A kriptopiac szeptember első hetében ismét bebizonyította, hogy a támadók nem egyetlen módszerre építenek: irányítási rendszereket céloznak, okosszerződés-logikát manipulálnak, hardveres tárcák felhasználóit tévesztik meg, és kompromittált közösségimédia-fiókokból indítanak árfolyammozgató kampányokat.
Alig 12 óra alatt négy, egymástól jól elkülönülő incidens került a figyelem középpontjába.
40.196 ETH kerülhetett veszélybe az Olasnál
Az egyik legsúlyosabb eset az Olas – korábbi nevén Autonolas – irányítási rendszerét érintette.
Egy gyanús kormányzási javaslat végrehajtása körülbelül 40.196 ETH, vagyis nagyjából 100.000 dollárnyi vagyon felett adhatott volna ellenőrzést a támadónak. Az eseményről több iparági beszámoló is részletesen beszámolt.
A támadó az „autonolas-deployer.eth” ENS-nevet használta, így a javaslat első ránézésre könnyen összetéveszthető volt egy szokásos treasury-átalakítással. A név azonban nem jelentett valódi kapcsolatot az Olas fejlesztői vagy irányítási csapatával.
A javaslat technikai tartalma ennél jóval veszélyesebb volt: a legitim Autonolas Timelock irányítását egy támadó által ellenőrzött szerződésre ruházta volna át. Ezután az illető módosíthatta volna a treasury szabályait, illetve kezdeményezhette volna a benne lévő eszközök kiutalását.
Az Olas közössége háromnapos időablakot kapott a javaslat elutasítására. Ez az eset ismét rámutatott arra, hogy a decentralizált irányítás nem feltétlenül jelent automatikus biztonságot.
A szavazók sokszor nem a javaslat címét, hanem a szerződés által végrehajtott konkrét műveleteket kötelesek ellenőrizni – ez pedig komoly technikai akadályt jelenthet a kisebb tokenbirtokosok számára.
Reddio: egy könyvelési hiba nyitott utat a támadásnak
Szintén szeptember 5-én támadás érte a Reddio Ethereum-kompatibilis Layer 2 ökoszisztémájához kapcsolódó RedSonic Vaultot. A SlowMist elemzése szerint a veszteség hozzávetőleg 9,25 ETH volt.
A probléma egy cross-vault könyvelési hibából fakadt. A rendszer ugyanazt az stETH-fedezetet egyszerre számolta be az rsvETH és az rsvstETH mögöttes eszközeként.
A támadó ezt egy flash loannal kombinálhatta: nagy mennyiségű stETH-t helyezett el, amivel mesterségesen felhajtotta az rsvETH részesedési árát, majd a megemelt értéken ETH-ra váltotta a tokeneket.
A művelet második lépésében ugyanazt az alapul szolgáló stETH-fedezetet az rsvstETH oldalon is visszaválthatta. Így ugyanaz az eszköz gyakorlatilag kétszer szolgált fedezetként. A tranzakció gyorsan lezajlott, miközben a protokollban alkalmazott 2 százalékos kifizetési korlát nem bizonyult elegendőnek a manipuláció megállítására.
A DeFiLlama adatbázisa az ilyen támadásokat különösen veszélyes kategóriába sorolja, mivel a hibák nem mindig egyetlen sérülékeny funkcióhoz kapcsolódnak. Gyakran több, önmagában működő modul összekapcsolása teremti meg a kihasználható helyzetet.
Hardveres tárcák felhasználóit célozza egy új eszköz
Közben egy állítólagosan „korábban nem kiszivárgott” kriptolopó eszköztár is megjelent az illegális piacokon. A beszámolók szerint a csomagot Ledger- és Trezor-felhasználók megtévesztésére tervezték, ám eddig nem bizonyított, hogy a hardveres tárcákban közvetlen sérülékenységet találtak volna.
A módszer lényege inkább a social engineering: a felhasználót ráveszik egy rosszindulatú tranzakció aláírására. A készlet állítólag több kriptovalutát és EVM-kompatibilis hálózatot támogat, emellett testre szabható címeket, SMS-alapú kommunikációt és előre elkészített csalási sablonokat is kínál.
A közzétett képernyőkép egy Trezor Model T-re emlékeztető tranzakciós ablakot mutat, amelyben egy 5 ETH értékű utalás jóváhagyására próbálják rávenni az áldozatot.
A felület célja nem a készülék feltörése, hanem az, hogy a felhasználó saját kezűleg hagyjon jóvá egy számára kedvezőtlen tranzakciót.
A „one-click” funkcióként hirdetett megoldás azért különösen veszélyes, mert a kezdő felhasználók könnyen azt hihetik: ha a tranzakció a hardveres tárca kijelzőjén jelenik meg, akkor automatikusan biztonságos is.
Ez tévhit. A hardveres tárca a kulcsokat védi, de nem képes megállapítani, hogy a tulajdonos jóhiszemű vagy csalárd szerződést ír alá.
A kriptoipar ismert szereplőit sem kímélik
A támadási hullám közben Jesse Pollak, a Base társalapítója is figyelmeztetést adott ki. Pollak közlése szerint egy, a közösségimédia-fiókjához kapcsolódó külső alkalmazás kompromittálódott, és ezen keresztül csaló tartalmak jelentek meg a profilján.
