# Kradzieże z hot walletów — jak chronić kryptowaluty "nie łączyć portfela z dApps"

- Autor: [Dariusz](https://www.motacrypto.pl/autor)
- Opublikowano: 26 października 2026
- Kategoria: [Poradniki](https://www.motacrypto.pl/kategoria/poradniki)
- Tagi: Hack, Bezpieczeństwo, Hot Wallet
- Źródło: https://www.motacrypto.pl/wpis/kradzieze-z-hot-walletow-jak-chronic-kryptowaluty-nie-laczyc-portfela-z-dapps

**Poradnik bezpieczeństwa Web3 | Październik 2026**

Hot wallety umożliwiają szybkie zarządzanie kryptowalutami, ale ich bezpieczeństwo zależy nie tylko od aplikacji. Ogromne znaczenie ma ochrona kluczy prywatnych, sposób zatwierdzania transakcji i zachowanie użytkownika.

Jednym z najskuteczniejszych sposobów ograniczenia ryzyka jest oddzielenie portfela do przechowywania oszczędności od portfela używanego do interakcji z aplikacjami Web3.

## 1. Jak dochodzi do kradzieży z hot walletów?

Nie każda kradzież wymaga włamania do portfela. Oszuści często wykorzystują błędy użytkowników, fałszywe strony i mechanizmy autoryzacji blockchaina.

**Najczęstsze scenariusze:**

- **Phishing:** fałszywa strona podszywa się pod giełdę, portfel, projekt lub airdrop i wyłudza dane albo nakłania do podpisania transakcji.
- **Wallet drainer:** złośliwy serwis nakłania użytkownika do zatwierdzenia operacji, która pozwala przenieść jego aktywa.
- **Złośliwe token approvals:** użytkownik przyznaje kontraktowi prawo do wydawania tokenów, czasem bez ograniczenia kwotowego.
- **Kradzież seeda lub klucza prywatnego:** atakujący uzyskuje bezpośrednią kontrolę nad portfelem.
- **Malware:** złośliwe oprogramowanie może kraść dane, przejmować sesje lub podmieniać adres odbiorcy.
- **Ataki na protokoły i infrastrukturę:** nawet ostrożny użytkownik może ponieść stratę wskutek błędu kontraktu lub przejęcia uprawnień administracyjnych przez atakujących.

Chainalysis opisał rozwój ataków typu crypto drainer i phishingu związanego z fałszywymi airdropami. Raporty tej firmy pokazują również, że zagrożenia obejmują zarówno indywidualne portfele, jak i infrastrukturę dużych usług kryptowalutowych.

Źródła:

- Chainalysis — [Understanding Crypto Drainers](https://www.chainalysis.com/blog/crypto-drainers/)
- Chainalysis — [2025 Crypto Crime Report](https://www.chainalysis.com/wp-content/uploads/2025/03/the-2025-crypto-crime-report-release.pdf)

## 2. Czy wystarczy nigdy nie podłączać portfela do dApps?

To bardzo dobra zasada dla portfela, który ma służyć wyłącznie do przechowywania kryptowalut. Nie należy jednak przedstawiać jej jako gwarancji bezpieczeństwa.

Portfel może zostać przejęty również przez ujawnienie seeda, zainfekowane urządzenie, złośliwe rozszerzenie przeglądarki lub niebezpieczny proces odzyskiwania konta.

Warto stosować trzy oddzielne portfele:

**Portfel główny — długoterminowe przechowywanie**

- Nie łącz go z aplikacjami DeFi, NFT ani serwisami airdropowymi.
- Rozważ portfel sprzętowy, którego klucze prywatne pozostają offline.
- Używaj go do przechowywania, odbierania i wykonywania niezbędnych transferów.

**Portfel operacyjny — codzienne transakcje**

- Trzymaj na nim tylko środki potrzebne do bieżących operacji.
- Weryfikuj adresy, sieci i szczegóły transakcji.
- Nie traktuj go jako miejsca na wszystkie oszczędności.

**Portfel testowy — eksperymenty Web3**

- Używaj go do testowania nowych protokołów i interakcji z nieznanymi projektami.
- Nie przechowuj na nim istotnych oszczędności.
- Zakładaj, że środki w tym portfelu mogą zostać utracone.

