امنیت کیف پول ارز دیجیتال: ۱۲ قانون طلایی قبل از اولین خرید

درس ۱ از ۱۰ · مبتدی

چرا امنیت قبل از خرید، نه بعد از آن؟

در دنیای کریپتو، بانکی وجود ندارد که تراکنش اشتباه را برگرداند. وقتی دارایی از کیف پول شما خارج شد، در بیشتر موارد برگشتی در کار نیست. به همین دلیل امنیت را باید قبل از اولین خرید یاد گرفت، نه بعد از اولین ضرر.

نکته‌ی مهم این است که در سال‌های اخیر بیشتر دارایی‌ها با فریب انسان و لو رفتن کلیدها از دست رفته‌اند، نه با شکستن رمزنگاری. طبق گزارش Chainalysis (ژانویه‌ی ۲۰۲۶)، کلاهبرداری‌ها در سال ۲۰۲۵ حدود ۱۷ میلیارد دلار ارز دیجیتال دریافت کرده‌اند و کلاهبرداری‌های مبتنی بر جعل هویت نسبت به سال قبل حدود ۱۴۰۰ درصد رشد داشته‌اند. حتی متخصصان هم مصون نیستند: در هک بای‌بیت (فوریه‌ی ۲۰۲۵، حدود ۱.۵ میلیارد دلار) امضاکنندگان تراکنشی را تأیید کردند که روی صفحه‌شان عادی به نظر می‌رسید، اما در واقع چیز دیگری بود.

دوازده قانون زیر حداقل چیزی است که هر تازه‌کار باید رعایت کند. این قوانین شما را صددرصد امن نمی‌کنند، اما بیشتر راه‌های رایج از دست دادن دارایی را می‌بندند.

قوانین ۱ تا ۴: دستگاه و حساب‌های شما

• ۱. دستگاه تمیز داشته باشید. سیستم‌عامل و مرورگر را به‌روز نگه دارید، نرم‌افزار کرک‌شده و افزونه‌ی ناشناس نصب نکنید و فایل‌هایی را که در تلگرام یا ایمیل برایتان فرستاده‌اند اجرا نکنید. اگر می‌توانید، برای کارهای کریپتویی یک پروفایل مرورگر جداگانه با کمترین افزونه داشته باشید.
• ۲. تأیید دومرحله‌ای با اپلیکیشن، نه پیامک. کد پیامکی با ترفندی به نام سیم‌سواپ (گرفتن سیم‌کارت المثنی به نام شما) قابل سرقت است. اپ‌های احراز هویت یا کلید سخت‌افزاری امنیت بیشتری دارند. کدهای پشتیبان 2FA را هم آفلاین نگه دارید.
• ۳. رمز یکتا برای هر حساب. اگر رمز صرافی‌تان با رمز یک سایت دیگر یکی باشد، نشت اطلاعات آن سایت یعنی باز شدن حساب صرافی. یک مدیر رمز عبور معتبر این کار را ساده می‌کند.
• ۴. ایمیل را مثل گاوصندوق ببینید. ایمیلی که به صرافی وصل است کلید بازیابی همه‌چیز است؛ آن را با 2FA قوی ببندید و جایی منتشرش نکنید.

قوانین ۵ تا ۸: کیف پول و عبارت بازیابی

• ۵. عبارت بازیابی (Seed Phrase) یعنی خود پول. هر کس این ۱۲ یا ۲۴ کلمه را داشته باشد، صاحب دارایی است. آن را هرگز در هیچ سایت، اپ، فرم یا چتی تایپ نکنید، از آن عکس نگیرید و در فضای ابری یا پیام‌های ذخیره‌شده‌ی تلگرام نگه ندارید. یک نسخه‌ی کاغذی یا فلزی در جای امن کافی است.
• ۶. کیف پول «گاوصندوق» را از کیف پول «روزمره» جدا کنید. بخش اصلی دارایی در یک کیف پول سخت‌افزاری یا کیف پولی که به هیچ سایتی وصل نمی‌شود بماند. برای کار با اپ‌ها، ایردراپ‌ها و تست‌ها یک کیف پول گرم جداگانه با مبلغ کم داشته باشید. اگر کیف پول گرم خالی شود، گاوصندوق سالم می‌ماند.
• ۷. کیف پول را فقط از منبع رسمی نصب کنید. فروشگاه اپلیکیشن هم همیشه امن نیست. طبق گزارش BleepingComputer، در آوریل ۲۰۲۶ یک اپ جعلی Ledger Live در اپ‌استور اپل از حدود ۵۰ نفر حدود ۹.۵ میلیون دلار برد؛ قربانیان عبارت بازیابی خود را در آن وارد کرده بودند. نام سازنده، آدرس سایت رسمی و تعداد دانلود را چک کنید.
• ۸. کیف پول سخت‌افزاری جادو نمی‌کند. اگر عبارت بازیابی‌اش را در اپ جعلی تایپ کنید یا یک مجوز مخرب را امضا کنید، کیف سخت‌افزاری هم جلوی شما را نمی‌گیرد. فقط کلید را از اینترنت دور نگه می‌دارد.

