امنیت کریپتو؛ از فیشینگ تا کلاهبرداری

در بانک، نگهداری پول با بانک است: بیمه‌ی سپرده، امکان لغو تراکنش اشتباه و پشتیبانی شبانه‌روزی. در کریپتو این لایه‌ی حمایتی وجود ندارد. تراکنشِ بلاک‌چینی وقتی تأیید شد غیرقابل بازگشت است؛ هیچ نهاد مرکزی نمی‌تواند آن را لغو کند یا «پولم را پس بگیر» بگوید. همین ویژگی که بزرگ‌ترین مزیت این فناوری است، مسئولیت را کاملاً روی دوش تو می‌گذارد؛ جایی برای «اشتباه از سر خستگی» باقی نمی‌ماند.

آمار را هم صادقانه ببینیم: در سال ۲۰۲۳ تنها «والت‌درینر»ها — قراردادهای مخربی که با یک امضای اشتباه موجودی کیف پول را خالی می‌کنند — نزدیک به ۳۰۰ میلیون دلار از کاربران برداشتند. قربانی‌ها آدم‌های بی‌سواد یا بی‌احتیاط نبودند؛ خیلی از آن‌ها فقط در یک لحظه‌ی خسته، لینکی را باز کردند و چیزی را امضا کردند که نباید. تفاوتِ قربانی و کاربر امن، هوش نیست؛ فرآیند است.

اما خبر خوب: تقریباً همه‌ی این حملات از یک روزنه وارد می‌شوند — اعتماد به لینک یا مخاطبِ اشتباه. یعنی با چند عادت ساده و مکانیکی می‌توانی بخش بزرگی از ریسک را حذف کنی، بی‌نیاز از دانش فنی عمیق. در ادامه‌ی همین درس، آن چند عادت را یکی‌یکی می‌سازیم.

قبل از امضا چه چیزی را بررسی کنی؟دیاگرام آموزشی

بزرگ‌نمایی

فیشینگ یعنی ساخت نسخه‌ی قلابی از یک سایت واقعی برای دزدیدن اطلاعات ورود تو. دامنه‌ی جعلی با ترفندهای ظریف شبیه اصلی می‌شود: جابه‌جایی دو حرف، یک حرف اضافه، یا «rn» به‌جای «m» که در بعضی فونت‌ها دقیقاً مثل «m» دیده می‌شود. در نگاه عادی فرقی حس نمی‌شود؛ اما نوار آدرس مرورگر هیچ‌وقت دروغ نمی‌گوید. عادتِ حرفه‌ای این است که آدرس را حرف‌به‌حرف بخوانی.

مسیر ورود قربانی معمولاً از جست‌وجو شروع می‌شود: تبلیغ بالای نتایج گوگل می‌تواند دقیقاً همان دام باشد. صفحه‌ی قلابی همان‌قدر شبیه صفحه‌ی ورود صرافی است که رمز و کد 2FA را از تو بگیرد و همان لحظه برای دزد بفرستد. مثال عددی: کاربری با ۲٬۰۰۰ دلار موجودی USDT که اطلاعات ورودش را در چنین صفحه‌ای وارد کند، معمولاً ظرف چند دقیقه و پیش از هر واکنشی، خالی می‌شود.

پادزهر ساده است: آدرس رسمی صرافی را یک‌بار با دقت پیدا کن، بوک‌مارک کن و همیشه فقط از همان بوک‌مارک وارد شو. اپ صرافی را هم فقط از فروشگاه رسمی و با چک‌کردن نام توسعه‌دهنده نصب کن. این دو عادت، عمده‌ی حملات فیشینگ را بی‌اثر می‌کند.

الگوی حمله همیشه یکی است: در گروه یا کانال رسمی پروژه، حسابی با نام و عکس ادمین خودش را به تو می‌رساند: «مشکل حسابت را دیدم؛ برای بررسی به این لینک سر بزن». یادت باشد: ادمین واقعی هرگز اول به تو پیام نمی‌دهد. زیر توییت‌های رسمی هم صف کاملی از «پشتیبانی‌ها» با یوزرنیم‌های تقریباً یکسان منتظرند؛ فقط یک زیرخط یا یک حرف فرق دارند.

