Fałszywe aplikacje fomo i oszustwa: co jest potwierdzone, a co nie

Jeśli szukałeś frazy fomo app oszustwa z powodu nagłówków o malware z września 2026, zacznij od sprostowania. Te nagłówki nie dotyczyły fałszywej aplikacji fomo.

Aplikacją z tamtej historii był FomoPeek, narzędzie do obserwowania wielorybów, które niosło malware we własnych wydaniach, przez własne konto deweloperskie. SlowMist, firma bezpieczeństwa, która opublikowała analizę 19 września 2026 wspólnie z zespołem bezpieczeństwa OKX, mówi, że nie była to podrobiona aplikacja. Kolizja nazwy z fomo jest jedynym powodem, dla którego wylądowała na listach fałszywych aplikacji fomo.

Prawdziwe podszywanie się pod fomo istnieje. Udokumentowano trzy przypadki, a najnowszy liczy się najbardziej, bo ofiara nie zrobiła niczego, czego zwykłe porady o bezpieczeństwie w krypto każą nie robić.

Czym naprawdę była historia FomoPeek

FomoPeek był prawdziwym produktem z prawdziwymi użytkownikami. Jego wersja 1.1, wydana 9 września 2026, niosła złośliwe moduły. Tak samo wersja 1.2 z 12 września. Wersja 1.3, z 17 września, usunęła je. SlowMist i OKX opublikowały analizę 19 września, a firma Salus wytropiła środki: około 579 984 USDT, z grubsza 580 000 $, dotarło na główny adres atakującego.

Przeczytaj tę liczbę uważnie, bo prawie każdy artykuł, który ją powtarza, przekręca ją. To wpływ na jeden adres. To nie jest zaudytowana suma tego, co stracili poszkodowani, i nikt takiej nie opublikował.

Ta strona nie podaje nazwy dewelopera FomoPeeka ani id jego aplikacji. Jedyne miejsca, w których one występują, to wpisy afiliacyjne i serwisy z kopiami plików IPA, a to nie jest standard warty spełniania na stronie o tym, żeby nie instalować złej rzeczy.

FomoPeek trafia więc na twoją listę lektur jako powód do nieufności wobec aplikacji, którą już zainstalowałeś. Na listę podróbek fomo nie trafia.

Dwie fałszywe strony fomo w rejestrze

Oba przypadki udokumentował PCrisk i oba miały ten sam kształt: skopiuj stronę, podmień jeden przycisk, opróżnij wallet, który się podłączy.

claim-fomo.family, maj 2025

Udokumentowana 9 maja 2025. Imitowała oficjalną stronę i reklamowała wydarzenie dla uprawnionych użytkowników. Przycisk sprawdzenia uprawnień wywoływał podłączenie walleta, a zatwierdzenie tego okienka podpisywało kontrakt drenujący, który szedł po najcenniejsze aktywa, do jakich mógł dotrzeć.

PCrisk mówi wprost, że żadnego takiego wydarzenia fomo nie ma i że prawdziwa platforma nie ma natywnego tokena. Ten drugi szczegół warto zachować. fomo nie ma tokena, więc strona z airdropem, strona z odbiorem nagrody albo sprawdzacz uprawnień jest stroną phishingową, jeszcze zanim dojdziesz do czytania domeny.

fomoo.family, lipiec 2026

Udokumentowana 16 lipca 2026 przez badacza Tomasa Meskauskasa. Kopia strony z podwojoną literą w domenie i jedną funkcjonalną zmianą: przycisk pobierania podmieniono na przycisk podłączenia walleta oferujący MetaMask, Trust Wallet i OKX Wallet. Zatwierdzenie połączenia odpalało drenaż.

Ten przypadek opiera się na jednym raporcie, a strona podobno jest już wyłączona. Żadna liczba straty nigdy dla niej nie została opublikowana. Jeśli zobaczysz jakąś podaną, została wymyślona.

Atak, który powinien zmienić twoją listę kontrolną

Około 8 października 2026 SlowMist udokumentował kradzież około 48 000 $ od jednego użytkownika fomo na webie. Warto przejść tę drogę powoli.

Użytkownik był w webowej aplikacji fomo i kliknął link do projektu przy tokenie, co zabrało go na voltage.family. Ta strona uruchomiła fałszywy krok weryfikacji człowieka, ten rodzaj, który prosi o udowodnienie, że nie jesteś botem. Zamiast zagadki kazała przeciągnąć ikonę na pasek zakładek przeglądarki i ją kliknąć.

Ta ikona była bookmarkletem, czyli zakładką uruchamiającą JavaScript na stronie, którą właśnie przeglądasz. Kliknięty na webowej aplikacji fomo przeczytał pamięć przeglądarki i odesłał tokeny dostępu i odświeżania Privy użytkownika, dane z IndexedDB i dane walleta. Z prawidłowym tokenem sesji atakujący nie potrzebował ani hasła do konta, ani niczego innego.

Teraz część, która ma znaczenie. Ofiara nigdy nie podłączyła walleta. Nigdy nie podpisała transakcji. Nigdy nie wpisała seed phrase i nie mogła tego zrobić, bo wallety fomo są zbudowane na Privy i nie mają seed phrase do wpisania. Zalogowała się przez Google i nie miała tam włączonego uwierzytelniania dwuskładnikowego.

Każda rada o bezpieczeństwie memecoinów, jaką czytałeś, zostawiłaby tę osobę dokładnie tak samo odsłoniętą. „Nigdy nie udostępniaj seed phrase” jest słuszne i bezużyteczne w tym przypadku. Ukradzionym poświadczeniem była żywa sesja.

