پیامی در تلگرام می‌رسد: «کیف پول شما برای دریافت ۵۰ تتر هدیه انتخاب شده؛ برای فعال‌سازی، ولت را به این سایت وصل کنید.» چند دقیقه بعد، موجودی تتر ولت صفر است. فیشینگ ارز دیجیتال یعنی همین: مهاجم به‌جای شکستن رمز یا نفوذ فنی به کیف پول، خود شما را فریب می‌دهد تا عبارت بازیابی را وارد کنید، تراکنشی مخرب را امضا کنید یا تتر را به آدرسی بفرستید که شبیه آدرس درست است. خبر خوب این است که تقریبا همه‌ی این حمله‌ها پیش از وقوع نشانه دارند و با چند عادت ساده می‌شود جلویشان را گرفت.
فیشینگ ارز دیجیتال چیست و چرا تتر هدف اصلی است
در فیشینگ، ابزار حمله اعتماد شماست: یک سایت، اپلیکیشن، پیام یا آدرس جعلی که ظاهرش با نمونه‌ی واقعی مو نمی‌زند. تفاوتش با هک کیف پول در این است که در فیشینگ، کلید یا مجوز را خود کاربر تحویل می‌دهد و تراکنش از نگاه شبکه کاملا معتبر است. به همین دلیل هیچ دکمه‌ای برای لغو آن وجود ندارد.
تتر از رایج‌ترین دارایی‌های کاربران ایرانی است و بیشتر روی شبکه‌ی ترون (TRC20) و در کیف پول‌هایی مثل تراست ولت و ترون‌لینک نگهداری می‌شود. همین تمرکز، کار مهاجم را ساده می‌کند: یک قالب فریب برای هزاران نفر کار می‌کند و تتر دزدیده‌شده هم سریع جابه‌جا و نقد می‌شود.
سایت و اپلیکیشن جعلی کیف پول و صرافی: نشانه‌ها
رایج‌ترین الگو، نسخه‌ی تقلبی یک کیف پول یا صرافی شناخته‌شده است که از راه تبلیغ در موتور جست‌وجو، لینک در کانال تلگرامی یا فایل APK دست‌به‌دست می‌شود. هدف تقریبا همیشه یکی است: گرفتن عبارت بازیابی (۱۲ یا ۲۴ کلمه) یا رمز حساب صرافی.
- دامنه‌ی نزدیک به اصل: یک حرف جابه‌جا، خط تیره‌ی اضافه یا پسوند متفاوت. آدرس را حرف‌به‌حرف بخوانید، نه با یک نگاه.
- درخواست عبارت بازیابی: هیچ کیف پول یا صرافی واقعی برای «همگام‌سازی»، «احراز هویت» یا «رفع مشکل» عبارت بازیابی نمی‌خواهد. این درخواست به‌تنهایی برای تشخیص جعلی بودن کافی است.
- فایل نصبی خارج از فروشگاه رسمی: اپلیکیشن کیف پولی که از لینک تلگرامی نصب می‌شود می‌تواند عبارت بازیابی را هنگام ساخت یا وارد کردن ولت برای مهاجم بفرستد.
- فوریت مصنوعی: شمارش معکوس، تهدید به مسدود شدن حساب یا «آخرین فرصت دریافت پاداش».
عادت امن: آدرس سایت کیف پول و صرافی را یک بار از منبع رسمی بوکمارک کنید و همیشه از همان باز کنید، نه از نتیجه‌ی تبلیغاتی جست‌وجو یا لینک پیام.
لینک اتصال و امضای مخرب: مجوزی که تتر را خالی می‌کند
در این الگو مهاجم اصلا به عبارت بازیابی نیاز ندارد. شما را به یک سایت به‌ظاهر معتبر (ایردراپ، استخر سود، بازی یا «تایید کیف پول») می‌کشاند و از شما می‌خواهد ولت را وصل کنید و یک درخواست را تایید کنید. آن درخواست معمولا یکی از این دو است:
- مجوز خرج توکن (Approve): به یک قرارداد هوشمند اجازه می‌دهید تا سقفی مشخص، و گاهی نامحدود، از تتر شما را منتقل کند. پس از تایید، مهاجم هر زمان بخواهد تتر را بیرون می‌کشد، حتی روزها بعد.
- تغییر دسترسی حساب در ترون: در شبکه‌ی ترون می‌شود کلیدهای کنترل‌کننده‌ی حساب را تغییر داد. اگر چنین تراکنشی را امضا کنید، ممکن است کنترل ولت به آدرس دیگری منتقل شود و شما دیگر نتوانید از آن برداشت کنید، در حالی که موجودی هنوز روی صفحه دیده می‌شود.
