Egy ismerősöm 2024 nyarán 1 800 USDT-t veszített el azzal, hogy a böngészőjében elmentett kedvencek közül kattintott rá egy bukméker oldalára. A link úgy nézett ki, mint az igazi, csak egyetlen betű különbözött a domainben – az „o” helyén egy cirill betű állt. Bejelentkezett, befizetett, és az érmék soha nem érték el a fogadói számlát. Kilenc év elemzői munka után állítom: az USDT-fogadás technikai része a könnyű, a nehéz mindig az emberi hibát megelőző védekezés.
Ebben az írásban összeszedem azt a hét hibatípust, amely a magyar fogadók pénzének legnagyobb részét eltünteti, és minden ponthoz adok konkrét védekezést. Nincs általánosság, csak az, ami nálam és az olvasóim körében bevált.
A phishing már nem amatőr e-mail, hanem keresőhirdetés
A 2026-os phishing-piac iparággá vált. A Tether 2026. április 23-án egyetlen napon 344 millió dollárnyi USDT-t fagyasztott be a Tron-hálózaton illegális tranzakciók miatt – ez az eddigi legnagyobb egyszeri zárolási akció. Ez a szám részben azt jelzi, mekkora a csalási piac, amelynek célpontja az USDT-tartozó.
A klasszikus „nyertél, kattints ide” e-mail már a 2010-es évek módszere. 2026-ban a támadás úgy néz ki, hogy beírod a Google-be a bukméker nevét, és az első találat egy fizetett hirdetés, amelynek megjelenített URL-je tökéletesnek tűnik, de a kattintás után egy egy karakterrel eltérő domainre visz. Ott egy másolat oldal vár, amely a bejelentkezési adatokat és a 2FA-kódokat továbbküldi a támadónak – valós időben.
Védekezésem három lépcsős. Először: a bukméker domainjét egyszer beírom kézzel, és könyvjelzőként mentem el. Onnantól sosem használom a keresőt belépéshez. Másodszor: minden bukméker számlán hardveres 2FA-t állítok be, lehetőleg fizikai biztonsági kulccsal vagy authenticator alkalmazással. Az SMS-2FA elavult – SIM-swap támadással megkerülhető. Harmadszor: a fizetési oldalon mindig kétszer megnézem a tárcacímet, mielőtt elküldök bármit.
A vágólap-eltérítő, amelyik a tárcacímet kicseréli
Ez a támadás 2023 óta nőtt brutális méretűre, és a magyar fogadók közül sokan találkoztak vele anélkül, hogy tudtak volna róla. A clipboard-hijacker egy malware, amely a számítógépre vagy mobilra települve azt figyeli, mikor másolsz a vágólapra valamit, ami USDT-tárcacímre hasonlít. Amikor elküldené az érméket, behelyettesíti a támadó címét – vizuálisan az első és utolsó néhány karakter ugyanaz lehet, ami megtéveszt.
Egy 32 karakteres TRC-20 cím vagy 42 karakteres ERC-20 cím vége és eleje néha véletlenül is hasonlít. Ha csak a kezdetet és a véget nézed (mert a teljes címet senki nem olvassa el karakterről karakterre), nem veszed észre.
Saját rutinom: minden befizetés előtt ellenőrzöm a cím legalább 8 első és 8 utolsó karakterét, plusz egy random részt középről. Második szabályom: első alkalommal egy kis tesztösszeget küldök – 5 USDT-t. Ha az megérkezik, megyek a teljes összeggel. A 2-3 perc plusz idő és a 0,9 USD körüli TRC-20 díj megspórolja a teljes egyenleget.
A SIM-swap, amelyik a magyar fogadókat is utoléri
A SIM-swap támadás során a csaló átveszi a telefonszámodat a mobilszolgáltatótól – hamis okmánnyal vagy ügyintéző megvesztegetésével. Onnantól a SMS-alapú jelszó-visszaállításokat ő kapja meg. Magyarországon a négy nagy szolgáltatónál is történtek ilyen esetek, és a támadók nemcsak a banki hozzáférést, hanem a kriptotőzsde-fiókokat is megszerezték.
Védekezés: minden olyan fióknál, ahol pénz van – legyen az tőzsde, bukméker vagy bank – kapcsold ki az SMS-alapú visszaállítást, ha lehet. Helyette: jelszókezelő, fizikai biztonsági kulcs, vagy backup-kódok lenyomtatva, fizikai páncélszekrényben tárolva. Tudom, hogy ez paranoiásan hangzik, de a mainstream pénzügyi infrastruktúra már 2026-ban sem védett a célzott támadás ellen.
A fake-bukméker, amelyik tényleg fogad – egy darabig
A legdrágább csalási típus. A támadó felhúz egy működő bukméker-platformot – szépen, profin, gyakran egy ismert white-label szoftverre építve. Befizethetsz, fogadhatsz, sőt nyerhetsz is. A bukás a kifizetésnél jön: KYC-kérés érkezik (annak ellenére, hogy nem volt KYC a beszálláskor), majd „technikai probléma”, „compliance ellenőrzés”, és végül az oldal eltűnik.
A felismeréshez konkrét jelek vannak. Először: bonus-ajánlat, amelyik túl jó. 500% üdvözlő bónusz, 1x-es forgatási követelmény – ilyet egy működő, marzsból élő bukméker nem tud kínálni. Másodszor: a domain regisztrációs kora. A whois-ban néhány hónaposnál fiatalabb domain veszélyes. Harmadszor: a Trustpilot-értékelések profilja. Egy működő bukméker értékelései éveken át, vegyes hangulatban érkeznek; egy csaló oldalon hirtelen, két hét alatt jönnek a hibátlan ötösök, vagy hirtelen tucatnyi 1-csillagos panasz. Negyedszer: a támogatási csatornák. Egy igazi bukméker a felelős játék-eszközöket részletesen kommunikálja. A világ szerencsejátékosainak 2/3-a, akik kriptot is használnak, kockázatos vagy problémás játékos profilt mutat – ez a Grubbs-féle kutatás eredménye, és a rendes bukmékerek erre figyelnek, mert ettől függ a licencük.