Własne wskazówki SlowMist po tej sprawie są dość krótkie, żeby je zapamiętać. Prawdziwa weryfikacja nigdy nie każe ci przeciągać niczego na pasek zakładek. Przejrzyj zakładki, które masz, bo taka, której sam nie dodałeś, jest sama w sobie czerwoną flagą. Włącz uwierzytelnianie wieloskładnikowe dla konta, którym się logujesz. A jeśli już uruchomiłeś coś podejrzanego, unieważnij sesje z urządzenia, któremu ufasz, a nie z tego, które to uruchomiło.

Lista kontrolna, dla której ta strona istnieje

To są właściwości, które publikuje fomo. Wszystko inne roszczące sobie prawo do tej nazwy należy do kogoś innego.

Co	Prawdziwe
Aplikacja iOS	fomo - never miss out, id w App Store 6741115427, sprzedawca FOMO Labs Inc.
Pakiet Android	family.fomo.app
Strona	fomo.family
X	x.com/fomo
Discord	discord.gg/fomofamily
Instagram	instagram.com/tryfomo
E-mail wsparcia	support@fomo.family, podany w regulaminie

Strona o pobieraniu fomo app ma oba listingi sklepowe jako linki, co jest bezpieczniejszą drogą niż szukanie w sklepie i wybieranie po ikonie.

Rzeczy, które nie są fomo i ciągle są z nim mylone: konto na X @fomo_lab, czyli niepowiązany projekt NFT; fomo.io, czyli inna firma bez związku z FOMO Labs; aplikacja Fomo w Shopify, która sprzedaje widżety z powiadomieniami dla sklepów od 2015; i kilka niepowiązanych aplikacji w App Store używających słowa FOMO. fomo nie podaje też nigdzie kanału na Telegramie, więc konto na Telegramie oferujące wsparcie fomo nie jest wsparciem fomo. Strona o awariach i wsparciu trzyma aktualną listę kontaktów w jednym miejscu.

Nazwa wydawcy jest sygnałem

Przypadki fałszywych aplikacji z 2026, które zrobiły prawdziwą szkodę, mają jedną wspólną słabość, i nie jest nią ikona ani screenshoty.

Fałszywy Ledger Live w macOS App Store zabrał około 9,5 miliona $ od z grubsza 50 użytkowników w kwietniu 2026. Został opublikowany pod nazwą Leva Heal Limited, firmy bez żadnego związku z Ledgerem. Fałszywy listing Sparrow Wallet na iOS zabrał około 1,8 miliona $ i ściągnął pozew złożony 24 lipca 2026. Prawdziwy Sparrow to oprogramowanie desktopowe i w ogóle nie ma aplikacji na iOS, więc ten listing mógł być tylko fałszywy. Badanie FakeWallet firmy Kaspersky z kwietnia 2026 doliczyło się 26 aplikacji w App Store imitujących Trust Wallet, MetaMask, Ledger i inne.

W każdym przypadku nazwa aplikacji wyglądała dobrze. Linia z wydawcą nie.

Daje ci to dwa nawyki. Czytaj pole sprzedawcy albo dewelopera, a nie tytuł, zanim zainstalujesz. I sprawdzaj je więcej niż raz, bo wersja 1.0 FomoPeeka była czysta, a wersja 1.1 nie. Przeczytaj wydawcę ponownie, kiedy instalujesz na nowo, kiedy konfigurujesz nowy telefon i za każdym razem, kiedy link z czatu albo z odpowiedzi wrzuca cię na stronę sklepu.

fomo nie mówi o tym nic

11 października 2026 nie udało się znaleźć na fomo.family ani na jego blogu żadnego ostrzeżenia o podszywaniu się czy phishingu. Jedyny wpis o bezpieczeństwie to Spotting Scams and Low-Quality Tokens z 25 grudnia 2025, a ten dotyczy oszukańczych tokenów handlowanych na fomo, nie podróbek fomo.

To luka, nie oskarżenie. Wiele aplikacji zostawia to firmom bezpieczeństwa. Znaczy to jednak, że jeśli sprawdzasz, czy coś jest prawdziwe, własna strona fomo niewiele ci pomoże, a taka strona jak ta albo rozbiór czy fomo jest legalne robią pracę, której firma nie wykonała. Jeśli chcesz stronę rejestrową, kto jest właścicielem fomo app ma wpisy i ślad finansowania.

Jeśli myślisz, że już kliknąłeś

Pracuj w tej kolejności, z urządzenia, którego nie używałeś na podejrzanej stronie.

1. Wyloguj się ze wszystkich sesji i unieważnij je, potem zaloguj się ponownie.
2. Zmień hasło do adresu e-mail albo konta Google, którym logujesz się do fomo, i włącz tam uwierzytelnianie dwuskładnikowe. Bez seed phrase w obrazku ten login jest drzwiami wejściowymi.
3. Usuń każdą zakładkę, której sam nie dodałeś.
4. Przenieś środki, których nie możesz stracić, do walleta, którego klucze trzymasz.
5. Napisz na support@fomo.family z godzinami i hashami transakcji i napisz na Discordzie. Nic tutaj nie jest gwarancją odzyskania, a transfery onchain się nie cofają.

Jeszcze jedna rzecz warta oddzielenia. Fałszywa aplikacja i zły token to różne problemy z tym samym końcem, a większość pieniędzy traconych w aplikacjach takich jak fomo idzie na ten drugi. Jeśli gonisz za nowymi coinami, a nie za podróbkami, poradnik o memecoinach na Solanie opisuje honeypoty i pułapki płynnościowe, a problemy z wpłatami opisują awarie zasilania, które zwykle są twoim bankiem, a nie atakiem. Handel memecoinami to spekulacja wysokiego ryzyka, nie inwestowanie, większość osób, które to robią, traci pieniądze, a nic na tej stronie nie jest poradą finansową.