فرض کنید تراست ولت را باز می‌کنید و موجودی تترتان صفر است، بدون اینکه گوشی گم شده باشد. معمولا مشکل از یکی از چهار نقطه ضعف آشناست: عبارت بازیابی لورفته، مجوز توکنی که به یک سایت داده‌اید، آدرس جعلی کپی‌شده از تاریخچه یا تتر آلوده‌ای که بدون بررسی دریافت شده است. امنیت کیف پول تراست ولت یعنی بستن همین چهار در. این چک‌لیست برای کیف پولی است که همین حالا دارید؛ برای انتخاب کیف پول، راهنمای انتخاب کیف پول برای کاربران ایرانی را بخوانید.
امنیت کیف پول تراست ولت به چه چیزهایی بستگی دارد
تراست ولت غیرامانی است: کلید خصوصی روی دستگاه شماست و هیچ شرکتی نمی‌تواند تراکنش را برگرداند. امنیت آن به چهار لایه برمی‌گردد:
- اصالت برنامه: نسخه نصب‌شده واقعا برنامه اصلی است یا نسخه دستکاری‌شده؟
- دستگاه و قفل برنامه: اگر گوشی چند دقیقه دست کسی دیگر بیفتد، چه چیزی از کیف پول محافظت می‌کند؟
- رفتار روی زنجیره: به چه قراردادهایی مجوز داده‌اید و به چه آدرس‌هایی پول می‌فرستید؟
- کیفیت دارایی دریافتی: تتری که وارد کیف پول می‌شود از کجا آمده است؟
برای کاربر ایرانی لایه اول حیاتی است: چون دسترسی به فروشگاه‌های رسمی همیشه ساده نیست، بسیاری فایل نصبی را از کانال‌های تلگرامی یا سایت‌های دانلود می‌گیرند. نسخه جعلی شبیه اصلی است، اما عبارت بازیابی را برای سازنده‌اش می‌فرستد و هیچ تنظیم دیگری این خطر را جبران نمی‌کند. برنامه را فقط از فروشگاه رسمی یا سایت سازنده نصب کنید؛ اگر به منبع آن شک دارید، کیف پول تازه بسازید و دارایی را منتقل کنید.
عبارت بازیابی: بزرگ‌ترین نقطه ضعف
عبارت بازیابی (Seed Phrase) همان کیف پول است؛ هر کس آن را داشته باشد، روی هر گوشی دیگری کل دارایی را در اختیار می‌گیرد و رمز برنامه یا اثر انگشت شما مانعش نیست. مفهوم آن را در مقاله عبارت بازیابی کیف پول چیست توضیح داده‌ایم؛ الگوهای رایج سرقت این‌هاست:
- اسکرین‌شات و گالری: عکس عبارت با همگام‌سازی ابری از گوشی خارج می‌شود.
- یادداشت، ایمیل و «پیام‌های ذخیره‌شده» تلگرام: هر حسابی که هک شود، عبارت را هم لو می‌دهد.
- پشتیبانی جعلی: کسی در گروه یا دایرکت خود را پشتیبان تراست ولت معرفی می‌کند و عبارت را می‌خواهد؛ پشتیبان واقعی هرگز چنین درخواستی نمی‌کند.
- سایت‌های «دریافت ایردراپ» که به جای اتصال عادی، فرم وارد کردن ۱۲ یا ۲۴ کلمه نشان می‌دهند.
عبارت را روی کاغذ یا ورق فلزی بنویسید، در دو جای امن فیزیکی نگه دارید و هرگز تایپش نکنید، مگر برای بازیابی در خود برنامه اصلی.
در بخش امنیت برنامه هم این تنظیمات را فعال کنید:
- رمز عبور برنامه و قفل بیومتریک، با قفل خودکار در کوتاه‌ترین زمان ممکن.
- درخواست رمز برای امضای هر تراکنش، نه فقط برای باز کردن برنامه.
- رمز قوی برای قفل گوشی و به‌روزرسانی سیستم‌عامل و برنامه.
