Airdropy krypto: jak działają, jak uniknąć drainerów i jak wygląda podatek w Polsce

Jak działa airdrop[1]

Airdrop to tokeny, które projekt wysyła na adresy portfeli. Według MetaMask najczęściej jest to nagroda za korzystanie z dapp albo sieci, czasem po prostu promocja nowego projektu. Wartość takich tokenów nigdy nie jest gwarantowana i często jest znikoma.

Dla tradera memecoinów są dwa rodzaje airdropów. Pierwszy to dystrybucja, o której projekt informuje oficjalnie, zwykle z claimem na własnej stronie. Drugi to tokeny, które same pojawiają się w portfelu bez żadnej zapowiedzi. Ten drugi przypadek to w praktyce najczęściej przynęta, o czym niżej.

Obcy token w portfelu: nie dotykaj[6][4][1]

Blockchain jest otwarty, więc każdy może wysłać token albo NFT na Twój adres bez Twojej zgody. Phantom podkreśla, że samo otrzymanie takiego aktywa nie oznacza, że portfel został przejęty. Nieznane aktywa to zwykle spam, a ich linków i instrukcji nie należy otwierać.

Scam zaczyna się od tego, że token wygląda na wartościowy. Według ethereum.org oszuści wysyłają duże salda fałszywego tokena na adresy, które prawdopodobnie mają prawdziwy, a saldo i historia transferów nic nie dowodzą, bo ustawia je twórca kontraktu. MetaMask opisuje też wariant, w którym komunikat błędu na stronie transakcji w eksploratorze kieruje na fałszywą stronę.

W Phantom taki token zgłosisz jako spam: zgłoszenie go ukrywa i pomaga poprawić wykrywanie spamu. Nie próbuj go sprzedać ani wymienić przez stronę z jego opisu.

• Nie otwieraj linków z nazwy, opisu ani metadanych tokena
• Nie łącz portfela ze stroną, na którą kieruje token
• Ukryj albo zgłoś token jako spam w portfelu
• Ticker i nazwa niczego nie dowodzą, liczy się adres kontraktu

Fałszywe strony do claimu[3][4][1]

Typowy schemat: token trafia do portfela, a jego opis kieruje na stronę, gdzie trzeba go odebrać. Według ethereum.org taka strona prosi o połączenie portfela i zatwierdzenie transakcji, która w rzeczywistości oddaje oszustowi dostęp do konta albo wysyła mu środki.

Fałszywe strony bywają prawie identycznymi kopiami prawdziwych. Ethereum.org ostrzega, że podgląd linku na X może pokazywać znaną nazwę, a prowadzić gdzie indziej. Sprawdzaj domenę po każdym kliknięciu i otwieraj znane serwisy z zakładek.

Najprostsza reguła: żadna prawdziwa usługa, support ani strona nie poprosi o seed phrase ani klucz prywatny. Kto je ma, może opróżnić wszystkie konta.

Approval drainery: zgoda na wydawanie tokenów[3][5]

Na sieciach EVM, takich jak Ethereum, Base czy BNB Chain, kontrakt może przenosić Twoje tokeny tylko wtedy, gdy wcześniej dasz mu approve, czyli limit wydatków. Drainer to strona, która prosi o taki approve pod pretekstem claimu, a potem wyciąga tokeny.

Ethereum.org radzi nie dawać kontraktom nieograniczonego limitu, bo nieograniczony approve może pozwolić kontraktowi opróżnić portfel. Ustaw limit tylko na kwotę potrzebną do danej transakcji.

Stare zgody można odwołać, czyli zrobić revoke. Narzędzie wymienione przez ethereum.org, na przykład Revoke.cash albo checker zgód w Etherscan, pokazuje aktywne approve i pozwala je cofnąć. Revoke to zwykła transakcja, więc płacisz za nią gas. Odwołanie zgody nie zamyka pozycji w stakingu ani w puli.

• Czytaj, o co prosi transakcja, zanim ją podpiszesz
• Approve tylko na potrzebną kwotę, nie nieograniczony
• Raz na jakiś czas przejrzyj aktywne zgody i odwołaj zbędne
• Sieć w portfelu i w narzędziu do revoke musi być ta sama

Signature phishing i Permit2[2]

Nie każda kradzież wymaga transakcji. MetaMask opisuje signature phishing: fałszywa dapp prosi o podpisanie wiadomości off-chain, a oszust używa podpisu później. Taki podpis nie trafia do sieci, więc strona może go wykorzystać, kiedy zechce, a treść podpisu jest trudna do przeczytania.

Przykładem jest Permit2, kontrakt zgód Uniswap, który łączy approve i akcję w jeden krok na podstawie podpisu off-chain. Według MetaMask ryzyko polega na tym, że podpis nie jest zapisany on-chain, więc trudniej go wyśledzić, a może być ważny przez ustalony czas. Kradzież może więc nastąpić nawet po tygodniach.

