فرض کنید در یک گروه تلگرامی لینکی با عنوان «دانلود تراست ولت با لینک مستقیم، نسخه بدون تحریم» دیده‌اید. فایل را نصب می‌کنید، ظاهر برنامه دقیقا شبیه تراست ولت است و از شما می‌خواهد برای «همگام‌سازی» عبارت بازیابی ۱۲ کلمه‌ای را وارد کنید. چند ساعت بعد تترهای کیف پول به آدرسی ناشناس منتقل شده است. جواب کوتاه این است: نصب تراست ولت با لینک مستقیم فقط وقتی قابل اعتماد است که فایل را از سایت رسمی سازنده گرفته باشید؛ هر فایلی که از کانال، گروه یا سایت واسطه بیاید ممکن است نسخه دستکاری‌شده‌ای باشد که برای دزدیدن عبارت بازیابی ساخته شده است.
چرا کاربران ایرانی تراست ولت را با لینک مستقیم دانلود می‌کنند
بسیاری از کاربران ایرانی به فروشگاه‌های رسمی اپلیکیشن دسترسی کامل ندارند یا حساب کاربری‌شان در این فروشگاه‌ها محدود است. نتیجه این است که جست‌وجوهایی مثل «تراست ولت با لینک مستقیم» یا «تراست ولت نسخه قدیمی» زیاد می‌شود و کاربر سراغ فایل نصبی (APK) می‌رود. خود این کار لزوما خطرناک نیست؛ مشکل از جایی شروع می‌شود که منبع فایل مشخص نیست.
طبق صفحه رسمی دانلود در سایت تراست ولت، سازنده علاوه بر App Store و Google Play یک فایل APK مستقیم هم برای اندروید منتشر می‌کند و توصیه می‌کند برنامه فقط از لینک‌های رسمی روی دامنه trustwallet.com گرفته شود و پیش از نصب بررسی شود که ناشر آن Trust Wallet باشد. یعنی نسخه مستقیم رسمی وجود دارد و نیازی نیست آن را از هیچ واسطه‌ای بگیرید.
اپ جعلی تراست ولت چطور کار می‌کند و چه چیزی را می‌دزدد
اپ جعلی معمولا یک کپی ظاهری از برنامه اصلی است: همان آیکون، همان رنگ و همان صفحه خوش‌آمدگویی. هدف آن تقریبا همیشه یک چیز است: عبارت بازیابی (Seed Phrase) یا کلید خصوصی شما. هر کس این ۱۲ یا ۲۴ کلمه را داشته باشد، کنترل کامل کیف پول را دارد و می‌تواند از هر دستگاهی دارایی را منتقل کند. اگر با این مفهوم آشنا نیستید، راهنمای عبارت بازیابی کیف پول چیست و چرا نباید آن را جایی وارد کرد را بخوانید.
الگوهای رایج حمله این‌ها هستند:
- فرم واردکردن کیف پول: برنامه به‌جای ساختن کیف پول جدید، اصرار می‌کند کیف پول قبلی را «وارد» کنید و کلمات را مستقیم برای سرور مهاجم می‌فرستد.
- کیف پول از پیش ساخته‌شده: برنامه یک عبارت بازیابی به شما نشان می‌دهد که مهاجم از قبل آن را دارد. هر تتری که به این کیف پول واریز کنید، عملا به دست او می‌رسد.
- به‌روزرسانی جعلی: پیامی با عنوان «نسخه شما منقضی شده» شما را به نصب فایل جدیدی از یک لینک ناشناس هدایت می‌کند.
- پشتیبانی جعلی: بعد از نصب، فردی در تلگرام خود را پشتیبان معرفی می‌کند و برای «رفع مشکل» عبارت بازیابی را می‌خواهد.
