MiCA-csalásokra figyelmeztetnek az uniós felügyeletek

A kriptoeszközök piacairól szóló MiCA-rendelet alapján július 1-jétől uniós engedélyre van szükségük az érintett kriptós szolgáltatóknak. Azok a cégek, amelyek nem kapták meg a jóváhagyást, kötelesek megszüntetni vagy más szolgáltatóhoz áthelyezni az uniós működésüket.

Az engedélyezési fordulópont egyszerre sok céget és ügyfelet érintett. A CoinDesk augusztus közepi összesítése szerint akár 10 millió felhasználó kapott felszólítást arra, hogy vigye át valahova a digitális eszközeit. Éppen ez a tömeges, egy időben zajló szolgáltatóváltás adott lehetőséget a MiCA-csalások terjedéséhez, mert a bűnözők felügyeletnek vagy kriptócégnek adják ki magukat.

A csalók hivatalosnak látszó felületekkel próbálják rávenni az ügyfeleket eszközeik átutalására. Stéphane Pontoizeau, a francia pénzügyi felügyelet, az AMF tisztviselője olyan esetekről számolt be, amelyekben bűnözők az intézmény képviselőinek adták ki magukat.

A támadók hamis weboldalakra irányították a felhasználókat, majd arra kérték őket, hogy oda utalják át az eszközeiket. Az Európai Értékpapír-piaci Hatóság (ESMA) a saját nevével és logójával való visszaélésekről, köztük meghamisított dokumentumokról is tud.

A július 1-jei határidő után több nemzeti hatóság is megszólalt. A holland felügyelet, az AFM úgy látja, hogy maga a szolgáltatóváltás a támadási felület. Ahogy az AFM fogalmazott, a csalók valóban lehetőséget látnak azokban a lakossági befektetőkben, akik éppen engedélyes szolgáltatót keresnek maguknak. A hatóság azt kéri, hogy mindenki ellenőrizze a szolgáltatót a hivatalos ESMA-nyilvántartásban, mielőtt bármit átutal, és minden kéretlen, átutalást kérő megkeresést kezeljen gyanúsan.

Az osztrák felügyelet, az FMA hasonlóan figyelmeztetett. Közlése szerint több száz platform vesztette el a jogi státuszát július 1-jén, ezért a lakossági felhasználóknak a hivatalos adatbázisokban kell ellenőrizniük a szolgáltatót, mielőtt bárhova mozgatják az eszközeiket. Az FMA azt is felvetette, hogy aki saját tárcába viszi a kriptóját, az eleve kikerüli a szolgáltatóváltás körüli csapdákat.

Az AFM és az AMF egy dolgot külön kiemelt. Felügyeletként soha nem kérnek pénzátutalást, és soha nem keresik meg az ügyfeleket privát üzenetben. Az AMF a figyelmeztetéseit a saját honlapján teszi közzé, az AFM pedig az ESMA nyilvántartása mellett a sajátjához is irányítja a befektetőket.

Az AMF szóvivője egy újabb mintát is leírt. Ebben a csalók az intézmény alkalmazottainak adják ki magukat, majd azt állítják, hogy sikerült visszaszerezniük az áldozat korábban elveszített pénzét, és ehhez előre fizetendő ügyintézési díjat kérnek. Vagyis a károsultat másodszor is megkárosítják, immár a segítség ígéretével.

A brit felügyelet, az FCA számokat is közölt erről a mintáról. Náluk 2025 első felében 4 465 bejelentés érkezett hamis FCA-megszemélyesítésről, és 480 áldozat ténylegesen átadott pénzt. Az egyik leggyakoribb történet az volt, hogy a hatóság állítólag pénzt talált egy, az áldozat nevére illegálisan nyitott kriptotárcában. Az FCA arra is felhívta a figyelmet, hogy a csalók egyre gyakrabban használnak képernyőmegosztó szoftvert, hogy az áldozat helyett ők állítsák be a hamis kriptoszámlát.

A helyzetet nehezíti, hogy a valódi tőzsdék most tényleg írnak az ügyfeleiknek kivétről, átutalásról és fiókkorlátozásról. A csalóknak így elég lemásolniuk a valódi értesítők nyelvezetét, és hozzátenni egy határidőt, hogy az üzenet hitelesnek tűnjön.

Az ESMA július végén frissített nyilvántartása 323 olyan kriptocéget tartalmazott, amely addig megszerezte a MiCA szerinti engedélyt. Ez a lista a jóváhagyott szolgáltatókat mutatja, míg a VASPnet korábbi becslése az engedély nélkül maradt cégek várható sorsáról szól.

Az adatszolgáltató több mint 1 700 olyan vállalkozással számolt, amelynek le kell állítania a működését. A két adat együtt érzékelteti, hány szolgáltató és ügyfél kerülhetett átmeneti helyzetbe az engedélyezési határidő után. Az ESMA nyilvántartását követő adatbázisok augusztus közepén 325 engedélyest mutattak, vagyis a különbség a két szám között érdemben nem csökkent.

Az ESMA arra számít, hogy a bűnözők elsősorban az alternatív, engedéllyel rendelkező szolgáltatót kereső ügyfeleket próbálhatják megtéveszteni. Ezek a felhasználók valóban szolgáltatóváltás előtt állnak, ezért egy hivatalos arculatú megkeresés vagy dokumentum könnyebben tűnhet hitelesnek.

Az AMF-nél feltárt esetek alapján a felügyeleti név és logó sem garantálja, hogy valódi megkeresésről van szó. A csalók célja az, hogy az ügyfél a hamis oldalon keresztül közvetlenül nekik utalja át a kriptoeszközeit.

A megszólaló felügyeletek egyetlen tanácsban értettek egyet. Nem elég azt megnézni, hogy a márkanév ismerősen cseng. Azt a konkrét jogi személyt kell megkeresni a nyilvántartásban, amelyik a MiCA-engedélyt birtokolja, és amelyik ténylegesen kiszolgál minket.

Ennek gyakorlati oka van. A MiCA védelme csak akkor él, ha az ügyfelet szabályozott uniós egység szolgálja ki. Ha egy cégcsoport valamelyik tagja rendelkezik engedéllyel, az önmagában nem terjed ki a csoport összes leányvállalatára, és nem jelenti azt, hogy éppen az a szerződő fél áll engedély alatt, akivel a szerződést megkötjük. Ezért érdemes a szolgáltató szerződéses adatai között megkeresni a cégnevet, és azzal a névvel visszanézni az ESMA hivatalos nyilvántartását.

Magyar szolgáltató is szerepel már a listán. A CoinCash kapta Magyarország első MiCA-engedélyét júliusban. Hazai gyanús megkeresésnél a Magyar Nemzeti Bank befektetői figyelmeztetései között is érdemes ellenőrizni a céget.