قاعده‌ی ساده: هر پنجره‌ی تایید را تا آخر بخوانید و اگر نمی‌دانید چه چیزی را امضا می‌کنید، امضا نکنید. برای بررسی و لغو مجوزهای قدیمی، چک‌لیست امنیت کیف پول تراست ولت را ببینید.
آدرس مشابه در تاریخچه تراکنش: چرا کپی از تاریخچه خطرناک است
این الگو که به آن «مسموم‌سازی آدرس» هم می‌گویند، بی‌صداترین نوع فیشینگ است. مهاجم آدرسی می‌سازد که چند کاراکتر اول و آخرش دقیقا مثل آدرسی است که شما زیاد با آن تراکنش دارید؛ مثلا آدرس صرافی یا طرف معامله‌ی همیشگی. بعد یک تراکنش با مبلغ صفر یا خیلی کم به ولت شما می‌فرستد تا این آدرس در تاریخچه بنشیند.
دفعه‌ی بعد که برای انتقال تتر سراغ تاریخچه می‌روید و آدرس را از آن‌جا کپی می‌کنید، به‌احتمال زیاد آدرس مهاجم را برداشته‌اید. چون بیشتر کاربران فقط ابتدا و انتهای آدرس را نگاه می‌کنند، فریب کار می‌کند. نشانه‌اش تراکنش‌های ریز و ناشناس در تاریخچه است که شما درخواستشان نکرده‌اید.
فیشینگ در تلگرام و پیام‌رسان‌ها: پشتیبانی جعلی و هدیه تتر
بیشتر حمله‌ها علیه کاربران ایرانی از تلگرام و واتس‌اپ شروع می‌شود. الگوهای تکراری:
- پشتیبانی جعلی: بعد از اینکه در گروهی درباره‌ی مشکل برداشت سؤال می‌کنید، «کارشناس پشتیبانی» پیام خصوصی می‌دهد و لینک «رفع مشکل» می‌فرستد. پشتیبانی واقعی صرافی‌ها و کیف پول‌ها معمولا شروع‌کننده‌ی پیام خصوصی نیست.
- هدیه یا ایردراپ تتر: وعده‌ی تتر رایگان در ازای اتصال ولت یا پرداخت «کارمزد آزادسازی».
- سود تومانی تضمینی: کانال‌هایی که سود روزانه وعده می‌دهند و برای «ثبت سرمایه» آدرس واریز یا لینک اتصال می‌فرستند.
- حساب جعلی فروشنده: کپی پروفایل یک فروشنده‌ی معتبر با یک حرف تفاوت در نام کاربری، و ارسال آدرس ولت خودش برای دریافت تتر.
برای آشنایی با بقیه‌ی شیوه‌های کلاهبرداری و مسیر گزارش آن، مقاله‌ی ستون ما یعنی راهنمای کلاهبرداری ارز دیجیتال و گزارش به پلیس فتا را بخوانید.
قبل از ارسال تتر: مقایسه کامل آدرس و بررسی ریسک آن
بیشتر ضررهای فیشینگ در لحظه‌ی ارسال قطعی می‌شوند. این چک‌لیست را قبل از هر انتقال مهم اجرا کنید:
| مرحله | چه کار کنید | جلوی کدام الگو را می‌گیرد |
|---|---|---|
| منبع آدرس | آدرس را از منبع اصلی (صفحه‌ی واریز صرافی یا پیام تاییدشده‌ی طرف معامله) بگیرید، نه از تاریخچه‌ی تراکنش | آدرس مشابه |
| مقایسه‌ی کامل | کل آدرس را بخش‌به‌بخش با منبع مقایسه کنید، نه فقط چند کاراکتر اول و آخر | آدرس مشابه، حساب جعلی فروشنده |
| شبکه | مطمئن شوید شبکه‌ی ارسال با شبکه‌ی مقصد یکی است (مثلا TRC20) | اشتباه انسانی زیر فشار زمان |
| تراکنش آزمایشی | برای مبلغ بزرگ، اول مبلغی کم بفرستید و دریافتش را از طرف مقابل تایید بگیرید | آدرس جعلی |
| ریسک آدرس مقصد | آدرس را در SafeON بررسی کنید تا امتیاز ریسک و دلایل آن را ببینید | آدرس‌های مرتبط با کلاهبرداری یا پول دزدی |
SafeON برای هر آدرس امتیاز ریسک ۰ تا ۱۰۰ همراه با دلیل می‌دهد: ارتباط با آدرس‌های تحریم‌شده، وضعیت مسدودی تتر و ردیابی منشأ وجوه در چند مرحله، از جمله ارتباط با کلاهبرداری، پول سرقتی و میکسرها. اگر آدرسی که قرار است به آن تتر بفرستید سابقه‌ی دریافت وجوه کلاهبرداری داشته باشد، این بررسی می‌تواند آن را پیش از ارسال به شما نشان دهد. بررسی ریسک ولت پیش از هر انتقال مهم ارزشش را دارد.
