فرض کنید صبح کیف پول موبایلتان را باز می‌کنید و می‌بینید موجودی تتر صفر شده و تراکنشی که خودتان امضا نکرده‌اید به آدرسی ناشناس رفته است. هک کیف پول تقریبا همیشه از یک نقطه شروع می‌شود: کسی به عبارت بازیابی یا کلید خصوصی شما دست پیدا کرده، یا شما را فریب داده تا مجوزی خطرناک را امضا کنید. در ساعت اول باید سه کار انجام دهید: باقی‌مانده دارایی را به کیف پولی کاملا تازه منتقل کنید، دسترسی‌های باز را قطع کنید و همه شواهد را ثبت کنید. این راهنما همین مسیر را قدم به قدم توضیح می‌دهد و صریح می‌گوید چه کارهایی از دست شما برمی‌آید و چه کارهایی نه.
کیف پول‌ها معمولا چطور هک می‌شوند
بیشتر موارد هک کیف پول دیجیتال حاصل شکستن رمزنگاری بلاک‌چین نیست؛ حمله به کاربر و دستگاه اوست. الگوهای رایج این‌ها هستند:
- لو رفتن عبارت بازیابی: عکس گرفتن از ۱۲ یا ۲۴ کلمه، ذخیره آن در گالری، پیام‌رسان، ایمیل یا فضای ابری. هر کس این کلمات را داشته باشد کیف پول را کامل در اختیار دارد.
- اپ تقلبی یا نسخه غیررسمی: کاربرانی که به فروشگاه رسمی دسترسی ندارند گاهی اپ کیف پول را از کانال تلگرامی، سایت‌های واسط یا فایل APK دست‌به‌دست‌شده نصب می‌کنند؛ این کار پرخطر است. نسخه دستکاری‌شده می‌تواند عبارت بازیابی را هنگام ساخت یا وارد کردن کیف پول برای مهاجم بفرستد.
- فیشینگ: سایت یا ربات جعلی که با عنوان «همگام‌سازی کیف پول»، «دریافت ایردراپ» یا «پشتیبانی» از شما می‌خواهد عبارت بازیابی را وارد کنید.
- امضای مجوز خطرناک: در شبکه‌هایی مثل ترون و BNB Smart Chain، اتصال به سایت مشکوک و تایید یک approve نامحدود به قرارداد مهاجم اجازه می‌دهد بعدا توکن‌ها را بدون دسترسی به کلید شما خارج کند.
- بدافزار روی دستگاه: برنامه‌هایی که کلیپ‌بورد را عوض می‌کنند (آدرس کپی‌شده را با آدرس مهاجم جایگزین می‌کنند) یا از صفحه و صفحه‌کلید اطلاعات می‌دزدند.
این الگوها برای همه کیف پول‌های نرم‌افزاری صدق می‌کند؛ کسی که «هک کیف پول اتمیک» یا هک تراست ولت را جستجو می‌کند معمولا با یکی از همین مسیرها روبه‌روست، نه با نقصی که فقط در یک برند وجود دارد.
نشانه‌هایی که می‌گویند کیف پول شما هک شده است
گاهی هک کیف پول رمز ارز یک‌باره نیست و مهاجم ابتدا دسترسی را آزمایش می‌کند. به این نشانه‌ها دقت کنید:
- تراکنش خروجی که خودتان امضا نکرده‌اید، حتی با مبلغ کم.
- ورود مقدار ناچیزی TRX یا BNB به کیف پول و بلافاصله خروج توکن‌ها؛ مهاجم گاهی ابتدا هزینه کارمزد را تامین می‌کند.
- مجوزهای approve برای قراردادهایی که نمی‌شناسید.
- آدرس مقصد هنگام پیست کردن با آدرسی که کپی کرده‌اید فرق دارد.
- هر بار که موجودی جدید واریز می‌کنید، در چند دقیقه خارج می‌شود؛ این نشانه وجود ربات خودکار در دست مهاجم است.
اگر نشانه آخر را می‌بینید، دیگر به آن کیف پول هیچ واریزی نکنید. آن آدرس عملا متعلق به شما نیست.