نشانه‌های نسخه اصلی در برابر نسخه تقلبی: چک‌لیست پیش از نصب
پیش از نصب هر فایل، این موارد را یک‌به‌یک بررسی کنید:
| مورد بررسی | نسخه اصلی | نشانه خطر |
|---|---|---|
| منبع فایل | دامنه رسمی trustwallet.com یا فروشگاه رسمی | کانال تلگرام، گروه، سایت واسطه یا فایل ارسالی در چت |
| نام ناشر | Trust Wallet | نام ناشناس یا نام شبیه با یک حرف متفاوت |
| آدرس سایت | دقیقا trustwallet.com | دامنه‌های شبیه با خط تیره، حرف اضافه یا پسوند متفاوت |
| عنوان تبلیغ | بدون وعده خاص | «نسخه بدون تحریم»، «نسخه ویژه ایران»، «نسخه با امکانات پنهان» |
| رفتار پس از نصب | امکان ساختن کیف پول جدید و نمایش عبارت بازیابی فقط روی دستگاه شما | اصرار به واردکردن عبارت بازیابی برای فعال‌سازی یا همگام‌سازی |
| دسترسی‌ها | دسترسی‌های محدود و قابل توضیح | درخواست دسترسی به پیامک، دسترسی‌پذیری (Accessibility) یا نمایش روی برنامه‌های دیگر |
یک قاعده ساده همه این موارد را خلاصه می‌کند: هیچ کیف پول معتبری برای نصب، فعال‌سازی یا به‌روزرسانی عبارت بازیابی شما را نمی‌خواهد. اگر برنامه‌ای این را خواست، همان‌جا متوقف شوید. برای تنظیمات امنیتی بعد از نصب هم چک‌لیست امنیت کیف پول تراست ولت را ببینید.
تراست ولت نسخه قدیمی: چه ریسکی دارد و کی باید به‌روز کرد
بخشی از کاربران دنبال «تراست ولت نسخه قدیمی» یا «تراست ولت نسخه 7» هستند؛ گاهی چون گوشی‌شان قدیمی است و گاهی چون شنیده‌اند نسخه‌های قدیمی محدودیت کمتری دارند. دو نکته را در نظر بگیرید:
- شماره نسخه‌ها: طبق صفحه دانلود رسمی تراست ولت، نسخه‌های فعلی برنامه با شماره‌هایی از خانواده ۲۶ منتشر می‌شوند. پس فایلی که با عنوان «نسخه 7» دست‌به‌دست می‌شود، اگر واقعی باشد بسیار قدیمی است و اگر جعلی باشد، این عنوان صرفا طعمه است. منبع رسمی‌ای برای دریافت نسخه‌های قدیمی وجود ندارد که بتوان اصالت آن را تایید کرد.
- اصلاحات امنیتی: هر به‌روزرسانی ممکن است ایرادهای امنیتی و سازگاری با شبکه‌ها را اصلاح کند. ماندن روی نسخه قدیمی یعنی از این اصلاحات محروم می‌مانید.
به‌روزرسانی را فقط از همان مسیری انجام دهید که برنامه اصلی را نصب کرده‌اید: فروشگاه رسمی یا سایت رسمی سازنده. پیام «به‌روزرسانی اجباری» که از کانال یا چت می‌رسد را جدی نگیرید.
آیا تراست ولت هک می‌شود؟ راه‌های واقعی خالی شدن کیف پول
وقتی کاربری می‌گوید «تراست ولتم هک شد»، در بیشتر موارد مشکل از نفوذ به خود برنامه نیست. تراست ولت یک کیف پول غیرحضانتی است و کلیدها روی دستگاه خود کاربر نگهداری می‌شوند؛ بنابراین مهاجم معمولا از یکی از این راه‌ها وارد می‌شود:
- لو رفتن عبارت بازیابی: عکس از کلمات در گالری، ذخیره در پیام‌رسان یا واردکردن آن در سایت و برنامه جعلی.
- اپ جعلی: همان سناریوی ابتدای مقاله.
- امضای مخرب: اتصال کیف پول به یک سایت یا dApp جعلی و تایید تراکنشی که به مهاجم اجازه برداشت توکن (Approve) می‌دهد.
- بدافزار روی گوشی: برنامه‌هایی که صفحه را می‌خوانند یا آدرس کپی‌شده را عوض می‌کنند.
اگر می‌خواهید پیش از دریافت یا ارسال تتر ریسک یک آدرس را بسنجید، ابزار بررسی ریسک کیف پول در صفحه اصلی SafeON را ببینید.
اگر اپ جعلی نصب کرده‌اید: قدم‌های فوری
اگر شک دارید برنامه‌ای که نصب کرده‌اید اصلی نیست، زمان مهم است:
- عبارت بازیابی قبلی را لو رفته فرض کنید، حتی اگر مطمئن نیستید آن را وارد کرده‌اید.
- برنامه مشکوک را حذف کنید و نسخه اصلی را از سایت رسمی سازنده نصب کنید.