روی پلن‌های پولی می‌توانید ولت خودتان را هم به فهرست رصد SafeON اضافه کنید. SafeON ریسک آن را روزانه دوباره بررسی می‌کند، به‌محض اینکه درخواست مسدودی یا مسدود شدن آدرس دیده شود هشدار می‌دهد (تلگرام و ایمیل) و واریز و برداشت‌ها را هر چند دقیقه گزارش می‌کند.
اگر روی لینک فیشینگ کلیک کردید: کارهای ساعت اول
- اگر عبارت بازیابی را وارد کرده‌اید: آن ولت را ازدست‌رفته فرض کنید. فورا یک ولت جدید در دستگاهی امن بسازید و هر دارایی باقی‌مانده را به آن منتقل کنید.
- اگر فقط امضا یا Approve داده‌اید: مجوزهای فعال را بررسی و لغو کنید و دارایی‌ها را به ولت تازه ببرید. اگر دسترسی حساب ترون تغییر کرده باشد، ممکن است دیگر امکان انتقال نداشته باشید.
- شواهد را نگه دارید: هش تراکنش‌ها، آدرس مهاجم، لینک سایت و اسکرین‌شات گفت‌وگوها.
- آدرس مهاجم را به صرافی‌ها اطلاع دهید: اگر تتر به سمت صرافی رفته باشد، هش تراکنش را به پشتیبانی آن صرافی بدهید تا در صورت امکان پیگیری کند.
مراحل کامل پس از سرقت را در راهنمای ساعت اول بعد از هک کیف پول نوشته‌ایم. صادقانه بگوییم: SafeON پول ازدست‌رفته را برنمی‌گرداند و مسدودی یا آزادسازی تتر هم در اختیار ما نیست؛ کار ما شناسایی ریسک پیش از ارسال است.
سؤالات متداول
فیشینگ ارز دیجیتال چیست و با هک کیف پول چه فرقی دارد؟
در فیشینگ، کاربر فریب می‌خورد و خودش عبارت بازیابی را می‌دهد، تراکنش مخرب را امضا می‌کند یا به آدرس اشتباه پول می‌فرستد. در هک، مهاجم بدون همکاری کاربر و با نفوذ فنی به دستگاه یا سرویس دسترسی می‌گیرد. نتیجه برای کاربر مشابه است، اما پیشگیری از فیشینگ بیشتر به عادت‌های خود شما بستگی دارد.
از کجا بفهمیم یک سایت کیف پول یا صرافی جعلی است؟
دامنه را حرف‌به‌حرف با آدرس رسمی مقایسه کنید، سایت را از بوکمارک خودتان باز کنید نه از لینک پیام یا تبلیغ، و اگر صفحه‌ای عبارت بازیابی خواست، بدون تردید ببندیدش.
اگر عبارت بازیابی را در سایت فیشینگ وارد کرده باشم چه کنم؟
آن ولت دیگر امن نیست. فورا ولت جدیدی بسازید، دارایی باقی‌مانده را منتقل کنید و از ولت قبلی دیگر استفاده نکنید. شواهد را برای گزارش نگه دارید.
آیا تتری که با فیشینگ برداشته شده قابل برگشت است؟
تراکنش بلاک‌چین قابل لغو نیست. در برخی پرونده‌ها ممکن است آدرس مهاجم از سوی صادرکننده‌ی تتر مسدود شود یا صرافی مقصد همکاری کند، اما تضمینی وجود ندارد. SafeON وجوه را برنمی‌گرداند یا آزاد نمی‌کند.
چطور آدرس مقصد را قبل از ارسال تتر بررسی کنیم؟
آدرس را از منبع اصلی بگیرید، کل آن را با منبع مقایسه کنید، برای مبالغ بزرگ تراکنش آزمایشی بفرستید و ریسک آدرس را در SafeON ببینید. بررسی ریسک کیف پول در SafeON