A bejegyzéseket később törölték, a külső alkalmazások hozzáférését pedig visszavonták. Az X saját biztonsági útmutatója is azt javasolja, hogy fiókfeltörés gyanúja esetén a felhasználók azonnal szüntessék meg az ismeretlen alkalmazások hozzáférését, módosítsák a jelszavukat, és kapcsolják be a kétfaktoros hitelesítést.
Hasonló incidens érintette Shivon Zilis, a Neuralink vezetőjének X-fiókját is. A kompromittált profilról az SLINK nevű memecoinhoz kapcsolódó üzenetek jelentek meg. A történet akkor vált igazán veszélyessé, amikor Elon Musk egy emoji-reakcióval reagált egy kapcsolódó bejegyzésre.
A piac ezt sokan tévesen támogatásként értelmezték. A beszámolók szerint az SLINK kapitalizációja rövid idő alatt több mint 80 millió dollárra emelkedett, majd az árfolyam több mint 95 százalékot zuhant. Ez tankönyvi példája annak, hogyan alakíthat át egyetlen hitelesnek tűnő közösségimédia-jelzés egy ismeretlen tokent pillanatok alatt spekulációs őrületté.
2026-ban több a támadás, de a veszteség nem minden mutató szerint nagyobb
A helyzetet érdemes árnyaltan értékelni. A TRM Labs jelentése szerint 2026 első hat hónapjában 207 kriptovaluta-támadást regisztráltak, ami rekordnak számít. A teljes kár ugyanakkor körülbelül 972 millió dollár volt, jelentősen kevesebb, mint a 2025 első felében mért 2,3 milliárd dollár.
Ez nem azt jelenti, hogy a piac biztonságosabbá vált. Inkább arról van szó, hogy 2025-ben néhány kiugróan nagy támadás torzította felfelé az összesített veszteséget. A kisebb támadások száma tovább emelkedik, és egyre több incidens célozza közvetlenül a felhasználókat, a közösségi fiókokat és a jogosultságkezelési rendszereket.
Ráadásul a fenyegetésekhez a mesterséges intelligencia is új lendületet ad. A dél-koreai Genians biztonsági kutatói szerint a Kimsuky nevű észak-koreai kiberkém-csoport AI-kódoló ügynököket és helyben futtatott nyelvi modelleket is használhat támadási előkészületeihez.
A cél többek között megtévesztő dokumentumok készítése, adatelemzés és a rosszindulatú kód fejlesztésének támogatása.
Összegzés: a felhasználói ellenőrzés marad az utolsó védelmi vonal
A szeptember eleji események közös tanulsága, hogy a kriptobiztonság ma már nem pusztán a privát kulcsok védelméről szól.
A DAO-kormányzásban a javaslatok technikai tartalmát kell ellenőrizni, a DeFi-protokolloknál az eszközök könyvelését, a hardveres tárcáknál pedig minden egyes címzettet és tranzakciós engedélyt.
A magyar és közép-európai felhasználóknak különösen érdemes kerülniük a sürgető, nyereményt vagy gyors hozamot ígérő üzeneteket.
A valódi biztonság nem abból következik, hogy egy bejegyzést ismert profil publikált, vagy hogy egy tranzakció egy népszerű tárcán jelenik meg. A döntő lépés mindig az, hogy a felhasználó megérti-e, mit ír alá.
Olvastad már? Az AMC vezére leállítaná, a Robinhood nem, de ki dönt a részvénytokenekről?
Kriptoworld.hu szerkesztője, a Kriptoworld.hu alapítója
LinkedIn | X (Twitter) | Facebook
A Kriptoworld.hu alapítójaként és szerkesztőjeként írásaiban azt vizsgálom, hogyan alakítják át a gazdasági és technológiai változások az emberek döntéseit, biztonságérzetét és jövőképét. Olyan nézőpontból írok, amely a gyors hírek mögötti következményeket és kérdéseket keresi. Hiszek abban, hogy a kriptovilágról nem csak technikailag, hanem emberi nyelven is lehet hitelesen beszélni. Írásaim célja nem tanácsadás, hanem megértés: segíteni eligazodni egy olyan világban, ahol a pénz, a technológia és a bizalom egyszerre változik.
📅 Megjelenés: 2026. szeptember 7. • 🕓 Utolsó frissítés: 2026. szeptember 7.
✉️ Kapcsolat: [email protected]
Tájékoztatás: A kriptoworld.hu oldalon található információk és elemzések a szerzők magánvéleményét tükrözik. A jelen oldalon megjelenő írások, cikkek nem valósítanak meg a 2007. évi CXXXVIII. törvény (Bszt.) 4. § (2). bek 8. pontja szerinti befektetési elemzést és a 9. pont szerinti befektetési tanácsadást.
Bármely befektetési döntés meghozatala során az adott befektetés megfelelőségét csak az adott befektető személyére szabott vizsgálattal lehet megállapítani, melyre a jelen oldal nem vállalkozik és nem is alkalmas. Az egyes befektetési döntések előtt éppen ezért tájékozódjon részletesen és több forrásból, szükség esetén konzultáljon befektetési tanácsadóval!
A cikkekben megjelenő esetleges hibákért téves információkból eredendő anyagi károkért a kriptoworld.hu felelősséget nem vállal.