כשביטקוין עולה, הרמאים עובדים שעות נוספות. זה לא מקרי: עליות מושכות אנשים חדשים, ואנשים חדשים הם יעד קל. וזה לא רק עניין של פראיירים, אחת הפרשיות הגדולות שנחשפו הסתיימה במאסרים ארוכים לכנופייה שגנבה 263 מיליון דולר בקריפטו, לא בפריצה טכנולוגית מתוחכמת אלא בהטעיה פשוטה של אנשים רגילים. זה קורה כל יום, גם בישראל ובעברית. הנה מדריך ההגנה המלא.
אבטחת קריפטו היא לא מוצר שקונים אלא הרגלים, ושמירה על קריפטו מתחילה בכמה כללים פשוטים שמופיעים בהמשך.
ההונאות הנפוצות עכשיו
- פישינג (Phishing): מייל או הודעה שנראים בדיוק כמו הבורסה שלכם, עם קישור לאתר מזויף שגונב סיסמה. ההעתקים מושלמים עד רמת הלוגו.
- "תשואה מובטחת": קבוצות טלגרם עם "מומחים" שמבטיחים 20-30% בחודש. אין דבר כזה. מי שמבטיח, בורח עם הכסף.
- Pig Butchering: היכרות רומנטית או חברית ברשת שנבנית שבועות, ואז מגיעה "הזדמנות השקעה משותפת" באתר מזויף שבו הרווחים קיימים רק על המסך.
- Rug Pull: פרויקט חדש, אתר מהמם, מטבע מבטיח, ואז המייסדים נעלמים עם הקופה.
- התחזות לסלבס: חשבון שנראה כמו אילון מאסק מציע "להכפיל כל מטבע שתשלחו". תמיד, בלי יוצא מהכלל, הונאה.
- טלפונים מ"חברת השקעות": גם בעברית רהוטה, גם עם אתר ישראלי למראה. שיחת מכירה אגרסיבית על קריפטו היא דגל אדום בפני עצמו.
הרשימה מתחדשת כל שבוע, אבל המכנה המשותף קבוע: לחץ לפעול מהר, ורווח שנשמע טוב מדי.
הארנק שלכם, הקו הראשון
המפתח לארנק הוא ה-Seed Phrase, סדרה של 12 או 24 מילים. מי שמחזיק בה מחזיק בכסף, שלו, לא של שניכם. ולכן:
- אף גורם לגיטימי לא יבקש את ה-Seed Phrase. לא תמיכה טכנית, לא "אדמין" בטלגרם, לא "עובד הבורסה". מי שמבקש, גונב.
- כותבים אותה על נייר ושומרים במקום פיזי מוגן. לא צילום מסך, לא ענן, לא וואטסאפ.
- סכומים משמעותיים מחזיקים בארנק קר, מכשיר פיזי שמנותק מהרשת ומחייב אישור פיזי לכל עסקה.
הגנות שלוקח עשר דקות להקים
- אימות דו-שלבי (2FA) על כל חשבון בורסה, ועדיף באפליקציית אימות ולא ב-SMS. הודעות SMS חשופות לחטיפת קו (SIM Swap), שבה מעבירים את המספר שלכם לכרטיס של התוקף.
- מועדפים במקום חיפוש: שומרים את כתובות הבורסות והארנקים בדפדפן ונכנסים רק משם. תוצאה ראשונה בגוגל היא לפעמים מודעת פישינג.
- בדיקת כתובת כפולה: לפני כל שליחה משווים את תחילת הכתובת ואת סופה. יש נוזקות שמחליפות כתובת שהעתקתם בכתובת של התוקף.
- סיסמה ייחודית לכל בורסה, במנהל סיסמאות. סיסמה ממוחזרת שדלפה מאתר אחר היא דלת כניסה.
- ניקוי הרשאות: אם השתמשתם ב-DeFi, בטלו מדי תקופה הרשאות ישנות שנתתם לחוזים חכמים.
