امنیت ارز دیجیتال؛ راهنمای عملی محافظت از حساب صرافی و کیف پول

امنیت ارز دیجیتال روی چهار لایه بنا می‌شود: حساب صرافی با رمز یکتا و تأیید دومرحله‌ای از طریق اپلیکیشن، دقت به آدرس سایت برای فرار از فیشینگ، نگهداری آفلاین عبارت بازیابی کیف پول، و بررسی شبکه و آدرس پیش از هر انتقال. بیشتر سرقت‌ها از ضعف یکی از همین چهار لایه شروع می‌شود، نه از هک پیچیده.

این راهنما برای کسی نوشته شده که می‌خواهد بدون دانش فنی، احتمال از دست دادن دارایی‌اش را به حداقل برساند. هر لایه را با نکته‌های عملی و اشتباه‌هایی که در عمل زیاد دیده می‌شوند توضیح داده‌ایم و در پایان یک چک‌لیست ۱۰ دقیقه‌ای گذاشته‌ایم که همین امروز می‌توانید اجرا کنید.

چرا امنیت ارز دیجیتال با امنیت حساب بانکی فرق دارد؟

اگر از کارت بانکی شما برداشت غیرمجاز شود، معمولاً راهی برای پیگیری و برگشت پول وجود دارد. در بلاک‌چین چنین چیزی نیست. تراکنشی که ثبت شد، برگشت‌پذیر نیست و هیچ مرجعی نمی‌تواند آن را لغو کند. در کیف پول شخصی، شما خودتان بانک هستید؛ با همه‌ی اختیار و همه‌ی مسئولیتش.

تهدید فقط متوجه کاربران تازه‌کار نیست. در اسفند ۱۴۰۳ صرافی بای‌بیت حدود ۱٫۵ میلیارد دلار را در یکی از بزرگ‌ترین سرقت‌های تاریخ کریپتو از دست داد و در خرداد ۱۴۰۴ هم یکی از بزرگ‌ترین صرافی‌های داخلی هدف حمله‌ی سایبری قرار گرفت. فهرست اتفاق‌های مهم را در بزرگ‌ترین هک‌های تاریخ کریپتو ببینید. درس این اتفاق‌ها ساده است: امنیت را نه فقط به صرافی، که به رفتار خودتان هم گره بزنید.

لایه‌ی اول: امن کردن حساب صرافی

رمز عبور یکتا و طولانی

رمز حساب صرافی نباید در هیچ سایت دیگری استفاده شده باشد. وقتی یک فروشگاه اینترنتی هک می‌شود، مهاجمان همان ایمیل و رمز را روی صرافی‌ها امتحان می‌کنند. یک عبارت طولانی چندکلمه‌ای، از رمز کوتاه پر از علامت امن‌تر و به‌خاطرسپاری‌اش هم راحت‌تر است. اگر رمزهای زیادی دارید، از یک نرم‌افزار مدیریت رمز عبور معتبر استفاده کنید.

تأیید دومرحله‌ای؛ اپلیکیشن به‌جای پیامک

تأیید دومرحله‌ای (2FA) یعنی حتی اگر کسی رمز شما را بداند، بدون کد دوم وارد حساب نمی‌شود. اما همه‌ی روش‌ها یک‌اندازه امن نیستند:

روش	میزان امنیت	ریسک اصلی
کد پیامکی	متوسط	سیم‌کارت‌سواپ (گرفتن سیم‌کارت المثنی به نام شما) و پیامک‌های جعلی
اپلیکیشن Authenticator	بالا	گم شدن گوشی بدون داشتن کدهای پشتیبان
گم شدن گوشی بدون داشتن کدهای پشتیبان	خیلی بالا	هزینه و پشتیبانی محدود در سرویس‌ها

هنگام فعال کردن اپلیکیشن Authenticator، کد پشتیبان یا QR اولیه را روی کاغذ بنویسید و جایی امن نگه دارید. بیشتر کسانی که بعد از عوض کردن گوشی به حسابشان دسترسی ندارند، همین مرحله را جا انداخته‌اند.

تنظیمات برداشت و نشست‌ها

اگر صرافی امکان لیست سفید آدرس‌های برداشت را دارد، آن را فعال کنید تا برداشت فقط به آدرس‌های تأییدشده ممکن باشد. هر چند وقت یک بار هم فهرست دستگاه‌ها و نشست‌های فعال را چک کنید و هر دستگاه ناآشنا را خارج کنید.

گوشی و فیلترشکن؛ نقطه‌ی کور بیشتر کاربران

حسابی که با بهترین رمز و تأیید دومرحله‌ای محافظت می‌شود، روی گوشی آلوده امن نیست. سیستم‌عامل و مرورگر را به‌روز نگه دارید، روی گوشی معامله‌تان برنامه‌ی کرک‌شده نصب نکنید و دسترسی‌های عجیب برنامه‌ها، مثل خواندن پیامک یا نمایش روی صفحه‌ی برنامه‌های دیگر، را جدی بگیرید. فیلترشکن‌های رایگان و ناشناس هم ریسک جدی دارند؛ برخی از آن‌ها ترافیک کاربر را شنود می‌کنند یا تبلیغات آلوده نشان می‌دهند. برای ورود به صرافی داخلی معمولاً اصلاً به فیلترشکن نیاز ندارید و بهتر است هنگام معامله خاموشش کنید.