Jeśli podpisałeś coś ryzykownego, MetaMask radzi szybko odwołać zgodę, na przykład przez revoke.cash, albo przenieść zagrożone tokeny na inne konto, bo zgody Permit2 dotyczą tylko konta, którym podpisano wiadomość.

Jak sprawdzić, czy airdrop jest prawdziwy[4][1]

Punktem wyjścia jest ogłoszenie projektu w jego oficjalnym kanale, a nie token, który pojawił się w portfelu. Adres strony do claimu i adres kontraktu tokena porównaj z tym, co podaje oficjalna strona emitenta. Według ethereum.org fałszywy token może skopiować nazwę i symbol, ale nie może mieć tego samego adresu kontraktu.

MetaMask podpowiada trzy pytania: czy token pokazuje się z włączonym wykrywaniem tokenów, czy eksplorator, na przykład Etherscan albo BscScan, oznacza go jako scam, i czy projekt ma stronę, aktywną społeczność i spójne kanały. Ethereum.org dodaje, że oznaczenie w Etherscan jest pomocne, ale nie jest źródłem rozstrzygającym. W razie wątpliwości nie ryzykuj.

• Ogłoszenie w oficjalnym kanale projektu
• Domena strony do claimu zgodna z oficjalną
• Adres kontraktu zgodny z podanym przez emitenta
• Brak prośby o seed phrase i o nieograniczony approve
• Do claimu osobny portfel z niewielkim saldem

Airdrop a podatek: co mówią przepisy i interpretacje[7][8][9][10]

Ministerstwo Finansów na podatki.gov.pl opisuje opodatkowanie odpłatnego zbycia kryptowalut: wymiany na pieniądze, towar, usługę lub prawo majątkowe inne niż waluta wirtualna oraz regulowania nią zobowiązań. Wymiana krypto na krypto nie jest opodatkowana, stawka wynosi 19%, a PIT-38 składa się od 15 lutego do 30 kwietnia roku następującego po roku podatkowym. Strona ta w ogóle nie wspomina o airdropach.

Stanowisko organów wynika z interpretacji indywidualnych. W interpretacji z 10 czerwca 2025 roku (0113-KDIPT2-3.4011.186.2025.4.JŚ) Dyrektor Krajowej Informacji Skarbowej uznał, że już w momencie otrzymania walut wirtualnych w ramach airdropu powstaje przychód z praw majątkowych na podstawie art. 18 w związku z art. 11 ust. 1 ustawy o PIT, w wysokości ich wartości ustalonej według cen rynkowych. Podobnie wypowiedział się w interpretacji z 13 czerwca 2025 roku (0112-KDIL2-2.4011.234.2025.3.AA).

W interpretacji z 10 października 2025 roku (0115-KDIT1.4011.558.2025.2.MK) organ dodał, że wartość przychodu z airdropu stanowi jednocześnie koszt nabycia tych walut wirtualnych na podstawie art. 22 ust. 1d. Przy późniejszej sprzedaży za złotówki nie płaci się więc drugi raz od tej samej kwoty. Wartość przeliczono tam na złote po średnim kursie NBP z ostatniego dnia roboczego przed dniem uzyskania przychodu.

Podatnicy we wnioskach powołują się na wyroki wojewódzkich sądów administracyjnych, według których przychód powstaje dopiero przy odpłatnym zbyciu. Wtedy w chwili otrzymania nie ma podatku, ale airdrop nie ma też kosztu nabycia, więc cała kwota ze sprzedaży za pieniądze jest przychodem w PIT-38. Wyrok WSA w Poznaniu w tej sprawie opisujemy w poradniku o PIT-38.

• Stanowisko organów z 2025 roku: przychód w chwili otrzymania, według wartości rynkowej
• Ta wartość jest potem kosztem nabycia przy sprzedaży (interpretacja z 10.10.2025)
• Stanowisko z orzeczeń WSA: przychód dopiero przy zbyciu, koszt nabycia wynosi zero
• Wymiana airdropu na inne krypto, według MF, nie jest odpłatnym zbyciem
• Interpretacja chroni tylko tego, kto o nią wystąpił

Co zapisać przy każdym airdropie[10][7]

Niezależnie od tego, które stanowisko przyjmiesz, potrzebujesz danych z dnia otrzymania i z dnia sprzedaży. Interpretacja z października 2025 roku pokazuje, jak organ ustala wartość: kurs tokena z dnia wpływu na portfel, przeliczony na złote po średnim kursie NBP. Zapisz to od razu, bo kurs świeżego tokena trudno później odtworzyć.

• Data i godzina wpływu tokenów oraz hash transakcji
• Adres kontraktu tokena i sieć
• Liczba tokenów i ich kurs w dniu otrzymania, ze źródłem kursu
• Kurs średni NBP z ostatniego dnia roboczego przed tym dniem
• Data, kwota i hash sprzedaży albo wymiany