„Panie dyżurny! Zostałem oszukany na kryptowaluty”
14.10.2026 • Damian Dejewski, Michał Bielański, Daniel Machczyński
Pokrzywdzeni w wyniku oszustwa, którzy przybywają do jednostek Policji, aby złożyć zawiadomienie, zwykle mówią to samo: „Wpłaciłem pieniądze na inwestycję i nie mogę ich odzyskać”. Brzmi prosto, ale za tym jednym zdaniem najczęściej stoi cała historia, na którą składa się wiele wątków: reklama w mediach społecznościowych, telefon od tzw. doradcy, konto na platformie, której nikt wcześniej nie widział, kolejne wpłaty, program do zdalnego dostępu zainstalowany „żeby pomóc”, a na końcu pieniądze, które zniknęły gdzieś w sieci portfeli kryptowalutowych. I co dalej? Postępowanie i proces gromadzenia dowodów, czyli droga do odtworzenia przebiegu przestępczej „operacji” i wykrycia sprawcy przestępstwa.
Historia z życia wzięta…
Pan Tomasz, 49 lat, administrator sieci w średniej firmie logistycznej, zgłosił sprawę w czwartek rano, zanim jeszcze poszedł do pracy. Trafił na reklamę na Facebooku, krótki film, w którym znany ekonomista miał opowiadać o „autorskim algorytmie”, który sam kupuje i sprzedaje kryptowaluty na kilkunastu giełdach jednocześnie, wykorzystując arbitraż, czyli różnice kursowe między nimi.
Film wyglądał na fragment prawdziwego wywiadu, dobrze zmontowany, z logo znanej stacji w rogu ekranu. Pan Tomasz, kiedyś już interesował się kryptowalutami i giełdami, a pojęcie arbitrażu było mu znajome, a jako informatyk, uznał, że akurat on rozpoznałby z daleka oszustwo. Tutaj nic nie budziło cienia wątpliwości. Tak mu się wydawało…
Skuszony atrakcyjną ofertą zostawił e-mail i numer w formularzu. Po jakimś czasie odezwał się do niego „opiekun klienta”, spokojny, konkretny, prowadził rozmowę swobodnie, nie naciskał, nie namawiał. Założenie konta na platformie zajęło dziesięć minut, panel wyglądał profesjonalnie, z wykresami, historią transakcji i licencją maklerską rzekomo wydaną na Cyprze.
Pierwsza wpłata 2 tysiące złotych poszła na tzw. test. Po tygodniu panel finansowy pokazywał kwotę 4200 złotych. Pan Tomasz postanowił wypłacić 1000 złotych, żeby sprawdzić, czy dostęp do zgromadzonych pieniędzy nie jest w żaden sposób utrudniony. Następnego dnia otrzymał przelew, co bardziej utwierdziło go w przekonaniu, że jest to nie tylko intratne, ale i prawdziwe. Zachęcony dalszym zyskiem wpłacił kolejno 25 tysięcy złotych, potem 70 tysięcy złotych z lokaty, w końcu 20 tysięcy złotych z pożyczki gotówkowej w banku, bo opiekun tłumaczył, że algorytm wchodzi właśnie w „okno wysokiej zmienności”, które nie powtórzy się przez kolejny rok. Dlatego też gotów był podjąć ryzyko i pieniędzmi z pożyczki zwiększyć możliwość dalszego inwestowania w kryptowaluty, a co za tym szło kolejnych zysków.
W trakcie zakładania konta opiekun poprosił o zainstalowanie programu do zdalnego dostępu, żeby – jak to określił: „przyspieszyć weryfikację tożsamości”. Pan Tomasz, który zdążył już uwierzyć w legalność serwisu, przystał na to – niczego nie podejrzewając. Może dlatego, że rozmowa trwała już wtedy trzeci tydzień i zawiązała się już pewna nić zaufania do opiekuna, który wydawał się wiarygodny.