لایه‌ی دوم: فیشینگ؛ رایج‌ترین راه سرقت

فیشینگ یعنی شما را به سایتی ببرند که شبیه صرافی واقعی است تا رمز و کد تأیید را خودتان وارد کنید. این حمله نه به مهارت فنی نیاز دارد و نه به نفوذ؛ فقط به یک لحظه بی‌دقتی شما.

یک سناریوی واقعی: پیامکی می‌رسد که «حساب شما به‌دلیل عدم تکمیل احراز هویت تا ۲ ساعت دیگر مسدود می‌شود» و یک لینک کنارش است. لینک به سایتی با ظاهر کاملاً مشابه می‌رود که آدرسش یک حرف با آدرس اصلی فرق دارد. کاربر وارد می‌شود، کد پیامکی را هم وارد می‌کند و چند دقیقه بعد موجودی‌اش برداشت شده است.

برای در امان ماندن از فیشینگ این قواعد را به عادت تبدیل کنید:

• آدرس آساکوین را خودتان تایپ یا از بوکمارک مرورگر باز کنید: asacoine.com. روی لینک‌های پیامک، ایمیل و تبلیغات کلیک نکنید.
• به املای دامنه دقت کنید. حذف یا اضافه شدن یک حرف یا یک خط تیره کافی است تا با سایت جعلی طرف باشید.
• اپلیکیشن را فقط از لینک رسمی داخل سایت دانلود کنید، نه از کانال‌ها و گروه‌ها.
• هیچ پشتیبان واقعی رمز عبور، کد تأیید یا عبارت بازیابی شما را نمی‌خواهد. پشتیبانی آساکوین هم هرگز چنین درخواستی نمی‌کند.
• حساب‌های «پشتیبانی» که در تلگرام اول به شما پیام می‌دهند، جعلی‌اند. برای ارتباط فقط از راه‌های ارتباطی رسمی یا ثبت تیکت داخل حساب استفاده کنید.

آژانس امنیت سایبری آمریکا هم راهنمای کوتاهی برای تشخیص فیشینگ دارد که نشانه‌های عمومی این حمله‌ها را خوب جمع‌بندی کرده است.

لایه‌ی سوم: کیف پول و عبارت بازیابی

وقتی دارایی در صرافی است، کلیدهای آن دست صرافی است و امنیت شما به امنیت صرافی و حسابتان بستگی دارد. وقتی دارایی را به کیف پول شخصی منتقل می‌کنید، کلید خصوصی و عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای دست خودتان است. هر کس این کلمات را داشته باشد، صاحب دارایی است.

• عبارت بازیابی را روی کاغذ یا صفحه‌ی فلزی بنویسید. از آن عکس نگیرید، در یادداشت گوشی ذخیره نکنید و برای خودتان در پیام‌رسان نفرستید.
• دو نسخه در دو مکان امن جدا نگه دارید تا آتش‌سوزی یا گم شدن یکی، همه‌چیز را از بین نبرد.
• هیچ سایت یا اپلیکیشنی برای «همگام‌سازی» یا «تأیید کیف پول» به عبارت بازیابی شما نیاز ندارد. هر درخواستی از این نوع، کلاهبرداری است.
• برای مبالغ بزرگ و نگهداری طولانی، کیف پول سخت‌افزاری را جدی بگیرید.

برای انتخاب نوع کیف پول، تفاوت کیف پول سرد و گرم و کیف پول امن برای نگهداری بیت‌کوین را بخوانید. اصول پشتیبان‌گیری را هم در اهمیت بکاپ در کیف پول‌های ارز دیجیتال مفصل توضیح داده‌ایم.

لایه‌ی چهارم: امنیت هنگام انتقال

حتی با حساب امن و کیف پول امن، یک انتقال اشتباه می‌تواند همه‌چیز را از بین ببرد. سه خطر را بشناسید:

مسموم‌سازی آدرس

کلاهبردار آدرسی می‌سازد که چند کاراکتر اول و آخرش با آدرسی که شما زیاد استفاده می‌کنید یکی است و یک تراکنش بی‌ارزش از آن برایتان می‌فرستد. حالا آن آدرس جعلی در تاریخچه‌ی شما نشسته است. دفعه‌ی بعد اگر آدرس را از تاریخچه کپی کنید، پول به جیب او می‌رود. همیشه آدرس را از منبع اصلی بردارید و چند کاراکتر وسطش را هم چک کنید.

بدافزار کلیپ‌بورد

برخی بدافزارها آدرسی را که کپی کرده‌اید، در لحظه‌ی چسباندن با آدرس مهاجم عوض می‌کنند. بعد از چسباندن، آدرس را دوباره با مبدأ مقایسه کنید و نرم‌افزارهای کرک‌شده یا ناشناس را روی دستگاهی که با آن معامله می‌کنید نصب نکنید.

