QR code

QR code (ang. Quick Response code), czyli kod QR, to dwuwymiarowy kod graficzny z siatki czarnych i białych modułów, w którym zapisany jest tekst – adres strony, dane kontaktowe albo dane płatności. W kryptowalutach kod QR służy przede wszystkim do przekazania adresu portfela lub faktury płatniczej bez ręcznego przepisywania długiego ciągu znaków.

Największy kod QR mieści do 7 089 cyfr lub 4 296 znaków alfanumerycznych, a dzięki korekcji błędów da się go odczytać nawet wtedy, gdy część obrazu jest zabrudzona lub zasłonięta. Ta sama cecha ma jednak drugą stronę: człowiek nie przeczyta kodu wzrokiem, więc nie wie, co skanuje, dopóki telefon tego nie pokaże.

Co może zawierać kod QR w krypto

Zawartość	Jak wygląda po odczycie	Na co uważać
Sam adres	bc1q…, 0x…	sieć – ten sam adres 0x działa w wielu sieciach EVM
Adres z kwotą (BIP21)	bitcoin:bc1q…?amount=0.0015	kwota w BTC, nie w satoshi
Faktura Lightning (BOLT11)	lnbc15u1p…	faktura wygasa i jest jednorazowa
Link do strony lub aplikacji	https://…	fałszywe strony logowania i „airdropy”
Połączenie z portfelem (np. WalletConnect)	kod parowania	po połączeniu strona może prosić o podpisy

Przykład: odczyt faktury i adresu

Załóżmy, że skanujesz kod z URI bitcoin:bc1q…?amount=0.0015. Portfel wypełni kwotę 0,0015 BTC, czyli 150 000 satoshi. Z kolei faktura Lightning zaczynająca się od lnbc15u oznacza 15 mikrobitcoinów (u = mikro), czyli 0,000015 BTC = 1 500 sat. Portfel pokaże tę kwotę przed zatwierdzeniem – porównaj ją z tym, na co się umawiałeś.

Druga rzecz to sam adres. Popularna rada brzmi: „sprawdź kilka pierwszych i ostatnich znaków”. Warto wiedzieć, ile to daje. Adres bech32 używa 32 znaków. Żeby podrobić adres zgodny w 3 znakach na początku (po bc1q) i 3 na końcu, oszust musi wygenerować średnio około 32⁶ ≈ 1,07 mld adresów – dla komputera to kwestia chwil. Przy 4 + 4 znakach to już około 32⁸ ≈ 1,1 bln prób, znacznie więcej, ale wciąż w zasięgu zdeterminowanego atakującego. Wniosek: sprawdzaj więcej znaków, najlepiej fragment ze środka, a przy dużych kwotach cały adres.

Oszustwa z kodami QR

• Podmieniony kod. Naklejka z kodem oszusta na plakacie, w bankomacie krypto albo w wiadomości, która wygląda na firmową. Płacisz na cudzy adres.
• Quishing. Phishing przez kod QR – e-mail lub list z kodem prowadzącym do fałszywej strony giełdy lub portfela. Kod omija filtry, które sprawdzają linki tekstowe.
• Złośliwe połączenie z portfelem. Kod parowania łączy portfel z oszukańczą stroną, która podsuwa do podpisu zgodę na wydawanie tokenów.
• Kod z frazą seed. Nigdy nie skanuj i nie generuj kodu z frazą odzyskiwania w nieznanej aplikacji. Nikt uczciwy nie poprosi Cię o zeskanowanie seeda.

Najczęstsze błędy

• Brak weryfikacji adresu po zeskanowaniu – „skoro zeskanowałem, to się zgadza”.
• Płacenie starej faktury Lightning lub ponowne użycie kodu z adresem, który odbiorca już zmienił.
• Wybór złej sieci przy wypłacie z giełdy – kod QR zawiera adres, ale nie zawsze informację o sieci.
• Skanowanie kodów aparatem, który automatycznie otwiera linki, bez podglądu adresu strony.
• Publikowanie zrzutu ekranu z kodem QR adresu, który łączy się z Twoją tożsamością.

Perspektywa tradera

Kod QR pojawia się najczęściej przy przelewach między giełdą a portfelem – wtedy, gdy przenosisz depozyt przed transakcją lub wypłacasz zysk. Najpewniejszy sposób to adres z ekranu portfela sprzętowego: urządzenie pokazuje go na własnym wyświetlaczu, niezależnie od zainfekowanego komputera. Przy pierwszym przelewie na nowy adres wyślij małą kwotę testową i dopiero po jej dotarciu resztę. Przy wypłatach z giełdy ustaw białą listę adresów, żeby nawet przejęte konto nie mogło wysłać środków gdzie indziej. Kod QR przyspiesza przelew, ale nie zwalnia z kontroli, bo transakcji w blockchainie nie da się cofnąć.

Najczęstsze pytania

Czy mogę bezpiecznie udostępnić kod QR mojego adresu?

Tak, adres publiczny służy do odbierania środków i nie pozwala ich wydać. Pamiętaj tylko, że każdy, kto go zna, zobaczy saldo i historię tego adresu.

Czym różni się kod QR adresu od faktury Lightning?

Adres on-chain można używać wielokrotnie. Faktura Lightning jest zwykle jednorazowa, ma określoną kwotę i czas ważności – po wygaśnięciu trzeba poprosić o nową.

Jak rozpoznać podmieniony kod QR?

Wzrokiem się nie da. Porównaj odczytany adres z adresem z zaufanego źródła, np. z ekranu portfela odbiorcy albo ustalonym wcześniej kanałem. Naklejka na naklejce to sygnał ostrzegawczy.

Czy kod QR może zawierać wirusa?

Sam kod to tylko tekst. Zagrożeniem jest to, co z nim zrobi telefon lub portfel: otworzy fałszywą stronę, pobierze plik albo połączy się z oszukańczą aplikacją.

Czy kod QR zawiera informację o sieci?

Nie zawsze. URI BIP21 wskazuje Bitcoina, ale sam adres 0x… pasuje do wielu sieci. Sieć wybierasz ręcznie i sprawdzasz, czy odbiorca ją obsługuje.

Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.