Gdy saldo w panelu inwestycyjnym pokazało 640 tysięcy złotych i pan Tomasz spróbował wypłacić całość, wtedy system zażądał wniesienia tzw. opłaty płynnościowej w wysokości 42 tysięcy złotych, bez której transakcja mogła zostać zablokowana przez system AML giełdy. Do Pana Tomasza zadzwonił pracownik rzekomego działu AML. Już nie był miły, rozpoczęło się naciskanie i straszenie dodatkowymi opłatami. Pan Tomasz zapłacił, korzystając z drugiej pożyczki. Pierwszy szok nastąpił, kiedy wypłata nie nastąpiła. Kontaktujący się z nim opiekun najpierw naciskał na kolejne wpłaty, opłaty transakcyjne i podatki, a gdy prawdopodobnie zauważył, że nie da się już nic „wyciągać” od klienta, to przestał odpisywać, a dzień później zamiast panelu, Pan Tomasz ujrzał napis: „Ta witryna jest nieosiągalna”. Dopiero wtedy doszło do niego, jak sprytnie został zmanipulowany, wprowadzony w błąd i oszukany, tracąc przy tym znaczne środki finansowe. Skierował swoje kroki do najbliższej jednostki Policji: „Panie dyżurny! Zostałem oszukany na kryptowaluty”.
Zdjęcie: Wygenerowane przez AI
I co teraz? Czas i co jeszcze?
Przyjęcie takiego zgłoszenia to nie jest formalność polegająca na spisaniu kwoty i podpięciu potwierdzenia przelewu. To moment, w którym trzeba zabezpieczyć wszystko, co pozwoli później odtworzyć mechanizm działania sprawców i jeśli jeszcze jest na to czas, spróbować zablokować środki, zanim rozpłyną się w kolejnych transakcjach.
Rozmowa z pokrzywdzonym, od początku, krok po kroku
Najlepiej działa przesłuchanie prowadzone chronologicznie od pierwszego kontaktu z ofertą aż do chwili, gdy ofiara zorientowała się, że coś jest nie tak. W przypadku pana Tomasza tym pierwszym kontaktem był film reklamowy z fałszywym wizerunkiem znanej osoby, co samo w sobie jest ważną informacją dla sprawy: taki materiał zwykle krąży po wielu profilach i grupach jednocześnie, więc warto od razu zabezpieczyć link do reklamy, jej identyfikator i konto, z którego była publikowana, zanim zniknie.
Warto dopytać nie tylko o kwoty, ale też o wszystkie okoliczności:
- Jak wyglądał pierwszy kontakt?
- Czy to była reklama wideo, telefon, e-mail czy wiadomość na komunikatorze?
- Kto odezwał się pierwszy?
- Jak przedstawiała się osoba podająca się za opiekuna klienta czy doradcę?
- Jakiej firmy, giełdy lub licencji rzekomo dotyczyła oferta?
Istotne są też szczegóły, które łatwo pominąć:
- Jakimi numerami telefonów i adresami e-mail posługiwali się rozmówcy?
- Z jakich komunikatorów korzystali?
- Czy pokrzywdzony zakładał konto samodzielnie czy „z pomocą” rozmówcy?
- Jakie linki oraz domeny mu przesyłano?
- Kiedy i w jakich kwotach wpłacał pieniądze?
- Na jakie rachunki lub adresy portfeli kryptowalutowych je kierowano?
- Czy na platformie pokazywano fikcyjne zyski?
- Czy w pewnym momencie zażądano dodatkowej wpłaty, rzekomo na podatek, prowizję, opłatę płynnościową czy „odblokowanie” wypłaty?
Warto też ustalić moment, w którym kontakt się urwał albo stał się nagle trudniejszy.
Jest jeszcze rzecz, którą łatwo przeoczyć, a która jest bardzo ważna:
- Czy po ujawnieniu oszustwa ktoś zgłosił się do pokrzywdzonego z ofertą „odzyskania pieniędzy” za opłatą?
Może to być kolejna próba wyłudzenia, ale równie dobrze sygnał, że dane ofiary trafiły już do innej grupy przestępczej.
Czego zażądać od pokrzywdzonego?
Zrzuty ekranu to za mało. Trzeba poprosić o cały materiał, jaki pokrzywdzony jest w stanie zgromadzić. Jaki? Najbardziej liczą się potwierdzenia przelewów, ale też pełna historia rachunku, nie tylko z okresu wpłat, lecz również sprzed pierwszej i po ostatniej transakcji. Przydadzą się dane odbiorców, tytuły przelewów, potwierdzenia wpłat gotówkowych i płatności kartą, a także ślady po wpłatomatach kryptowalut (tzw. Bitomatach) czy kantorach kryptowalutowych oraz historia rachunków prowadzonych przez fintechy, takie jak Revolut czy ZEN.
