URL (ang. Uniform Resource Locator) to adres internetowy, który wskazuje, gdzie w sieci znajduje się strona, plik lub inny zasób, i jak się z nim połączyć. Dla inwestora umiejętność czytania adresu URL to podstawowa ochrona przed phishingiem – fałszywe strony giełd, brokerów i portfeli kryptowalutowych wyglądają identycznie jak prawdziwe, a różnią się właśnie adresem.
Z czego składa się adres URL
Weźmy przykładowy adres: https://app.przyklad.com:443/konto/wyplata?waluta=usdt#historia.
| Element | W przykładzie | Co oznacza |
|---|---|---|
| Protokół | https:// | sposób połączenia; „s” oznacza szyfrowanie |
| Subdomena | app. | część wyznaczona przez właściciela domeny |
| Domena główna | przyklad.com | kluczowa część – mówi, do kogo należy strona |
| Port | :443 | zwykle pomijany |
| Ścieżka | /konto/wyplata | konkretna podstrona |
| Parametry | ?waluta=usdt | dane przekazywane stronie |
| Fragment | #historia | miejsce na stronie |
Najważniejsza zasada: właściciela strony wyznacza domena główna, czyli to, co stoi bezpośrednio przed pierwszym pojedynczym ukośnikiem „/” i kończy się rozszerzeniem (.com, .pl, .io). Wszystko, co jest po lewej stronie domeny głównej, właściciel może nazwać dowolnie – także nazwą znanej giełdy.
Jak oszuści podrabiają adresy
- Typosquatting – rejestracja domen z literówką: podwojona lub brakująca litera, zamienione litery, inna końcówka (.co zamiast .com).
- Nazwa marki w subdomenie – adres zaczyna się od nazwy giełdy, ale domena główna należy do oszusta.
- Znaki łudząco podobne – cyrylickie „а” zamiast łacińskiego „a”, cyfra 0 zamiast litery o, „rn” udające „m”. Przeglądarki czasem pokazują takie domeny w zapisie punycode zaczynającym się od „xn--”.
- Myślniki i słowa zaufania – dopiski „login”, „secure”, „verify”, „support” mają uśpić czujność.
- Skracacze linków i reklamy w wyszukiwarce – nie widzisz adresu docelowego lub klikasz płatną reklamę podszywającą się pod oficjalną stronę.
Przykład: czytanie podejrzanego linku
Załóżmy, że dostajesz e-mail o „wstrzymanej wypłacie” z linkiem:
https://binance.com.weryfikacja-konta.xyz/login
Czytasz od końca domeny, od pierwszego pojedynczego ukośnika w lewo: domena główna to weryfikacja-konta.xyz. Fragment „binance.com.” to tylko subdomena nadana przez właściciela tej domeny. Strona nie ma nic wspólnego z giełdą, mimo że adres zaczyna się jej nazwą i ma kłódkę HTTPS. Drugi wariant: https://www.blnance.com – litera „l” zamiast „i”. Domena główna jest inna niż oryginalna, więc to także podróbka.
Kłódka w pasku przeglądarki oznacza tylko, że połączenie jest szyfrowane. Nie mówi nic o tym, kto jest po drugiej stronie – certyfikat dla własnej domeny oszust uzyska w kilka minut.
Najczęstsze błędy
- Sprawdzanie tylko początku adresu zamiast domeny głównej.
- Traktowanie kłódki HTTPS jako dowodu, że strona jest prawdziwa.
- Wchodzenie na giełdę przez link z wyszukiwarki, reklamy, e-maila lub komunikatora.
- Klikanie linków od „supportu” na Telegramie lub Discordzie – oficjalne wsparcie nie pisze pierwsze w prywatnej wiadomości.
- Podawanie frazy seed na jakiejkolwiek stronie – żadna prawdziwa usługa jej nie potrzebuje.
Perspektywa tradera
Utrata dostępu do konta giełdowego to ryzyko, którego nie ograniczy żaden stop loss. Dlatego adresy giełd, brokerów i narzędzi, z których korzystasz, zapisz raz w zakładkach i wchodź wyłącznie przez nie. Włącz uwierzytelnianie dwuskładnikowe przez aplikację lub klucz sprzętowy, a na giełdach, które to oferują, ustaw kod antyphishingowy – pojawi się w każdym prawdziwym e-mailu od giełdy. Włącz też białą listę adresów wypłat. Jeśli zdarzy Ci się kliknąć podejrzany link i podać dane, od razu zmień hasło, unieważnij sesje i klucze API i sprawdź historię wypłat.
Najczęstsze pytania
Czym URL różni się od domeny?
Domena to tylko nazwa serwisu, np. przyklad.com. URL to pełny adres, który obejmuje też protokół, ścieżkę i parametry.
Czy kłódka HTTPS oznacza, że strona jest bezpieczna?
Nie. Oznacza szyfrowane połączenie. Fałszywe strony też mają certyfikaty, bo można je uzyskać za darmo dla dowolnej domeny.
Jak sprawdzić, dokąd prowadzi skrócony link?
Najedź na link kursorem lub przytrzymaj go na telefonie, żeby zobaczyć adres. W razie wątpliwości nie klikaj, tylko wejdź na serwis przez własną zakładkę.
Co to jest typosquatting?
Rejestracja domen różniących się od oryginalnej literówką lub końcówką po to, żeby przechwycić ruch osób, które się pomyliły lub nie przyjrzały adresowi.
Co zrobić, jeśli wpisałem dane na fałszywej stronie?
Natychmiast zmień hasło na prawdziwej stronie, wyloguj wszystkie sesje, usuń klucze API i skontaktuj się z oficjalnym wsparciem. Jeśli podałeś frazę seed, przenieś środki do nowego portfela.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