שלושת החוקים שעוצרים כמעט הכל
- אם זה דחוף, זו הונאה. "ההצעה נסגרת בעוד שעה" קיים כדי שלא תספיקו לחשוב.
- אם זה מובטח, זו הונאה. בשוק תנודתי אין תשואה מובטחת, נקודה.
- אם מישהו פנה אליכם ראשון, החשדנות קופצת פי עשרה. תמיכה אמיתית לא מתקשרת ולא שולחת הודעות פרטיות.
שדרוג למתקדמים: רשימת כתובות מאושרות
רוב הבורסות הגדולות מאפשרות להגדיר Withdrawal Whitelist, רשימה סגורה של כתובות שאליהן מותר למשוך, כשכל הוספה של כתובת חדשה דורשת אימות ותקופת המתנה של יום-יומיים. המשמעות: גם אם גנבו לכם את הסיסמה ואת הקוד, התוקף לא יכול למשוך לכתובת שלו בלי לחכות, ובזמן הזה תקבלו התראה ותספיקו לעצור הכל. עשר דקות הגדרה, ושכבת הגנה מהחזקות שיש. מאותה משפחה: נעילת משיכות זמנית אחרי שינוי סיסמה, שמופעלת אוטומטית ברוב הבורסות, היא סיבה לא לכבות התראות מייל.
הדגלים האדומים בפרסומות ובאתרים
- "כתבה" חדשותית על סלב ישראלי שהתעשר מפלטפורמת מסחר. אלה מודעות בתחפושת של אתר חדשות, והפלטפורמה היא חזית להונאה.
- אתר השקעות בלי שם חברה, בלי רישיון מרשות ניירות ערך ובלי כתובת אמיתית. חברה שמנהלת כספים בישראל חייבת רישיון, וזה ניתן לבדיקה במאגר הרשות בחינם.
- "מנהל חשבון אישי" שמלווה אתכם בוואטסאפ ומראה לכם מסך רווחים. המסך מצויר. הרגע שבו תבינו את זה הוא הרגע שתבקשו למשוך.
- בקשה להתקין תוכנת שליטה מרחוק "כדי לעזור לכם להשקיע". זו השתלטות על המחשב והחשבונות.
שיחה אחת שכדאי לעשות עם ההורים
חלק גדול מקורבנות ההונאות הם אנשים מבוגרים שפגשו "יועץ השקעות" בטלפון או בפייסבוק. אם ההורים שלכם באזור הזה, שיחה של חמש דקות שווה הרבה: להסביר שאף גוף אמיתי לא מתקשר להציע השקעת קריפטו, שרווחים על מסך הם לא כסף, ושלפני כל העברה גדולה מתייעצים עם מישהו מהמשפחה. לקבוע מילת קוד משפחתית לבקשות כסף דחופות זה רעיון טוב בכלל, גם נגד הונאות קול משובטות.
נפלתם? זה מה שעושים עכשיו
- מנתקים מיד: מעבירים מה שנשאר לארנק חדש ונקי, מחליפים סיסמאות, מבטלים הרשאות.
- מדווחים לבורסה שדרכה עבר הכסף, לפעמים אפשר להקפיא יעד לפני משיכה.
- מגישים תלונה במשטרה עם כל התיעוד: כתובות, צילומי מסך, התכתבויות.
- ונזהרים מהמכה השנייה: "חברות שחזור כספים" שמבטיחות להחזיר את הגניבה תמורת מקדמה הן כמעט תמיד הונאת המשך שמכוונת בדיוק לקורבנות טריים.
ההגנה הכי טובה היא הרגל, לא מוצר. עשו היום את בדיקת עשר הדקות: 2FA באפליקציה בכל חשבון, seed על נייר בלבד, ומועדפים לכל האתרים שאתם עובדים איתם.
חזרה לבלוג