Fałszywe inwestycje w kryptowaluty dominują wśród zgłoszeń CSIRT KNF. W 2025 r. zespół zgłosił do blokady 41 751 domen. 40 225 z nich, czyli 96,34%, było związanych z fałszywymi inwestycjami. Punktem wyjścia jest zwykle reklama w mediach społecznościowych z wizerunkiem znanej osoby.
Ten tekst opisuje schemat krok po kroku według Komisji Nadzoru Finansowego, przykład z Płońska z maja 2026 r. oraz sposoby weryfikacji ofert, które wskazują instytucje publiczne.
Spis treści
Schemat krok po kroku według KNF
KNF opisuje ten rodzaj oszustwa na stronie cebrf.knf.gov.pl. Etapy powtarzają się w większości zgłaszanych spraw.
- Reklama. W mediach społecznościowych lub na portalach pojawia się reklama inwestycji. Często wykorzystuje wizerunek polityka, celebryty, sportowca lub dziennikarza.
- Rejestracja. Reklama prowadzi do formularza, w którym podajesz imię, numer telefonu i adres e-mail.
- Telefon od „brokera” lub „opiekuna”. Osoba podająca się za doradcę zachęca do pierwszej, niewielkiej wpłaty.
- Budowanie zaufania. Na panelu inwestycyjnym pojawiają się zyski. Czasem sprawcy wypłacają drobne kwoty, żeby uwiarygodnić platformę. Zyski widoczne na panelu są fikcyjne.
- Zdalny dostęp. Przy próbie wypłaty „opiekun” prosi o instalację programu do zdalnej obsługi komputera, np. AnyDesk lub TeamViewer, i o zalogowanie się do bankowości.
- Opłata przed wypłatą. Pojawia się żądanie zapłaty „podatku”, prowizji lub opłaty za odblokowanie środków. Sprawcy namawiają też do zaciągania kredytów.
- Wyprowadzenie pieniędzy. Środki trafiają do przestępców, także przez giełdy kryptowalut.
KNF opisuje również fałszywe giełdy i portfele, podszywanie się pod pracowników giełd z użyciem AnyDesk, w tym podmianę adresów portfeli, oraz schematy typu pump and dump.
Deepfake w reklamach
Deepfake to nagranie lub obraz wygenerowany albo zmieniony z użyciem sztucznej inteligencji, na którym znana osoba mówi lub robi coś, czego w rzeczywistości nie powiedziała ani nie zrobiła. CSIRT KNF w raporcie za 2025 r. wymienia deepfake’i z politykami, celebrytami i dziennikarzami. KNF prowadzi stronę z przykładami takich materiałów pod adresem cebrf.knf.gov.pl/deepfake.
Gazeta Policyjna CBZC w kwietniu 2025 r. opisała reklamy z wizerunkiem sportowców oraz SMS-y rzekomo wysyłane przez giełdy, w których odbiorca ma „zweryfikować konto”.
Przykład z Płońska, maj 2026
Komenda Powiatowa Policji w Płońsku opisała 27 maja 2026 r. sprawę, która odpowiada schematowi KNF.
- Poszkodowany zobaczył w mediach społecznościowych reklamę z wizerunkiem polityka.
- Wypełnił formularz, po czym zadzwonił do niego „opiekun”.
- Wpłacił 700 zł i zainstalował wskazaną aplikację.
- Na koncie pojawił się fikcyjny zysk w wysokości 22 tys. USD.
- Zaciągnął kredyt na 27 tys. zł i wpłacił te pieniądze w bitomatach.
- Sprawcy zażądali kolejnych 21 tys. zł na „odblokowanie” środków.
Strata wyniosła około 40 tys. zł.
Statystyki CSIRT KNF i CERT Polska
CSIRT KNF w raporcie rocznym za 2025 r. podał:
- 41 751 domen zgłoszonych do blokady,
- 40 225 domen (96,34%) związanych z fałszywymi inwestycjami,
- 9 751 zablokowanych fałszywych reklam,
- wyraźny wzrost liczby reklam „odzyskiwania środków” w porównaniu z 2024 r.