ساعت اول: قدم‌های فوری پس از هک
در این مرحله سرعت مهم است، اما عجله نباید شما را به دام دوم بیندازد. ترتیب پیشنهادی:
- کیف پول تازه بسازید، روی دستگاه سالم. اگر احتمال آلودگی گوشی را می‌دهید، کیف پول جدید را روی دستگاه دیگری و فقط از منبع رسمی سازنده نصب کنید. عبارت بازیابی جدید را روی کاغذ بنویسید، نه در گوشی.
- باقی‌مانده دارایی را منتقل کنید. اگر هنوز چیزی در کیف پول قدیمی مانده، آن را به آدرس جدید بفرستید. اگر برای کارمزد TRX یا BNB لازم دارید و ربات مهاجم هر ورودی را می‌برد، بدانید ممکن است کارمزد واریزی هم از دست برود.
- مجوزها را لغو کنید. اگر هک از طریق approve بوده و نه لو رفتن کلید، لغو مجوز از داخل کیف پول یا یک ابزار معتبر لغو مجوز می‌تواند جلوی خروج‌های بعدی از همان مسیر را بگیرد.
- بقیه حساب‌ها را ایمن کنید. اگر عبارت بازیابی در ایمیل یا فضای ابری بوده، رمز آن حساب‌ها را عوض کنید و تایید دومرحله‌ای را فعال کنید. اگر در صرافی حساب دارید، آن را هم بررسی کنید.
- کیف پول قدیمی را کنار بگذارید. هرگز دوباره از آن عبارت بازیابی استفاده نکنید.
درباره اینکه عبارت بازیابی دقیقا چیست و چرا لو رفتن آن یعنی از دست رفتن کامل کنترل، راهنمای عبارت بازیابی کیف پول را بخوانید.
ثبت شواهد: آدرس مقصد، تراکنش‌ها و زمان
تراکنش‌های بلاک‌چین معمولا برگشت‌پذیر نیستند. کمیسیون تجارت فدرال آمریکا هم در راهنمای ارز دیجیتال و کلاهبرداری تاکید می‌کند که پرداخت‌های رمزارزی معمولا قابل برگشت نیستند. پس ارزش اصلی کار شما در این مرحله، مستندسازی دقیق برای گزارش است. این جدول را کامل کنید:
| مورد | چه چیزی ثبت شود |
|---|---|
| آدرس کیف پول شما | آدرس کامل و شبکه (مثلا TRC20 یا BEP20) |
| هش تراکنش‌ها | شناسه هر تراکنش خروجی غیرمجاز |
| آدرس مقصد | آدرسی که دارایی به آن رفته، و اگر مسیر ادامه داشته، آدرس‌های بعدی |
| زمان و مبلغ | تاریخ، ساعت و مقدار هر توکن |
| مسیر احتمالی نفوذ | اپی که نصب کردید، سایتی که وصل شدید، پیام یا لینکی که دریافت کردید |
| اسکرین‌شات‌ها | از صفحه کیف پول، گفتگوها و صفحه سایت مشکوک |
در ایران می‌توانید موضوع را به پلیس فتا گزارش دهید. برای اینکه بدانید گزارش را چطور آماده کنید و چه انتظاری داشته باشید، مقاله پیگیری کلاهبرداری ارز دیجیتال و پلیس فتا را ببینید. این مطلب مشاوره حقوقی نیست و برای مسائل حقوقی باید با متخصص مشورت کنید.
یک کار مفید دیگر، بررسی آدرس مقصد است. با وارد کردن آن آدرس در SafeON می‌بینید امتیاز ریسک آن چقدر است و آیا با منابعی مثل میکسر، صرافی، کلاهبرداری یا وجوه سرقتی در ارتباط بوده و آیا تتر آن مسدود شده است. می‌توانید آدرس مهاجم را به فهرست رصد اضافه کنید تا هنگام جابه‌جایی وجوه، از جمله در تلگرام، هشدار بگیرید. این اطلاعات گزارش شما را دقیق‌تر می‌کند، اما به معنی پس گرفتن پول نیست؛ SafeON دارایی را بازیابی، آزاد یا مسدود نمی‌کند. اگر وجوه وارد میکسر شده باشد، دنبال کردن مسیر سخت‌تر می‌شود؛ درباره این موضوع در مقاله میکسرها و ردیابی منبع وجوه بیشتر بخوانید.