Oddzielne portfele ograniczają skutki pojedynczego błędu, ale nie chronią przed ujawnieniem wspólnej frazy odzyskiwania ani przed złośliwym oprogramowaniem, które przejmie wszystkie używane urządzenia.

## 3. Seed phrase — sekret, którego nie wolno ujawniać

Fraza odzyskiwania, nazywana seed phrase lub Secret Recovery Phrase, pozwala odtworzyć portfel. Kto ją pozna, może uzyskać kontrolę nad środkami przypisanymi do danego sekretu.

**Nigdy nie wpisuj frazy odzyskiwania na stronie internetowej, nie wysyłaj jej do supportu i nie udostępniaj jej w wiadomościach.**

Zasady ochrony:

1. Zapisz frazę offline.
2. Przechowuj ją w miejscu zabezpieczonym przed kradzieżą, ogniem i zalaniem.
3. Nie rób zrzutów ekranu ani zdjęć seeda.
4. Nie przechowuj go w poczcie, komunikatorach ani zwykłych plikach w chmurze.
5. Nigdy nie korzystaj z gotowej frazy odzyskiwania dostarczonej przez sprzedawcę portfela sprzętowego.

Żadna legalna usługa nie powinna wymagać przekazania jej Twojej frazy odzyskiwania w celu „weryfikacji” portfela.

Źródło: [Ethereum.org — Security and scam prevention](https://ethereum.org/security/)

## 4. Podpisywanie transakcji — najczęściej niedoceniane zagrożenie

Podpis nie zawsze oznacza zwykłe potwierdzenie logowania. Zależnie od rodzaju operacji może autoryzować transfer, przyznawać uprawnienia do tokenów lub potwierdzać inne działanie w blockchainie.

Przed podpisaniem sprawdź:

- jaki kontrakt lub adres jest odbiorcą;
- jaką kwotę i jakie aktywa obejmuje operacja;
- czy przyznajesz uprawnienie do wydawania tokenów;
- czy limit wydatków jest określony, czy nieograniczony;
- czy rozumiesz znaczenie podpisywanej wiadomości.

Nie podpisuj operacji, której treści nie rozumiesz. Jeśli portfel pokazuje niezrozumiałe dane lub ostrzega przed ryzykiem, przerwij działanie.

Źródła:

- [MetaMask — What is a token approval?](https://support.metamask.io/tl/stay-safe/safety-in-web3/what-is-a-token-approval/)
- [Coinbase — Dapp permissions and token approvals](https://help.coinbase.com/en-sg/wallet/security/dapp-permissions-token-approvals)

## 5. Dlaczego odłączenie portfela nie zawsze wystarcza?

To istotna różnica techniczna.

**Odłączenie dApp i cofnięcie uprawnienia tokenowego to dwie różne operacje.**

Odłączenie zazwyczaj usuwa połączenie aplikacji z portfelem i ogranicza dostęp do informacji udostępnianych przez to połączenie. Nie musi jednak anulować uprawnień zapisanych wcześniej w blockchainie.

Jeżeli zatwierdziłeś kontrakt, który może wydawać Twoje tokeny, uprawnienie może pozostać aktywne nawet po zamknięciu strony.

Co zrobić:

1. Otwórz oficjalny interfejs portfela lub zaufany eksplorator odpowiedniej sieci.
2. Sprawdź aktywne uprawnienia tokenowe.
3. Zidentyfikuj kontrakty, których już nie używasz lub którym nie ufasz.
4. Cofnij niepotrzebne uprawnienia.
5. Sprawdź potwierdzenie transakcji cofającej uprawnienie.

Cofnięcie uprawnienia może wymagać opłaty sieciowej. Należy również pamiętać, że nie wszystkie sieci i rodzaje uprawnień obsługują identyczne mechanizmy.

Źródła:

- [Coinbase — Manage dapp permissions and token approvals](https://help.coinbase.com/en-sg/wallet/security/dapp-permissions-token-approvals)
- [MetaMask — How to revoke smart contract allowances](https://support.metamask.io/more-web3/learn/how-to-revoke-smart-contract-allowances-token-approvals/)

## 6. Czy portfel sprzętowy jest bezpieczniejszy?

Portfel sprzętowy przechowuje klucze prywatne w odizolowanym urządzeniu, co ogranicza ryzyko ich kradzieży przez złośliwe oprogramowanie na komputerze. Nie eliminuje jednak wszystkich zagrożeń.