مجوزهای توکن و درین‌ها: چطور مجوزهای قدیمی را لغو کنیم
اتصال به صرافی غیرمتمرکز، بازی یا سایت ایردراپ معمولا با دادن اجازه خرج یک توکن به قرارداد هوشمند آن همراه است (Approve). طبق راهنمای رسمی ethereum.org، این مجوزها منقضی نمی‌شوند و تا وقتی خودتان لغو نکنید فعال می‌مانند. اگر مجوز نامحدود باشد، آن قرارداد حتی مدت‌ها بعد از اینکه کارتان با آن سایت تمام شده می‌تواند توکن را خرج کند و اگر مخرب باشد، می‌تواند باقی‌مانده موجودی را ببرد. همین راهنما می‌گوید قطع اتصال کیف پول از سایت، مجوزها را حذف نمی‌کند.
درین (Drainer) همین سازوکار را به کار می‌گیرد: سایتی جعلی با ظاهر ایردراپ یا مینت، امضایی ظاهرا بی‌خطر می‌گیرد که در واقع مجوز خرج کردن تتر است و کمی بعد موجودی خالی می‌شود. این الگو هم در BNB Smart Chain هست و هم در TRC20 ترون، چون استاندارد توکن هر دو تابع مجوز دارد.
روال لغو مجوز، بر اساس همان راهنمای رسمی:
- از یک ابزار شناخته‌شده لغو مجوز استفاده کنید و آدرسش را خودتان تایپ کنید، نه از لینک تبلیغاتی یا پیام دیگران.
- کیف پول را وصل کنید و مطمئن شوید شبکه کیف پول و ابزار یکی است.
- قراردادهایی را که به توکن‌های شما دسترسی دارند، با سقف مجازشان ببینید و موارد ناشناخته یا نامحدود را لغو کنید.
- لغو را در کیف پول تایید کنید؛ این کار یک تراکنش است و کارمزد شبکه دارد.
- دوباره بررسی کنید که قرارداد از فهرست حذف شده باشد.
اگر برای کاری مثل «دیدن ایردراپ» مجوز خرج توکن خواستند، رد کنید.
آدرس جعلی شبیه آدرس قبلی: حمله‌ای که با یک کپی کار می‌کند
در حمله آلوده‌سازی آدرس (Address Poisoning)، مهاجم آدرسی می‌سازد که چند نویسه اول و آخرش با آدرسی که مرتب به آن پول می‌فرستید یکی است. بعد یک تراکنش بسیار کوچک از آن آدرس، یا یک انتقال صفر تتری که از آدرس خود شما به آدرس جعلی ثبت می‌شود، در تاریخچه کیف پول شما ایجاد می‌کند. اگر بعدا آدرس آشنا را از تاریخچه کپی کنید، ممکن است آدرس جعلی را بردارید؛ کیف پول‌ها معمولا وسط آدرس را کوتاه نشان می‌دهند و ابتدا و انتهای دو آدرس یکی است.
نشانه‌ها و راه پیشگیری:
- تراکنش‌های ناشناس با مبلغ صفر یا ناچیز در تاریخچه، حتی اگر ارسال از طرف شما نشان داده شود، زنگ خطر است.
- هرگز آدرس مقصد را از تاریخچه کپی نکنید؛ از دفترچه آدرس کیف پول یا منبع اصلی (مثلا صفحه واریز صرافی) استفاده کنید.
- پیش از ارسال، کل آدرس را نویسه به نویسه مقایسه کنید، نه فقط ابتدا و انتها.
- برای مبلغ‌های بزرگ، اول یک مبلغ آزمایشی بفرستید و تایید رسیدنش را از طرف مقابل بگیرید.
دریافت تتر امن: آدرس فرستنده را قبل از قبول بررسی کنید
تتر روی شبکه ترون (TRC20)، رایج‌ترین شکل نگهداری تتر میان کاربران ایرانی، در سطح قرارداد توکن قابل مسدود شدن است؛ پس طبق توضیح مقاله فریز شدن تتر در تراست والت، آدرس شخصی شما در تراست ولت هم ممکن است مسدود شود. خطر عملی معمولا دریافت تتر از آدرسی است که با کلاهبرداری، سرقت، میکسر یا آدرس‌های تحریم‌شده در ارتباط بوده؛ چنین تتری ممکن است در صرافی رد شود یا کیف پول شما را پرریسک نشان دهد. جزئیات این وضعیت در مقاله تراست ولت کثیف و تتر آلوده آمده است.
در کیف پول غیرامانی نمی‌توانید واریز را رد کنید؛ پس پیش از معامله بررسی کنید:
- در معامله همتا به همتا، پیش از پرداخت ریالی، آدرس کیف پول فروشنده را بگیرید.