این حساب‌ها دو شکار می‌گیرند: اطلاعات ورود با لینک فیشینگ، یا داراییِ مستقیم با گرفتن عبارت بازیابی. مقیاس ماجرا هم کم نیست؛ گزارش‌های امنیتی سال‌های اخیر نشان می‌دهد هر موجِ هماهنگ از این دسته، میلیون‌ها دلار از کاربران جمع می‌کند — و هر قربانی فکر می‌کرد «فقط یک پیام ساده بود».

قاعده‌ی مطلقِ این بخش را حفظ کن: هیچ‌کسِ مشروعی هرگز عبارت بازیابی، رمز یا کد 2FA را از تو نمی‌پرسد — نه ادمین کانال، نه پشتیبانی صرافی، نه مسئول ایرودراپ. هر جا یکی از این سه خواسته شد، خودِ همان پیام گزارشِ کلاهبرداری است؛ بلافاصله گزارش و بلاک کن.

ایرودراپ یعنی پخش رایگان توکن. مشکل از جایی شروع می‌شود که سایت‌های قلابی با وعده‌ی «توکن رایگان» تو را به اتصال کیف پول و امضای یک تراکنش می‌کشانند. امضا برای معامله در صرافی‌های غیرمتمرکز لازم است — درس بعدی همین فصل — اما امضای اشتباه، به‌جای «دریافت هدیه»، یعنی اجازه‌ی برداشت از حساب خودت.

خطرناک‌ترین شکل، امضای «اجازه‌ی نامحدود» یا approve بدون سقف است: خیلی از قراردادها اجازه‌ی دسترسی به یک توکن خاص را بدون محدودیت مبلغ می‌گیرند تا تو هر بار کارمزد ندهی. اگر آن قرارداد مخرب باشد، هر زمان که بخواهد کل موجودی آن توکن را از تو برمی‌دارد — بدون این‌که کلید خصوصی‌ات را بداند. مثال عددی: با موجودی ۲٬۰۰۰ دلار USDT و یک اجازه‌ی نامحدودِ امضاشده، دزد عملاً حقِ برداشتِ ۲٬۰۰۰ دلار را در جیب دارد و در اولین فرصت استفاده‌اش می‌کند.

پادزهر سه‌لایه است: اول، برای ادعای توکن‌های ناشناس اصلاً والت اصلی‌ات را وصل نکن. دوم، قبل از هر امضا بدان چه چیزی امضا می‌کنی؛ اگر عبارت اجازه‌ی نامحدود برای قراردادی ناشناس دیدی، رد کن. سوم، اگر تا امروز با قراردادهای مختلف امضا کرده‌ای، با ابزارهای ابطال اجازه (revoke) دسترسی‌های قدیمی را پس بگیر.

علاوه بر تله‌های نرم‌افزاری، یک لایه‌ی خطر هم در خودِ پروژه‌هاست. پرچم‌های قرمز کلاسیک: تیم کاملاً ناشناس و بی‌سابقه، وعده‌ی سود تضمینی، فشار زمانی («فقط ۲۴ ساعت مانده!»)، پامپ گروهی تلگرامی («همه با هم بخریم تا ۱۰ برابر شود»)، قرارداد بدون ممیزی و توکنومیکس مبهم. هر کدام از این‌ها به‌تنهایی برای دور انداختن پروژه کافی است.

حالا ماشین‌حساب را بردار و وعده‌ها را بسنج؛ این بهترین پادزهر دنیاست. مثال عددی: فرض کن به تو بگویند «۱٪ سود روزانه، تضمینی و بدون ریسک». سودِ مرکبِ ۱٪ روزانه یعنی سرمایه‌ات در پایان سال حدود ۳۸ برابر می‌شود؛ ۱٬۰۰۰ دلار می‌شود حدود ۳۸٬۰۰۰ دلار — بدون این‌که حتی یک روز ضرر بخورد! هیچ نهاد مالی در تاریخ چنین بازدهیِ پایدار نداشته است؛ پس این وعده فقط یک معنا دارد: پولِ تو، هدفِ طرح است.

