ایمنی ایردراپ‌ها؛ تشخیص ایردراپ واقعی از کلاهبرداری کریپتو
ایردراپ واقعی را از کلاهبرداری چطور تشخیص دهی؟ توکن جعلی داخل کیف پول، مجوزهای خطرناک approve، سایت‌های فیشینگ و پنج قاعدهٔ طلایی ایمنی.
یک روز صبح کیف پولت را باز می‌کنی و توکنی ناشناس می‌بینی که ظاهراً «چند هزار دلار» می‌ارزد — همراه با لینکی برای «فعال‌سازی» یا «برداشت». این رایگان‌ترین بستهٔ آموزشی بازار است؛ البته فقط برای کسی که بازش نکند. کلاهبرداریِ ایردراپی دو سازوکارِ اصلی دارد که این نوشته هر دو را باز می‌کند: توکنِ جعلی که خودش طعمه است، و مجوزِ خطرناک که در سایهٔ هیجان، به قراردادی ناشناس امضا می‌شود. اگر اصول کلید خصوصی و عبارت بازیابی برایت تازه است، اولین قدم خواندنِ همان است؛ قواعد عمومی‌اش هم در درس امنیت کریپتو آمده.
توکن جعلی؛ طعمه‌ای که هیچ‌وقت نمی‌توانی بفروشی
هر کسی می‌تواند به آدرسِ عمومیِ تو توکنِ بی‌ارزشی بسازد و بفرستد؛ این کار نه مجوز می‌خواهد نه اجازه. «ارزشِ» نمایش‌داده‌شده در والت از قیمتِ لحظه‌ایِ استخری می‌آید که خودِ سازنده چند دلار نقدینگی گذاشته — عددِ دروغین روی صفحهٔ توست. لینکِ داخلِ توضیحاتِ تراکنش یا سایتِ توکن، دعوت به «متصل‌کردن کیف پول» است؛ و لحظهٔ اتصال، لحظهٔ خطر است. قاعدهٔ ساده: توکنِ ناخواسته را لمس نکن؛ وجودش فقط یعنی آدرست عمومی است و کسی دروغی برایت چیده.
مجوز خطرناک؛ امضایی که کل انبار را می‌دهد
کار با دیفای یعنی approve — اجازه‌دادنِ قرارداد به جابه‌جاییِ توکن‌هایت. دو مشکل این‌جا پنهان است: بسیاری از قراردادها اجازهٔ بی‌نهایت می‌گیرند (تا سقفِ موجودی، برای همیشه)، و بسیاری از سایت‌ها فقط شبیهِ پروژه‌های واقعی‌اند. امضای اشتباه یعنی ساعت‌ها یا ماه‌ها بعد، بدونِ هیچ رمز دومی، توکن‌هایت از همان مجوزِ قدیمی خارج می‌شوند. پادزهر: مجوزِ حداقلی به‌جای بی‌نهایت، بازبینیِ دوره‌ای و لغو (revoke) مجوزهای بی‌استفاده.
پرسش درست؛ سودِ این «هدیه» برای چه کسی است؟
کلاهبرداریِ ایردراپی را با یک پرسش خنثی کن: این هدیه چه سودی برای دهنده دارد؟ پاسخ‌های واقعیِ دنیای تقلب این‌هاست: دیتای تو، دسترسیِ تو، کارمزدِ تو، یا مجوزی که امضا می‌کنی. ایردراپِ واقعی تقریباً همیشه سه نشانه دارد: از قبل در کانال‌های رسمیِ پروژهٔ جاافتاده اعلام شده؛ برای فعالیتِ گذشته‌ات پاداش است، نه برای کاری که «فقط الان» باید بکنی؛ و هیچ‌وقت — هیچ‌وقت — به عبارتِ بازیابی، امضای تراکنشِ ناشناس یا ارسالِ توکنِ پیش‌پرداختی نیاز ندارد.
پنج قاعدهٔ طلایی
- عبارتِ بازیابی و کلیدِ خصوصی را هیچ‌کس و هیچ‌سایتِ هیچ‌وقت نمی‌خواهد؛ اگر خواستند، موضوع تمام است — ببند و برو.
- دامنهٔ سایت را حرف‌به‌حرف با منبعِ رسمی مقایسه کن؛ تفاوتِ یک حرف، تمامِ تفاوت است.
- قبل از هر تعامل، آدرسِ قرارداد را در اکسپلورر چک کن؛ روشش در درس راهنمای اکسپلورر بلاکچین است.
- برای ایردراپ و آزمودن پروژه‌های ناشناس، والتِ جدا بساز؛ کیفِ اصلی را از قراردادهای تازه دور نگه دار.
- مجوزهای فعال را دوره‌ای بازبینی و اضافه‌ها را لغو کن؛ امضای امروز، بدهیِ فردای توست.
ایردراپ واقعی چه شکلی است؟
پاداشِ کاربرانِ قدیمی یا فعالِ یک پروتکلِ شناخته‌شده، با اعلامِ عمومیِ قبلی، تاریخِ مشخص و بدونِ درخواستِ چیزی جز آدرسِ عمومی — که خودش به‌تنهایی راز نیست. حتی در این حالت هم انتظارت را از «ثروتِ یک‌شبه» به «پاداشِ کوچکِ خوشایند» تنظیم کن؛ ایردراپ‌های بزرگِ تاریخی هم پس از توزیع، فشارِ فروشِ خودشان را داشته‌اند. بازیِ بلندمدتِ این فضا شناختنِ سازوکارهاست، نه شکارِ هدیه.
کلاهبردار از طمع استفاده نمی‌کند؛ از هیجانِ «رایگان» استفاده می‌کند — و رایگان، گران‌ترین قیمتِ بازار است.
قدم بعدی: درس امنیت کریپتو را کامل بخوان و اگر تا حالا با سایت‌های مشکوک تعامل داشته‌ای، مرورِ مجوزها و کلیدها را در درس کلید خصوصی و عبارت بازیابی از اول بگذر؛ بقیهٔ آموزش کریپتو را هم دنبال کن.
مطالب مرتبط
ساختار کامل تحلیل و مدیریت ریسک را در مسیر آموزشی یاد بگیر — از سطح یک، رایگان.