Nadal można:

- podpisać złośliwą transakcję;
- zatwierdzić niebezpieczne uprawnienie;
- ujawnić frazę odzyskiwania;
- paść ofiarą oszustwa podczas konfiguracji lub odzyskiwania portfela.

W praktyce warto kupować urządzenia z oficjalnego źródła, samodzielnie przeprowadzać konfigurację i sprawdzać adres odbiorcy na ekranie urządzenia przed zatwierdzeniem transferu.

Źródło: [Ethereum.org — Security](https://ethereum.org/security/)

## 7. Co zrobić, gdy podejrzewasz kradzież?

Jeżeli podejrzewasz, że portfel został przejęty, nie podpisuj kolejnych transakcji i nie korzystaj z linków przesyłanych przez osoby oferujące pomoc.

1. Jeśli ujawniono seed lub klucz prywatny, utwórz nowy portfel z nową frazą odzyskiwania.
2. Przygotuj bezpieczne urządzenie, zanim przeniesiesz pozostałe środki.
3. Jeśli możesz bezpiecznie wykonać transfer, przenieś aktywa na nowy adres. Sprawdź właściwą sieć i adres odbiorcy.
4. Cofnij niebezpieczne uprawnienia, jeśli nadal są aktywne.
5. Zachowaj hashe transakcji, adresy, zrzuty ekranu i korespondencję.
6. Zabezpiecz powiązane konta giełdowe, pocztę i uwierzytelnianie dwuskładnikowe.

Nie ma gwarancji odzyskania środków po potwierdzonej transakcji blockchain. Uważaj na osoby obiecujące odzyskanie kryptowalut za opłatą — mogą próbować dokonać kolejnego oszustwa.

Źródło: [Ethereum.org — Scam help and reporting](https://ethereum.org/community/support/scams/)

## 8. Lista kontrolna bezpieczeństwa

- Nie udostępniam seed phrase ani kluczy prywatnych.
- Portfel główny nie jest używany do eksperymentów z dApps.
- Mam oddzielny portfel do interakcji z Web3.
- Sprawdzam adres i sieć przed wysyłką.
- Nie podpisuję niezrozumiałych transakcji.
- Regularnie przeglądam uprawnienia tokenowe.
- Seed nie znajduje się w telefonie ani w chmurze.
- Aktualizuję system i aplikacje portfela.
- Wiem, jak postąpić w razie podejrzenia przejęcia portfela.

## Podsumowanie

Najprostsza strategia dla osoby, która chce głównie przechowywać kryptowaluty, to ograniczyć liczbę interakcji z kontraktami, oddzielić portfel główny od operacyjnego i chronić frazę odzyskiwania offline.

**Brak połączeń z dApps zmniejsza ekspozycję na część ataków, ale nie daje stuprocentowej gwarancji bezpieczeństwa.**

### Źródła

1. Ethereum.org — [Security and scam prevention](https://ethereum.org/security/)
2. Ethereum.org — [Scam help and reporting](https://ethereum.org/community/support/scams/)
3. Coinbase — [Dapp permissions and token approvals](https://help.coinbase.com/en-sg/wallet/security/dapp-permissions-token-approvals)
4. MetaMask — [Revoke smart contract allowances](https://support.metamask.io/more-web3/learn/how-to-revoke-smart-contract-allowances-token-approvals/)
5. MetaMask — [What is a token approval?](https://support.metamask.io/tl/stay-safe/safety-in-web3/what-is-a-token-approval/)
6. Chainalysis — [Understanding Crypto Drainers](https://www.chainalysis.com/blog/crypto-drainers/)
7. Chainalysis — [2025 Crypto Crime Report](https://www.chainalysis.com/wp-content/uploads/2025/03/the-2025-crypto-crime-report-release.pdf)

*Materiał edukacyjny. Nie stanowi porady inwestycyjnej ani gwarancji bezpieczeństwa aktywów.*

---

*Artykuł ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej ani porady prawnej czy podatkowej. Inwestowanie w kryptowaluty wiąże się z wysokim ryzykiem utraty kapitału.*