فیشینگ، اپ جعلی و ایردراپ تلگرام تقلبی: چطور فریب نخوریم
درس ۲ از ۱۰ · مبتدی
فیشینگ در کریپتو دنبال چه چیزی است؟
فیشینگ یعنی فریب دادن شما تا خودتان کلید گاوصندوق را تحویل دهید. در کریپتو این «کلید» معمولاً یکی از سه چیز است:
- عبارت بازیابی یا کلید خصوصی: با آن، مهاجم کل کیف پول را در اختیار می‌گیرد.
- یک امضا یا مجوز: با آن، مهاجم اجازه‌ی برداشت توکن‌های مشخصی را می‌گیرد (در درس بعد مفصل بررسی می‌کنیم).
- اطلاعات ورود به صرافی: رمز، کد 2FA یا ایمیل تأیید.
فرقی نمی‌کند ظاهر حمله سایت باشد، اپ، ربات تلگرام یا پیام پشتیبانی؛ در انتها همیشه از شما یکی از این سه را می‌خواهد. اگر این قاعده را به خاطر بسپارید، بیشتر حمله‌ها را تشخیص می‌دهید.
سایت کپی‌شده و اپ جعلی
سایت‌های کپی ظاهر سایت اصلی را عیناً تقلید می‌کنند و فقط آدرس‌شان کمی فرق دارد: یک حرف اضافه، جابه‌جایی دو حرف، پسوند متفاوت، یا حروفی که شبیه حروف لاتین‌اند ولی نیستند. این سایت‌ها گاهی از طریق تبلیغ در نتایج جست‌وجو بالاتر از سایت اصلی نمایش داده می‌شوند، پس «اولین نتیجه‌ی گوگل» تضمین نیست.
اپ‌های جعلی کیف پول خطرناک‌ترند، چون کاربر به فروشگاه رسمی اعتماد دارد. طبق گزارش BleepingComputer، بین ۸ تا ۱۱ آوریل ۲۰۲۶ یک اپ جعلی با نام Ledger Live در اپاستور اپل منتشر شد و از حدود ۵۰ قربانی حدود ۹.۵ میلیون دلار برد. سازوکار ساده بود: اپ از کاربر می‌خواست عبارت بازیابی را «برای همگام‌سازی» وارد کند. اپ واقعی کیف پول سخت‌افزاری هرگز چنین چیزی نمیخواهد؛ عبارت بازیابی فقط روی خود دستگاه سخت‌افزاری و فقط هنگام بازیابی وارد میشود.
چک‌لیست قبل از نصب یا ورود
- آدرس سایت رسمی را یک بار از منبع مطمئن پیدا کنید و در نشانک (Bookmark) ذخیره کنید؛ از آن به بعد فقط از نشانک وارد شوید.
- در فروشگاه اپ، نام ناشر (Developer) را با نام شرکت سازنده مقایسه کنید و ببینید سایت رسمی به همان اپ لینک داده است یا نه.
- هر اپ یا سایتی که عبارت بازیابی را «برای تأیید»، «همگام‌سازی» یا «رفع خطا» می‌خواهد، بدون استثنا جعلی است.
ایردراپ تلگرام و صفحه‌ی «دریافت جایزه»
ایردراپ یعنی توزیع رایگان توکن بین کاربران. پروژه‌های واقعی هم ایردراپ دارند، اما همین محبوبیت آن را به طعمه‌ی اصلی کلاهبرداران تبدیل کرده است. بازی‌های «ضربه بزن و درآمد کسب کن» در تلگرام در سال ۲۰۲۴ در ایران بسیار پرطرفدار شدند؛ طبق گزارش Decrypt، توکن HMSTR (مربوط به بازی Hamster Kombat) ظرف چند هفته پس از لیست شدن بیش از ۷۰ درصد افت کرد. یعنی حتی ایردراپ واقعی هم الزاماً ارزش پایدار ندارد.
الگوهای رایج ایردراپ تقلبی:
- توکن ناشناسی که خودبه‌خود در کیف پول شما ظاهر میشود و نام یا توضیحش شما را به یک سایت «Claim» می‌فرستد. در آن سایت با وصل کردن کیف پول و امضای یک پیام، مجوز برداشت دارایی‌های واقعی‌تان را می‌دهید.
- ربات یا مینی‌اپ تلگرامی که برای «ثبت کیف پول» یا «احراز ایردراپ» عبارت بازیابی می‌خواهد.
- کارمزد آزادسازی: «برای دریافت ایردراپ ابتدا مبلغی تتر به عنوان کارمزد بفرستید.» ایردراپ واقعی هرگز پیشپرداخت نمیخواهد.
- کانال‌های کپی با نام و لوگوی پروژه‌ی اصلی که لینک «رسمی» جعلی پخش می‌کنند.
قاعده‌ی کلی: توکن ناشناسی را که بدون درخواست به کیف پول‌تان آمده، لمس نکنید؛ نه بفروشید، نه منتقل کنید، نه به سایتش بروید.
جعل هویت پشتیبانی و کیف پول یک‌بارمصرف
وقتی در گروه عمومی تلگرام سؤالی درباره‌ی مشکل برداشت می‌پرسید، چند دقیقه بعد «پشتیبان» در دایرکت پیام می‌دهد. این یکی از قدیمی‌ترین و هنوز مؤثرترین ترفندهاست. نسخه‌ی پیشرفته‌ترش وقتی است که کلاهبردار اطلاعات واقعی شما را دارد: طبق گزارش CNBC، در مه ۲۰۲۵ چند کارمند پشتیبانی خارجی کوین‌بیس رشوه گرفتند و اطلاعات مشتریان را لو دادند، و همین اطلاعات به تماس‌های جعلی «از طرف کوین‌بیس» خوراک داد. پس اینکه تماس‌گیرنده نام و موجودی شما را می‌داند، دلیل واقعی بودنش نیست.