W sprawie pana Tomasza istotne okazały się przelewy SEPA – dotyczące na pierwszy rzut oka transakcji na maltański rachunek bankowy. Po weryfikacji okazało się, że jest to rachunek do bezpośrednich wpłat EURO do znanej giełdy kryptowalut.
Jeśli w grę wchodziły kryptowaluty, potrzebny będzie adres portfela nadawcy i odbiorcy, hash transakcji, nazwa sieci, rodzaj aktywa, data, godzina i kwota, a do tego historia operacji z giełdy w formie eksportu PDF lub CSV.
Co istotne? – hash transakcji zawsze należy sprawdzić w eksploratorze odpowiedniej sieci. Z jednej strony sprawcy potrafią podsunąć sfabrykowany numer adresy portfeli albo zrzut ekranu udający prawdziwą operację w celu uwiarygodnienia, a z drugiej nawet drobna literówka w przepisywaniu adresu może dać fałszywie negatywny wynik poprawności adresu.
Warto też pamiętać, że transfer tokenu, na przykład USDT, może być widoczny w zupełnie innym miejscu eksploratora niż klasyczna transakcja natywnej kryptowaluty sieci, łatwo go przeoczyć, jeśli nie sprawdzi się właściwej zakładki. Narzędzie blockscan.com wskaże zarówno token, jak i sieci, w których wykonywane były transakcje dla danego portfela.
Z komunikatorów i poczty warto wykonać szczegółowy eksport. Pełne rozmowy z WhatsAppa wraz z multimediami, eksport z aplikacji Telegram czy Signal, SMS-y, e-maile, historię połączeń, nagrania rozmów, jeśli istnieją, przesłane umowy i regulaminy, numery telefonów, adresy e-mail, identyfikatory kont i pseudonimy, wreszcie wszystkie linki, jakie kiedykolwiek przesłano ofierze.
Pojedynczy zrzut ekranu rzadko pokazuje całość, brakuje na nim daty, numeru rozmówcy albo dalszego ciągu korespondencji. Tam, gdzie to możliwe, lepiej postarać się o pełny eksport rozmowy albo po prostu zbadać samo urządzenie. W sprawie pana Tomasza pełny eksport korespondencji z „opiekunem klienta” pokazał później te same charakterystyczne sformułowania dotyczące „okna wysokiej zmienności”, linki do filmów edukacyjnych na YouTube i comiesięczne biuletyny inwestycyjne przygotowywane przez oszustów, które pojawiały się już w dwóch innych zgłoszeniach złożonych w sąsiednich powiatach.
Rachunek odbiorcy i ludzie, przez których „przepłynęły” pieniądze
Gdy już wiadomo, na jaki rachunek trafiły pieniądze, kolejnym krokiem jest ustalenie:
- Kto jest jego posiadaczem?
- Jak wyglądała historia operacji i dokąd środki popłynęły dalej?
Zależnie od etapu postępowania – może się to wiązać z wystąpieniem o zwolnienie z tajemnicy bankowej.
Warto sprawdzić:
- Kto naprawdę posiadał rachunek?
- Kto miał do niego dostęp?
- Czy należał do osoby fizycznej czy firmy?
- Czy odbiorca miał konta w innych bankach?
- Dokąd trafiły pieniądze, czy wypłacono je w gotówce, kupiono za nie kryptowalutę, wykorzystano bitomat albo przesłano do zagranicznej instytucji płatniczej?
- Czy dany rachunek pojawiał się już w innych postępowaniach?
Jeżeli pieniądze przeszły przez osobę trzecią, nie wystarczy ustalić jej danych. Trzeba sprawdzić, co z nimi zrobiła. Taka osoba może być świadomym uczestnikiem procederu albo równie dobrze twierdzić, czasem słusznie, że sama padła ofiarą wciągnięcia w cudzy schemat.
Pytania do „słupa” albo pośrednika
Przesłuchując osobę, przez której rachunek przepłynęły pieniądze, warto odtworzyć całą drogę środków.
Pomocne bywają pytania:
- Czy zna osobę, od której pochodziły wpłaty?
- W jakich okolicznościach otrzymała pierwszy przelew?
- Kto polecił jej przyjmowanie albo przekazywanie pieniędzy?
- Jak przedstawiała się osoba wydająca instrukcje?
- Jakim kanałem prowadzono kontakt?
- Jakie rachunki i adresy portfeli otrzymywała?
