsłabszy zewnętrzny dostawca. Dlatego nie warto trzymać na giełdzie więcej, niż potrzebujesz do handlu, a przed wyborem platformy sprawdzić ranking giełd i status licencji MiCA.

Gdzie trzymać kryptowaluty — porównanie ryzyk

W żadnym z opisanych przypadków nie złamano kryptografii. Atakowano ludzi i otoczenie: aktualizacje oprogramowania, sklepy z aplikacjami, przeglądarkę, system operacyjny i zewnętrznych dostawców. O bezpieczeństwie decyduje więc higiena całego urządzenia, a nie tylko wybór portfela.

Jak zabezpieczyć kryptowaluty — checklista

1. 1
   Aktualizuj system i aplikacje

   DarkSword nie działa na zaktualizowanych urządzeniach (iOS 18.7.3+ lub 26.3+).

2. 2
   Trzymaj większe kwoty w portfelu sprzętowym

   Frazę odzyskiwania wpisuj wyłącznie na urządzeniu. Zobacz poradnik o portfelach sprzętowych oraz recenzje Ledgera i Trezora.

3. 3
   Nie zapisuj frazy w telefonie

   Notatki, zdjęcia, zrzuty ekranu i chmura to pierwszy cel na przejętym telefonie.

4. 4
   Nie trzymaj dużych kwot w portfelu przeglądarkowym

   Wtyczka to najbardziej narażona forma portfela, a aktualizuje się automatycznie.

5. 5
   Instaluj aplikacje tylko z oficjalnych linków

   Wchodź do sklepu przez link ze strony producenta i sprawdzaj nazwę wydawcy.

6. 6
   Przy podejrzeniu wycieku przenieś środki

   Utwórz nowy portfel na czystym urządzeniu. Samo usunięcie aplikacji nie unieważnia skopiowanego klucza.

7. 7
   Uważaj na oszustów po głośnych incydentach

   Fałszywa „pomoc w odzyskaniu środków” to częsty drugi etap ataku.

Konto na giełdzie

Włącz uwierzytelnianie dwuskładnikowe oparte na aplikacji lub kluczu sprzętowym zamiast SMS-a. Binance i inne giełdy oferują też kod antyphishingowy, który pojawia się we wszystkich prawdziwych e-mailach od giełdy (wiadomość bez niego jest podejrzana), oraz białą listę adresów wypłat, która ogranicza wypłaty do z góry zatwierdzonych adresów — to dodatkowa bariera, jeśli ktoś zdobędzie Twoje dane logowania. Binance zaleca włączenie obu w odpowiedzi na fale fałszywych SMS-ów „alertów bezpieczeństwa”. Zabezpiecz też skrzynkę e-mail powiązaną z kontem. Nazwy opcji i szczegóły (np. czas oczekiwania na nowy adres) różnią się między giełdami, więc sprawdź je w ustawieniach swojej platformy.

Przelewy i adresy

Przed większą wypłatą wyślij najpierw małą kwotę testową. Uważaj na malware podmieniające skopiowany adres portfela (clipboard hijacking): po wklejeniu porównaj adres ze źródłowym, zwracając uwagę przynajmniej na jego początek i koniec, a częste adresy zapisuj w książce adresowej — tak radzą m.in. Trust Wallet i giełda Bitvavo w swoich materiałach o tym ataku. Korzystając z portfela sprzętowego, sprawdzaj adres także na jego ekranie, a nie tylko w aplikacji.

DeFi i uprawnienia do tokenów

Podpisując transakcje w aplikacjach zdecentralizowanych, często dajesz kontraktowi uprawnienie do wydawania swoich tokenów. Po zakończeniu korzystania z danej aplikacji przejrzyj te uprawnienia w eksploratorze blockchain lub narzędziu do zarządzania uprawnieniami i cofnij niepotrzebne. Nie podpisuj transakcji ani wiadomości, których nie rozumiesz, i nie klikaj linków z nieoczekiwanych wiadomości.

Tryb blokady iPhone — czy warto włączyć

Apple oferuje opcjonalny Tryb blokady (Ustawienia → Prywatność i ochrona → Tryb blokady), który ogranicza m.in. część technologii przeglądarki, załączniki i linki w wiadomościach, aby zmniejszyć powierzchnię ataku. Apple zastrzega jednak, że jest przeznaczony dla niewielu osób, które z uwagi na to, kim są lub czym się zajmują, mogą być celem ataków, i że większość ludzi nigdy nie jest celem takich ataków; tryb może też spowalniać lub psuć działanie niektórych stron. Dla większości użytkowników ważniejsze są szybkie aktualizacje systemu, ale warto go rozważyć, jeśli na telefonie obsługujesz duże kwoty. Oddzielenie kryptowalut od codziennego urządzenia — osobny telefon lub profil przeglądarki bez zbędnych rozszerzeń — zmniejsza ryzyko, że atak na jedną aplikację ujawni klucze.