A megosztott mobil, amelyik tönkretesz egy fiókot
Apró trivialitás, mégis sokan beleesnek. A 2026-os crypto-fogadások 60-65%-a mobilon zajlik – ez a legnagyobb növekvő szegmens. Ha a telefonod nincs PIN-kóddal, ujjlenyomattal vagy arc-azonosítóval védve, és valaki egy kávészünet alatt megfogja, három percen belül USDT-t küldhet a saját címére a tárcaalkalmazásból.
A védekezés rétegezett: a mobil zárolása plusz a kritikus alkalmazások – tárca, bukméker, e-mail – külön belépési kódja vagy biometriája. A tárcaalkalmazásom mindig rákérdez egy második faktorra, mielőtt aláír egy nagyobb tranzakciót. Ez 2 másodperc plusz idő. Ha valaki ezt sokallja, nem ezt a hobbit kellene űznie.
A hamis frissítés és a rosszindulatú böngészőkiterjesztés
Ha tárcaalkalmazást használsz – Trust Wallet, MetaMask, TronLink – soha ne kattints a böngészőben felugró frissítési ablakra. A valódi frissítések a hivatalos boltból (App Store, Play Store) vagy a hivatalos weboldalról jönnek, beépített frissítőn keresztül. A hamis frissítés egy átirányítás, amely a private key-t kéri vagy a seed-phrase-t – vagyis a tárca teljes hozzáférését.
A böngészőkiterjesztések másik veszélyforrás. Egy 2025-ös eset: egy népszerű kripto-portfólió-figyelő bővítményt egy ismeretlen szereplő felvásárolt, frissítést tolt rá, és az új verzió titokban átírta a vágólapra másolt tárcacímeket. Több ezer felhasználó esett áldozatul, mire a Chrome áruház eltávolította.
Saját szabályom: a böngészőben, amelyikkel fogadok és tárcát kezelek, csak a feltétlenül szükséges bővítmények futnak, és minden hónapban ellenőrzöm, melyik kapott frissítést és milyen jogosultságokkal. Ha lehet, külön böngészőprofilt vagy külön számítógépet használok pénzügyi célra.
Erről a témáról már korábban részletesen írtam – nézd meg a tárcák összehasonlítását, ott a custodial vs non-custodial különbségen keresztül vezetem le, melyik jelent kisebb támadási felületet a hétköznapi fogadónak.
A social engineering, amelyik a kriptotőzsde-támogatásnak adja ki magát
A leggyakoribb mintázat: kapsz egy üzenetet vagy hívást, amely a magyar tőzsdédnek vagy a globális tőzsdének (Coinbase, Binance, Kraken) az „ügyfélszolgálatától” érkezik. Probléma van a számláddal, ki akarják fizetni, csak meg kell adnod a 2FA-kódot vagy egy kis ellenőrző tranzakciót küldened.
Egyetlen valódi tőzsde sem fog soha felhívni vagy üzenetben írni proaktívan, hogy 2FA-kódot kérjen. Egyetlen valódi bukméker sem fog azt kérni, hogy küldj USDT-t egy „ellenőrzéshez”. Ha ilyen kérés érkezik, ne válaszolj, lépj ki a beszélgetésből, és nyisd meg a hivatalos oldalt – a könyvjelzőből, nem a beszélgetésben kapott linkből – hogy ellenőrizd, valóban van-e értesítés a fiókodban.
A támadási felület csökkentése: az én napi rutinom
A védekezés nem egyszeri beállítás, hanem szokás. Ami nálam évek óta működik:
Külön e-mail cím a fogadáshoz és a tőzsdéhez, amelyet sehol máshol nem használok. Az e-mail számlán erős jelszó és hardveres 2FA. A jelszavak jelszókezelőben, és minden fióknál egyedi.
Két tárca: egy kis „forgótőke” tárca, amelyikkel a hetente befizetett 100-300 USDT-t mozgatom, és egy nagyobb hidegtárca a hosszú távú állományra. A forgótőke tárcában csak annyi USDT van, amennyit el tudok veszíteni. A hidegtárcához csak fizikailag, hardveres eszközzel férek hozzá.
Heti egy alkalommal átnézem a tárca-mozgásokat egy blokk-explorerben. Ha bármi olyat látok, amit nem én indítottam, azonnal továbbküldöm a maradékot egy új címre, és újrahúzom a tárcát.
Mit nem tesz meg helyetted senki
Az USDT mint eszköz technológiailag biztonságos. A blokklánc nem hekkelhető meg, a Tether tartalékai nagyrészt T-Bill-ben állnak, a kibocsátó 2022-ben 7 milliárd dollárt fizetett ki 48 óra alatt – bizonyítva a likviditást. A baj mindig az utolsó méteren van: a számítógépeden, a telefonodon, a böngésződben, a fejedben.
Ezért tartok minden új olvasónak egy mondatot: az USDT-vel nem a Tetherrel kötsz szerződést, hanem önmagaddal. A diszciplína, hogy minden befizetés előtt ellenőrzöd a címet, hogy a 2FA-t bekapcsolod, hogy nem kattintasz a hirdetett linkre, hogy nem fogsz mobilból kifizetni 5 000 USDT-t a buszmegállóban – ez az, ami megóvja a pénzedet. A technika csak támogat, a döntés a tiéd.