- در نسخه اصلی یک کیف پول کاملا جدید با عبارت بازیابی جدید بسازید و کلمات را روی کاغذ و دور از گوشی نگه دارید.
- هر دارایی باقی‌مانده را از کیف پول قدیمی به آدرس جدید منتقل کنید و مجوزهای (Approve) فعال آدرس قدیمی را بررسی کنید.
- به هیچ «پشتیبان» یا «ریکاوری‌کار» تلگرامی که پیشنهاد بازگرداندن دارایی می‌دهد اعتماد نکنید؛ این پیشنهادها خودشان یک کلاهبرداری دوم هستند.
جزئیات بیشتر درباره اقدامات اولیه بعد از سرقت را در مقاله کارهای ساعت اول بعد از هک کیف پول بخوانید.
بعد از نصب: بررسی آدرس فرستنده و رصد کیف پول خودتان
نصب نسخه اصلی فقط نیمی از امنیت است. خطر دیگر، دریافت تتری است که منشا پرریسک دارد. اگر تتر را مستقیم از یک نفر و خارج از صرافی‌های رمزارزی می‌خرید (معامله‌ی P2P یا همتا به همتا؛ مثلا از فروشنده‌ای در گروه تلگرامی با کارت‌به‌کارت)، پیش از پرداخت آدرس فرستنده را بررسی کنید. SafeON آدرس را از نظر ارتباط با آدرس‌های تحریم‌شده OFAC، وضعیت فریز یا بلک‌لیست تتر و منشا وجوه در چند مرحله (میکسر، دارک‌وب، کلاهبرداری، وجوه سرقتی و صرافی‌ها) بررسی می‌کند و یک امتیاز ریسک ۰ تا ۱۰۰ همراه با دلایل آن می‌دهد. این کار به کاهش ریسک دریافت وجوه پرخطر کمک می‌کند.
اگر قصد دارید از کیف پول خودتان به یک صرافی خارجی واریز کنید، بدانید که برخی صرافی‌ها ممکن است آدرس مبدا را پیش از ثبت واریز بررسی کنند و در صورت ریسک بالا واریز را نگه دارند یا حساب را محدود کنند. پس آدرس خودتان را هم پیش از واریز بررسی کنید.
می‌توانید کیف پول خودتان یا طرف‌حساب‌های تکراری را به فهرست رصد SafeON اضافه کنید تا در صورت تغییر وضعیت ریسک یا فریز، هشدار (از جمله در تلگرام) دریافت کنید. رادار زنده فریز تتر هم در دسترس است. بررسی ریسک کیف پول در SafeON را با آدرس خودتان شروع کنید.
سؤالات متداول
آیا دانلود تراست ولت با لینک مستقیم امن است؟
فقط اگر لینک از سایت رسمی سازنده باشد. سازنده خودش فایل APK مستقیم منتشر می‌کند؛ اما فایلی که از کانال، گروه یا سایت واسطه دریافت می‌شود قابل اعتماد نیست، هر چقدر هم ظاهرش شبیه نسخه اصلی باشد.
از کجا بفهمیم تراست ولت نصب‌شده اصلی است؟
منبع نصب را به یاد بیاورید، نام ناشر را بررسی کنید و ببینید برنامه هنگام راه‌اندازی برای فعال‌سازی عبارت بازیابی نمی‌خواهد. اگر در هر کدام تردید دارید، برنامه را حذف کنید و از منبع رسمی دوباره نصب کنید و یک کیف پول جدید بسازید.
آیا تراست ولت هک می‌شود؟
بیشتر موارد خالی شدن کیف پول به لو رفتن عبارت بازیابی، نصب اپ جعلی یا امضای یک تراکنش مخرب برمی‌گردد، نه نفوذ به خود برنامه. رعایت قاعده «عبارت بازیابی را هیچ‌جا وارد نکن» بخش بزرگی از این ریسک‌ها را کم می‌کند.
آیا نسخه قدیمی تراست ولت هنوز کار می‌کند و امن است؟
نسخه‌های قدیمی از اصلاحات امنیتی بعدی بی‌بهره‌اند و منبع رسمی‌ای برای تایید اصالت فایل‌های قدیمی وجود ندارد. فایل‌هایی که با عنوان‌هایی مثل «نسخه 7» پخش می‌شوند را نصب نکنید و همیشه آخرین نسخه را از منبع رسمی بگیرید.