مراقب کلاهبرداری بازگرداندن پول باشید
بلافاصله پس از هک، قربانیان هدف موج دوم کلاهبرداری می‌شوند. الگوهای رایج:
- کسی در تلگرام یا اینستاگرام پیام می‌دهد که «هکر» یا «کارشناس بلاک‌چین» است و پول شما را برمی‌گرداند، به شرط پرداخت پیش‌پرداخت.
- صفحه‌ای خود را نماینده صرافی، پلیس یا یک نهاد بین‌المللی معرفی می‌کند و برای «آزادسازی» کارمزد می‌خواهد.
- از شما می‌خواهند عبارت بازیابی کیف پول جدید را برای «ردیابی» بدهید یا اپی را برای «اتصال» نصب کنید.
قاعده ساده است: هر کس برای بازگرداندن پول هک‌شده پیش‌پرداخت، عبارت بازیابی یا دسترسی به دستگاه شما را بخواهد، به احتمال زیاد کلاهبردار است. هیچ ابزاری نمی‌تواند تراکنش تاییدشده بلاک‌چین را برگرداند.
چطور دوباره هک نشویم
این چک‌لیست را برای کیف پول جدید اجرا کنید:
| اقدام | چرا مهم است |
|---|---|
| نصب اپ فقط از سایت یا فروشگاه رسمی سازنده | نسخه‌های دستکاری‌شده یکی از مسیرهای رایج سرقت عبارت بازیابی هستند |
| نوشتن عبارت بازیابی روی کاغذ و نگهداری آفلاین | عکس و فایل در گوشی و فضای ابری قابل سرقت است |
| هرگز وارد نکردن عبارت بازیابی در هیچ سایت یا رباتی | هیچ پشتیبانی واقعی آن را نمی‌خواهد |
| بررسی مجوزها و لغو approveهای قدیمی | جلوی خروج توکن از طریق قرارداد مخرب را می‌گیرد |
| تطبیق چند کاراکتر اول و آخر آدرس پیش از ارسال | بدافزار کلیپ‌بورد را خنثی می‌کند |
| جدا کردن کیف پول پس‌انداز از کیف پول روزمره | اگر کیف پول روزمره لو برود، بخش اصلی دارایی امن می‌ماند |
برای فهرست کامل‌تر، چک‌لیست امنیتی قبل از خرید و فروش رمزارز را ببینید. پیش از هر انتقال مهم هم می‌توانید آدرس مقصد را بسنجید: بررسی ریسک کیف پول در SafeON.
پرسش‌های متداول
از کجا بفهمم کیف پولم هک شده است؟
تراکنش خروجی که خودتان امضا نکرده‌اید، مجوزهای ناشناس برای قراردادها، یا خروج خودکار هر واریز جدید در چند دقیقه، نشانه‌های اصلی هستند. تاریخچه تراکنش‌های آدرس خود را در کیف پول بررسی کنید.
بعد از هک کیف پول اول چه کار کنم؟
روی دستگاه سالم کیف پول تازه بسازید، باقی‌مانده دارایی را به آن منتقل کنید، مجوزهای خطرناک را لغو کنید و همه آدرس‌ها، هش تراکنش‌ها و زمان‌ها را برای گزارش ثبت کنید.
آیا ارز دیجیتال سرقت‌شده برمی‌گردد؟
تراکنش تاییدشده بلاک‌چین قابل برگشت نیست. در موارد محدود، اگر وجوه به سرویسی متمرکز برسد، آن سرویس یا صادرکننده توکن ممکن است بر اساس تصمیم خود یا درخواست مراجع اقدام کند، اما هیچ تضمینی وجود ندارد. SafeON وجوه را بازیابی یا آزاد نمی‌کند.
کسانی که وعده بازگرداندن پول هک‌شده می‌دهند قابل اعتمادند؟
خیر. درخواست پیش‌پرداخت، عبارت بازیابی یا نصب اپ برای «بازیابی» نشانه کلاهبرداری است. گزارش را فقط از مسیر رسمی، مثل پلیس فتا، پیگیری کنید.