Reklamy „odzyskiwania środków” są kolejnym etapem tego samego problemu. Ich mechanizm opisuje tekst o oszustwie na odzyskanie środków.
CERT Polska w raporcie rocznym za 2025 r., opublikowanym 8 kwietnia 2026 r., podał 658 320 zgłoszeń i 260 783 incydenty. 97% incydentów to oszustwa komputerowe, w tym fałszywe inwestycje. Do Listy Ostrzeżeń CERT w 2025 r. dodano około 250 tys. domen.
Sygnały ostrzegawcze
- Reklama obiecuje wysokie zyski i pokazuje znaną osobę, która rzekomo inwestuje w danej platformie.
- Po wypełnieniu formularza dzwoni „opiekun” i nalega na szybką wpłatę.
- Zyski na panelu rosną szybko, a wypłata wymaga dodatkowej opłaty.
- Ktoś prosi o instalację AnyDesk, TeamViewer lub innego programu do zdalnego dostępu.
- Pojawia się prośba o zalogowanie do bankowości w trakcie rozmowy.
- „Opiekun” proponuje kredyt na dalsze inwestycje.
- Instrukcje obejmują wpłaty w bitomatach lub przelewy na rachunki osób prywatnych.
Jak weryfikować ofertę
Instytucje publiczne udostępniają narzędzia do sprawdzenia podmiotu przed wpłatą.
- Lista ostrzeżeń publicznych KNF na knf.gov.pl. KNF zaznacza, że brak podmiotu na liście nie oznacza, że jest bezpieczny.
- Lista Ostrzeżeń CERT Polska (cert.pl/lista-ostrzezen). Domeny z tej listy są blokowane przez operatorów.
- Tymczasowy rejestr MiCA prowadzony przez ESMA. Zawiera listę dostawców usług kryptoaktywów z zezwoleniem oraz listę podmiotów niezgodnych z MiCA. Sposób wyszukiwania opisuje tekst jak sprawdzić licencję MiCA giełdy.
Obecność w rejestrze ESMA potwierdza zezwolenie konkretnej spółki. Oszuści mogą jednak podszywać się pod podmioty z zezwoleniem, dlatego znaczenie ma zgodność nazwy spółki i adresu strony.
Co zrobić po wpłacie
Rzecznik Finansowy wskazuje kolejność: kontakt z bankiem, zgłoszenie na incydent.cert.pl, zawiadomienie policji i reklamacja w banku. Wpłaty zlecone samodzielnie, np. w bitomacie, mogą nie zostać uznane za transakcje nieautoryzowane. CBZC wskazuje też możliwość zastrzeżenia numeru PESEL. Szczegóły zawiera poradnik co zrobić po oszustwie kryptowalutowym.
Źródła
- knf.gov.pl – CSIRT KNF, raport roczny 2025
- cebrf.knf.gov.pl – KNF, schemat oszustw inwestycyjnych i przykłady deepfake
- knf.gov.pl – Lista ostrzeżeń publicznych KNF
- policja.pl – KPP Płońsk, komunikat o oszustwie inwestycyjnym, 27.05.2026
- Gazeta Policyjna – CBZC, podszywanie się pod znane osoby, 04/2025
- cert.pl – CERT Polska, raport roczny 2025, 8.04.2026
- rf.gov.pl – Rzecznik Finansowy, co zrobić po oszustwie, 27.10.2025
- esma.europa.eu – tymczasowy rejestr MiCA
Kamil prowadzi serwis Krypto Inwestycje od 2014 roku. Pisze o technologii blockchain, bezpieczeństwie portfeli, regulacjach rynku kryptoaktywów (MiCA) oraz o oszustwach, w których wykorzystywane są kryptowaluty. W tekstach opiera się na komunikatach organów nadzoru, rejestrach i oficjalnej dokumentacji projektów. Nie udziela porad inwestycyjnych.