دفاع عملی:
- هیچ‌وقت از طریق لینک یا شماره‌ای که خود تماس‌گیرنده داده، پیگیری نکنید؛ خودتان از اپ یا سایت رسمی تیکت بزنید.
- برای امتحان کردن سایت‌ها، ایردراپ‌ها و مینی‌اپ‌ها از یک کیف پول یک‌بارمصرف (Burner) استفاده کنید که جز مبلغ کمی برای کارمزد، چیزی در آن نیست.
- کیف پول یک‌بارمصرف را هرگز به گاوصندوق وصل نکنید و از گاوصندوق مستقیماً به سایت‌های ناشناس وصل نشوید.
نشانه‌های هشدار در یک نگاه
کلاهبرداران جمله‌ها را عوض می‌کنند، اما الگو ثابت می‌ماند. این جدول را کنار دستتان نگه دارید:
| چیزی که می‌شنوید | واقعیت |
| «کیف پول شما نیاز به همگام‌سازی دارد؛ کلمات بازیابی را وارد کنید.» | هیچ کیف پول یا صرافی واقعی چنین درخواستی ندارد. |
| «فقط ۲۴ ساعت فرصت دارید جایزه را بگیرید.» | فوریت ساختگی برای این است که فرصت فکر کردن نداشته باشید. |
| «برای آزاد شدن ایردراپ کارمزد بفرستید.» | پیشپرداخت برای دریافت پول رایگان، همیشه کلاهبرداری است. |
| «از پشتیبانی هستم، اسکرین‌شات صفحه‌تان را بفرستید یا این اپ را نصب کنید.» | اپ‌های دسترسی از راه دور به مهاجم اجازه می‌دهند هر کاری روی دستگاه شما بکند. |
| «این امضا فقط برای ورود است و هزینه ندارد.» | بعضی امضاهای «بدون کارمزد» مجوز برداشت توکن‌اند. |
اگر روی لینک مشکوکی کلیک کردید ولی چیزی امضا نکردید و کلمه‌ای وارد نکردید، معمولاً اتفاقی نیفتاده است؛ صفحه را ببندید. اگر چیزی امضا یا وارد کردید، مستقیم به درس «اگر هک شدم چه کنم؟» بروید.
اشتباه‌های رایج
- ورود به سایت صرافی یا کیف پول از روی تبلیغ موتور جست‌وجو یا لینک گروه تلگرامی.
- وارد کردن عبارت بازیابی در اپی که ادعا می‌کند برای «همگام‌سازی» یا «رفع خطا» به آن نیاز دارد.
- تلاش برای فروش یا انتقال توکن ناشناسی که بدون درخواست در کیف پول ظاهر شده است.
- پرداخت «کارمزد آزادسازی» برای دریافت ایردراپ یا جایزه.
- اعتماد به پشتیبانی که اول پیام داده، فقط چون نام و جزئیات حساب شما را می‌داند.
- شرکت در ایردراپ‌ها با همان کیف پولی که بیشتر دارایی در آن است.
حجم و داده اینجا چه می‌گوید؟
قبل از اینکه به یک ایردراپ یا توکن ناشناس اعتماد کنید، چند چیز را خودتان در اکسپلورر بررسی کنید:
- قرارداد توکن: آدرس قرارداد را با آدرسی که سایت رسمی یا مستندات پروژه اعلام کرده مقایسه کنید. نام و نماد توکن را هر کسی می‌تواند کپی کند؛ آدرس قرارداد را نه.
- الگوی توزیع: اگر همان توکن به هزاران آدرس تصادفی با مقدار یکسان فرستاده شده، این بیشتر شبیه کمپین طعمه‌گذاری است تا ایردراپ واقعی.
- دارندگان و نقدشوندگی: تعداد دارنده‌ها، تمرکز موجودی در چند آدرس و وجود یا نبود بازار واقعی برای معامله، تصویر روشنی می‌دهد. توکنی که «ارزش» زیادی در کیف پول‌تان نشان می‌دهد ولی بازار واقعی ندارد، فقط عدد روی صفحه است.
این بررسی‌ها قطعیت نمی‌دهند، اما خیلی از تله‌ها را قبل از اولین کلیک نشان می‌دهند.
پرسش‌های پرتکرار
ایردراپ تلگرام واقعی را از تقلبی چطور تشخیص دهم؟
ایردراپ واقعی هرگز عبارت بازیابی یا پیشپرداخت نمیخواهد و اطلاعاتش در کانالها و سایت رسمی پروژه منتشر میشود. هر درخواستی برای کارمزد آزادسازی یا وارد کردن کلمات بازیابی، نشانهی قطعی کلاهبرداری است.
یک توکن ناشناس در کیف پولم ظاهر شده؛ چه کنم؟
هیچ کاری نکنید؛ نه به سایتش بروید، نه بفروشید و نه منتقل کنید. خود توکن معمولاً بی‌خطر است، اما تعامل با سایتی که معرفی می‌کند می‌تواند به امضای مجوز مخرب برسد.
اپ کیف پول در اپاستور رسمی است؛ پس امن است؟
نه لزوماً. پروندهی اپ جعلی Ledger Live در آوریل ۲۰۲۶ نشان داد اپ تقلبی هم ممکن است موقتاً در فروشگاه رسمی باشد. ناشر را با سایت رسمی تطبیق دهید.
این درس آموزشی است و توصیه‌ی خرید یا فروش نیست؛ ما سیگنال نمی‌دهیم. مثال‌های قیمتی فقط برای توضیح‌اند. هر روشی را اول روی حساب دمو و با مدیریت ریسک امتحان کنید.