- Jakie były kwoty i częstotliwość wpływów?
- Co działo się z pieniędzmi po ich otrzymaniu, wypłata gotówki, dalszy przelew, wpłata do bitomatu, zakup kryptowaluty?
- Czy dostawała za to prowizję?
- Czy miała wątpliwości co do legalności całej operacji?
- Jakimi dowodami, wiadomościami, instrukcjami, potwierdzeniami, dysponuje?
Jeśli twierdzi, że pieniądze poszły dalej, powinna umieć wskazać konkretny rachunek lub portfel, datę, kwotę i sposób przekazania. Bez tego jej wyjaśnienia zostają tylko deklaracją.
Zdalny dostęp do komputera, ślad, którego nie wolno zignorować
Jeśli w sprawie pojawia się AnyDesk, TeamViewer, Supremo, RustDesk czy podobny program, to nie jest szczegół techniczny, to często kluczowy dowód. Sprawcy wykorzystują takie narzędzia, żeby obserwować ekran ofiary, logować się do banku, zakładać konta czy samodzielnie kupować kryptowalutę i zaciągać pożyczki na poczet oszustwa.
Sprawa pana Tomasza pokazuje przy tym, że doświadczenie techniczne pokrzywdzonego nie ma tu żadnego znaczenia, instaluje się przecież narzędzie, które samo w sobie jest legalne i powszechnie używane w pracy zdalnej, tylko wykorzystywane w złych rękach.
Dlatego trzeba ustalić, kto kazał zainstalować program, a także:
- Kiedy to się stało?
- Jaki identyfikator urządzenia przekazano rozmówcy?
- Czy włączono dostęp bez nadzoru?
- Czy podczas sesji logowano się do banku lub giełdy?
- Czy operacje wykonywał sam sprawca?
- Czy aplikacja działała jeszcze po zakończeniu kontaktu?
- Czy w systemie pojawiły się jakieś nowe programy lub konta użytkowników?
Tu warto zachować szczególną ostrożność procesową, ponieważ pochopne odinstalowanie programu, sformatowanie dysku czy przywrócenie ustawień fabrycznych potrafi bezpowrotnie zniszczyć dowody.
Zgodnie ze sztuką informatyki śledczej, takie urządzenie należy zabezpieczyć do badania informatycznego, wykonać kopię nośnika i dopiero wtedy zająć się logami aplikacji, historią sesji, adresami IP, plikami konfiguracyjnymi, historią logowania, pobranymi plikami czy skryptami uruchamianymi automatycznie przy starcie systemu.
Warto też sprawdzić, czy na urządzeniu nie zostawiono furtki umożliwiającej ponowne połączenie, czegoś w rodzaju backdoora.
Domena, czyli infrastruktura oszustwa
Fałszywa platforma inwestycyjna to nie jest tylko strona internetowa, to fragment większej infrastruktury przestępczej, a sama nazwa domeny potrafi zaprowadzić do rejestratora, hostingu, powiązanych domen, a czasem nawet innych, wcześniejszych postępowań.
Zabezpieczenia wymaga pełna nazwa domeny, adresy podstron logowania i panelu inwestora, zrzuty ekranu, regulamin i dokumenty dostępne na stronie, dane rejestratora, data rejestracji, serwery nazw, rekordy DNS, w tym historyczne, adresy IPv4 i IPv6, dane hostingu i informacje o ewentualnej usłudze CDN (np. Cloudflare).
Nawet nieaktywna domena zwykle zostawia po sobie ślad, historyczne rekordy DNS pozwalają odtworzyć – jaki adres IP obsługiwał stronę w czasie, gdy dochodziło do oszustwa. Bywa to nieocenione, gdy sprawcy przenieśli już całą infrastrukturę gdzie indziej, tak jak stało się to dzień po ostatniej wpłacie pana Tomasza.
Jeśli strona korzystała z CDN-u, prawdziwy serwer źródłowy może być ukryty, wtedy trzeba dążyć do ustalenia faktycznego adresu IP i dopiero z tym kierować zapytania do operatora hostingu.
Dane o domenach, rachunkach, numerach telefonów i portfelach warto sprawdzać w ERCDŚ. Często okazuje się, że ta sama platforma, ten sam rachunek albo ten sam adres portfela wraca w kilku różnych sprawach prowadzonych zupełnie niezależnie od siebie tak, jak w przypadku panelu wykorzystanego wobec pana Tomasza.