- آن آدرس را از نظر فریز تتر، ارتباط با آدرس‌های تحریم‌شده و منشا وجوه بررسی کنید.
- اگر ریسک بالا بود، معامله نکنید یا آدرس دیگری بخواهید.
- کیف پول‌هایی را که مرتب با آن‌ها معامله می‌کنید در فهرست رصد نگه دارید تا تغییر وضعیتشان را ببینید.
SafeON برای همین مرحله ساخته شده است: آدرس را وارد می‌کنید و امتیاز ریسک ۰ تا ۱۰۰ را با دلایلش می‌گیرید، از جمله وضعیت فریز تتر، ارتباط با آدرس‌های تحریم‌شده OFAC و ردیابی منشا وجوه در چند مرحله، روی ترون و BNB Smart Chain. بررسی رایگان ریسک کیف پول در SafeON را پیش از دریافت تتر انجام دهید. SafeON دارایی فریزشده را آزاد یا بازیابی نمی‌کند؛ کار آن کمک به تصمیم پیش از معامله است.
امنیت کیف پول سیف پال و تون کیپر: همان اصول، تفاوت‌های کوچک
این اصول به برند وابسته نیست. سیف پال هم نسخه نرم‌افزاری دارد و هم کیف پول سخت‌افزاری، و تون کیپر کیف پول شبکه تون است. جدول زیر چک‌لیست مشترک و تفاوت‌هاست، نه رتبه‌بندی.
| موضوع | تراست ولت | سیف پال | تون کیپر |
|---|---|---|---|
| نصب از منبع رسمی | ضروری | ضروری؛ دستگاه سخت‌افزاری را هم فقط از فروشنده معتبر بخرید | ضروری |
| عبارت بازیابی روی کاغذ، بدون عکس | بله | بله | بله |
| قفل برنامه و رمز برای امضا | فعال کنید | فعال کنید | فعال کنید |
| بررسی و لغو مجوز توکن | برای BNB Smart Chain، اتریوم و TRC20 | برای شبکه‌های سازگار با اتریوم و TRC20 | استاندارد توکن تون مجوز خرج کردن (approve) ندارد؛ خطر اصلی امضای مستقیم یک تراکنش انتقال مخرب است |
| کپی نکردن آدرس از تاریخچه | بله | بله | بله |
| بررسی آدرس فرستنده تتر | بله، به‌خصوص TRC20 | بله | بله، با توجه به شبکه‌ای که تتر روی آن است |
کیف پول روزمره را از کیف پول پس‌انداز جدا کنید تا امضاهای ناخواسته به دارایی اصلی نرسد.
سؤالات متداول
آیا تراست ولت برای نگهداری تتر امن است؟
امنیت آن بیش از هر چیز به نصب از منبع رسمی، حفاظت از عبارت بازیابی، قفل برنامه و دقت در امضاها بستگی دارد. ریسک تتر آلوده جداست و با بررسی آدرس فرستنده مدیریت می‌شود.
اگر عبارت بازیابی تراست ولت لو برود چه کنیم؟
فورا کیف پول جدیدی با عبارت بازیابی تازه بسازید و همه دارایی‌ها را منتقل کنید؛ تغییر رمز برنامه کافی نیست، چون عبارت لورفته روی هر دستگاهی کار می‌کند. کارمزد شبکه لازم برای انتقال را فقط زمانی به کیف پول قدیم بفرستید که آماده انتقال فوری هستید.
آیا تتر در تراست ولت هم فریز می‌شود؟
بله. مسدودسازی تتر در سطح قرارداد توکن انجام می‌شود، نه برنامه کیف پول؛ پس آدرس شخصی در تراست ولت هم می‌تواند مسدود شود. بهترین پیشگیری، بررسی آدرس فرستنده پیش از معامله است.
چطور مجوزهای خطرناک را در کیف پول لغو کنیم؟
با یک ابزار شناخته‌شده لغو مجوز، کیف پول را روی همان شبکه وصل کنید و قراردادهای ناشناخته یا نامحدود را لغو کنید؛ هر لغو یک تراکنش با کارمزد شبکه است. قطع اتصال کیف پول از سایت به‌تنهایی مجوز را حذف نمی‌کند.