درباره‌ی پامپ گروهی هم همین منطق کار می‌کند: سازمان‌دهندگان زود خریده‌اند، هیجان می‌سازند و در اوج به تازه‌وارد‌ها می‌فروشند. الگوی همیشگی این است: توکنی در یک ساعت ۳۰۰٪ رشد می‌کند و در ۲۰ دقیقه‌ی بعد ۸۰٪ می‌ریزد. تو در آن ۲۰ دقیقه، سوختِ خروجِ آن‌ها هستی — نه معامله‌گرِ برنده.

2FA یعنی لایه‌ی دوم ورود: بعد از رمز، یک کد یک‌بارمصرف. اما همه‌ی 2FAها هم‌ارز نیستند. ضعیف‌ترین شکل، پیامک است؛ چون سیم‌کارت با یک تماس جعلی قابل بازتنظیم است و پیامک‌ها قابل رهگیری. مهاجمی که کنترل شماره‌ات را بگیرد، کدهای ورود را همان‌جا تحویل می‌گیرد. قوی‌تر از آن، اپ تولید کد است؛ و قوی‌ترین، کلید سخت‌افزاری است که بدون لمسِ فیزیکی، کلاهبردار هیچ راهی ندارد.

رمزهای عبور هم قاعده دارند: هر سرویس، رمز یکتا و طولانی؛ و برای نگهداری‌شان یک مدیر رمز. برای صرافی، یک ایمیل اختصاصی بساز که هیچ‌جا به کار نبرده باشی — این‌طور، هر فیشینگ و نشتیِ ایمیلیِ عمومی، راهی به حساس‌ترین حسابت ندارد.

خیلی از صرافی‌های بزرگ یک قابلیت طلایی دارند: کد آنتی‌فیشینگ؛ کد مخفی‌ای که در همه‌ی ایمیل‌های واقعی صرافی دیده می‌شود. اگر ایمیلی آن کد را نداشت، از صرافی نیست — هر قدر هم شبیه باشد. فعال‌کردنش دو دقیقه وقت می‌گیرد و در درس صرافی متمرکز همین فصل، به همان‌جا برمی‌گردیم.

همه‌ی این درس را می‌شود در هشت بند خلاصه کرد؛ این چک‌لیست را بنویس و هر چند ماه یک‌بار با حساب‌هایت تطبیقش بده. هیچ‌کدام سخت نیست و همه فقط عادت‌اند — اما کنار هم، دیوار اصلی دفاع تو را می‌سازند:

بند پنجم و ششم را با مبالغ واقعی حس کن: هزینه‌ی این دفاع را هم با عدد ببین تا ارزان‌بودنش جا بیفتد. یک کیف پول سخت‌افزاری خوب حدود ۸۰ تا ۱۵۰ دلار است. اگر ۵٬۰۰۰ دلار دارایی کریپتویی داری، این یعنی هزینه‌ی یک‌باره‌ی حدود ۲ تا ۳ درصد برای محافظت از ۱۰۰٪ سرمایه — در برابر ریسکِ باورکردنِ یک لینکِ اشتباه که می‌تواند همان ۱۰۰٪ را صفر کند.

و جمله‌ی آخر این درس، همان جمله‌ی اول بود: در کریپتو تو خودت بانک خودتی. بانک‌ها امنیت را یک «رویداد» نمی‌بینند؛ فرآیندی می‌بینند که مدام تازه می‌شود. تو هم با هر درس از این آکادمی، یک لایه به همین فرآیند اضافه می‌کنی؛ در فصل بعد، وارد عملی‌ترین بخش سطح می‌شویم: انتخاب صرافی و شروع واقعی.