Numery telefonów i adresy IP
Numer telefonu warto zweryfikować pod kątem operatora, kraju rejestracji i ewentualnej cesji, sprawcy chętnie korzystają z numerów VoIP, numerów zagranicznych i usług podmieniających numer wyświetlany rozmówcy. Zależnie od podstawy prawnej można dążyć do uzyskania danych abonenta, informacji o aktywacji i cesji numeru, billingów, danych urządzeń i logowań, adresów IP, a w przypadku VoIP, danych operatora hurtowego.
Adresy IP mogą pochodzić z wielu miejsc naraz: z logów zdalnego pulpitu, z logów fałszywej platformy, z poczty elektronicznej, z panelu giełdy, z systemu obsługującego domenę albo z logowań do bankowości. Sam adres IP nikogo jeszcze nie identyfikuje, trzeba zestawić go z czasem połączenia, strefą czasową, rodzajem usługi i możliwością korzystania z VPN, VPS, NAT-u czy publicznego Wi-Fi. Dopiero razem z resztą materiału zaczyna coś mówić.
Śledzenie kryptowalut, gdzie naprawdę trafiły pieniądze
Analizę blockchaina zaczyna się od potwierdzenia pierwszej transakcji wskazanej przez pokrzywdzonego – co do czasu zaistnienia, wartości i celu, a potem odtwarza się kolejne kroki:
- Czy środki trafiały na jeden adres?
- Czy były rozdrabniane pomiędzy wiele portfeli?
- Czy wymieniano je na inne aktywa? Czy przechodziły między różnymi sieciami?
- Czy trafiały na zdecentralizowane giełdy, przechodziły przez mosty międzyłańcuchowe, docierały do giełdy scentralizowanej albo lądowały w usłudze utrudniającym dalszą identyfikację?
W Bitcoinie analiza opiera się głównie na wejściach i wyjściach transakcji oraz odróżnieniu adresu odbiorcy od adresu reszty. W sieciach opartych na modelu salda, Ethereum, TRON, BNB Chain – trzeba dodatkowo prześledzić transfery tokenów i operacje wewnętrzne smart kontraktów, bo klasyczna historia transakcji tego nie pokaże.
Samo narysowanie schematu przepływu środków to jednak nie cel sam w sobie. Chodzi o to, żeby dotrzeć do podmiotu, który zna tożsamość użytkownika, ma jego dane KYC, historię logowań, adres. Jeśli aktywa wciąż leżą na koncie giełdowym, jest realna szansa na ich zabezpieczenie.
Co powinien zawierać wniosek do giełdy?
Ogólny opis oszustwa to za mało, giełda potrzebuje konkretów: adresu portfela, hasha transakcji, nazwy sieci, rodzaju aktywa, daty i kwoty operacji, numeru rachunku lub identyfikatora wpłaty, sygnatury postępowania i podstawy prawnej.
Warto od razu wskazać, czego się żąda, zabezpieczenia środków, danych konta i UID, danych KYC, historii operacji, logów logowania oraz informacji o powiązanych rachunkach bankowych i portfelach.
Takie wnioski najlepiej kierować oficjalnymi kanałami przeznaczonymi dla organów ścigania jak Kodex Global, czy dedykowany LERS (ang. Law Enforcement Request System), a poza tym przez kanały wskazane bezpośrednio przez daną giełdę. W przypadku podmiotów zagranicznych trzeba dodatkowo dobrać właściwy tryb współpracy i uwzględnić wymogi formalne konkretnego państwa.
Do czego to wszystko prowadzi?
W sprawach oszustw inwestycyjnych i kryptowalutowych nic nie działa w pojedynkę. Potwierdzenie przelewu pokazuje tylko, dokąd wysłano pieniądze. Korespondencja z komunikatora wyjaśnia, kto i jak namówił do wpłaty. Domena zdradza infrastrukturę. Logi zdalnego pulpitu potrafią ujawnić adres IP. Blockchain pozwala śledzić dalszą drogę środków. Dane z giełdy mogą wreszcie doprowadzić do konkretnego człowieka.
Dopiero złożone razem wymienione elementy dają pełny obraz, tak jak w sprawie pana Tomasza, gdzie dopiero zestawienie korespondencji, historii domeny i śladu blockchainowego pozwoliło powiązać jego zgłoszenie z dwoma innymi, prowadzonymi wcześniej niezależnie.