شبکه‌ی اشتباه

یک توکن ممکن است روی چند شبکه وجود داشته باشد. ارسال روی شبکه‌ای که مقصد پشتیبانی نمی‌کند، در بیشتر موارد یعنی از دست رفتن دارایی. برای اولین انتقال به هر آدرس جدید، یک مبلغ کم آزمایشی بفرستید.

کلاهبرداری‌های رایج میان کاربران ایرانی

نوع کلاهبرداری	نوع کلاهبرداری	واکنش درست
کانال سیگنال با سود تضمینی	وعده‌ی سود روزانه یا ماهانه‌ی ثابت	در بازار پرنوسان سود تضمینی وجود ندارد
پامپ و دامپ گروهی	دعوت به خرید هم‌زمان یک ارز کم‌حجم	فاصله بگیرید؛ برگزارکننده زودتر از همه می‌فروشد
ارز تازه با وعده‌ی چندبرابر شدن	تیم ناشناس، وایت‌پیپر کپی، نقدشوندگی کم	فاکتورهای تشخیص پروژه‌ی کلاهبرداری را چک کنید
اجاره یا خرید حساب احرازشده	پیشنهاد پول در ازای استفاده از حساب شما	رد کنید؛ مسئولیت قانونی تمام تراکنش‌ها با صاحب حساب است
آگهی شغلی «اپراتور خرید تتر»	واریز پول ناشناس به کارت شما برای خرید تتر	این پول معمولاً حاصل کلاهبرداری است و حساب شما درگیر پرونده می‌شود
ایردراپ یا جایزه‌ی جعلی	درخواست اتصال کیف پول یا تأیید یک تراکنش برای «دریافت جایزه»	به سایت ناشناس اجازه‌ی خرج کردن توکن ندهید
فروش تتر زیر قیمت در تلگرام	قیمت چند درصد کمتر از بازار و درخواست واریز اول	معامله‌ی شخص‌به‌شخص با ناشناس را کنار بگذارید

یکی از این موارد بیش از بقیه آسیب می‌زند: اجاره‌ی حساب. بسیاری فکر می‌کنند در ازای مبلغی کم فقط «اسم» خود را قرض داده‌اند، اما وقتی حساب در زنجیره‌ی کلاهبرداری یا پولشویی استفاده شود، پیگیری قانونی به سراغ صاحب حساب می‌آید.

دلیل سخت‌گیری صرافی‌ها در احراز هویت* هم همین است.

اگر حسابتان هک شد یا دارایی سرقت رفت

۱. فوراً رمز عبور را عوض کنید و همه‌ی نشست‌های فعال را خارج کنید. اگر به ایمیل یا سیم‌کارت هم مشکوک هستید، رمز آن‌ها را هم تغییر دهید.

۲. با پشتیبانی تماس بگیرید. در آساکوین از طریق شماره‌ی ۹۱۰۱۸۲۴۸-۰۲۱ یا ثبت تیکت درخواست بررسی و مسدودسازی موقت حساب را بدهید. سرعت در این مرحله تعیین‌کننده است.

۳. باقی‌مانده‌ی دارایی را جابه‌جا کنید. اگر کیف پول شخصی‌تان افشا شده، موجودی باقی‌مانده را به یک کیف پول کاملاً جدید با عبارت بازیابی جدید منتقل کنید.

۴. مدارک را نگه دارید: شناسه‌ی تراکنش (TXID)، آدرس‌ها، اسکرین‌شات گفتگوها و پیامک‌ها.

۵. شکایت رسمی ثبت کنید. پرونده‌های جرایم سایبری در ایران از طریق پلیس فتا پیگیری می‌شود.

چک‌لیست ۱۰ دقیقه‌ای امنیت ارز دیجیتال

• رمز حساب صرافی در هیچ سایت دیگری استفاده نشده است.
• تأیید دومرحله‌ای با اپلیکیشن فعال است و کد پشتیبانش روی کاغذ نوشته شده.
• آدرس صرافی در بوکمارک مرورگر ذخیره شده است.
• ایمیل متصل به حساب هم رمز یکتا و تأیید دومرحله‌ای دارد.
• عبارت بازیابی کیف پول شخصی هیچ نسخه‌ی دیجیتالی ندارد.
• فهرست دستگاه‌ها و نشست‌های فعال را بررسی کرده‌اید.
• شماره‌ی پشتیبانی رسمی را در گوشی ذخیره کرده‌اید.

سؤالات متداول امنیت ارز دیجیتال

امنیت حساب شما در آساکوین از تنظیمات خودتان شروع می‌شود. همین حالا تأیید دومرحله‌ای را فعال کنید و برای آشنایی با تیم و تعهدات آساکوین، صفحه‌ی درباره‌ی آساکوین را ببینید. اگر هنوز با مفاهیم پایه آشنا نیستید، از ارز دیجیتال چیست* شروع کنید.