قوانین ۹ تا ۱۲: تراکنش و رفتار روزمره

• ۹. آدرس کامل و شبکه را چک کنید و اول تراکنش آزمایشی بفرستید. فقط اول و آخر آدرس را نگاه نکنید. شبکه‌ی مقصد (مثلاً TRC20 یا ERC20) باید با شبکه‌ی گیرنده یکی باشد. برای مبالغ بزرگ، یک مبلغ کوچک بفرستید و رسیدنش را ببینید. هرگز آدرس را از تاریخچه‌ی تراکنش‌ها کپی نکنید؛ در درس «مسموم‌سازی آدرس» دلیلش را می‌بینیم.
• ۱۰. هر چیزی را که امضا می‌کنید بخوانید. پیام‌هایی مثل Approve، Permit یا Set Approval For All می‌توانند اجازه‌ی خالی کردن کیف پول را بدهند. اگر نمی‌فهمید چه چیزی امضا می‌کنید، امضا نکنید.
• ۱۱. پشتیبانی هرگز اول پیام نمی‌دهد. هیچ صرافی یا کیف پول معتبری عبارت بازیابی، رمز یا دسترسی از راه دور به گوشی شما را نمی‌خواهد. کسی که در دایرکت خود را «ادمین» یا «پشتیبان» معرفی می‌کند، تا خلافش ثابت نشده کلاهبردار است.
• ۱۲. دارایی‌تان را جار نزنید و همه‌چیز را یک‌جا نگه ندارید. طبق گزارش Chainalysis، در نیمه‌ی اول ۲۰۲۶ بیش از ۳۰ میلیون دلار در ۴۶ حمله‌ی فیزیکی (تهدید و زورگیری از دارندگان کریپتو) سرقت شده است. نگه داشتن همه‌ی دارایی روی صرافی هم ریسک خودش را دارد: در ژوئن ۲۰۲۵ حدود ۹۰ میلیون دلار از دارایی‌های نوبیتکس در یک حمله‌ی سایبری از بین رفت، و حساب‌های صرافی ممکن است مسدود شوند.

یک روال ساده برای شروع

اگر همین امروز می‌خواهید شروع کنید، این ترتیب را دنبال کنید:

• اول دستگاه را به‌روز و تمیز کنید و 2FA اپلیکیشنی را روی ایمیل و صرافی فعال کنید.
• کیف پول را از منبع رسمی نصب کنید، عبارت بازیابی را روی کاغذ بنویسید و یک بار بازیابی را تمرین کنید.
• یک کیف پول جداگانه با مبلغ کم برای کار با سایت‌ها بسازید.
• اولین انتقال را با مبلغ کوچک انجام دهید و آن را در اکسپلورر دنبال کنید.
• هر ماه یک بار مجوزهای (Approvals) کیف پول روزمره را مرور کنید.

هیچ‌کدام از این قدم‌ها به دانش فنی عمیق نیاز ندارد؛ فقط به نظم نیاز دارد. بیشتر کسانی که دارایی‌شان را از دست داده‌اند، یکی از همین قوانین ساده را زیر پا گذاشته بودند.

پرسش‌های پرتکرار

امن‌ترین راه نگهداری عبارت بازیابی چیست؟

نسخه‌ی آفلاین روی کاغذ یا صفحه‌ی فلزی، در جایی امن و دور از دسترس دیگران. عکس، فایل، ایمیل و فضای ابری از رایج‌ترین راه‌های لو رفتن آن است.

آیا با کیف پول سخت‌افزاری دیگر نگرانی ندارم؟

نه. کیف سخت‌افزاری کلید را آفلاین نگه می‌دارد، اما اگر عبارت بازیابی را در اپ جعلی وارد کنید یا مجوز مخربی را امضا کنید، دارایی از دست می‌رود.

چرا تأیید دومرحله‌ای پیامکی کافی نیست؟

چون با سیم‌سواپ یا دسترسی به خط تلفن قابل دور زدن است. اپ احراز هویت یا کلید سخت‌افزاری روی دستگاه خود شما می‌ماند و امن‌تر است.

این درس آموزشی است و توصیه‌ی خرید یا فروش نیست؛ ما سیگنال نمی‌دهیم. مثال‌های قیمتی فقط برای توضیح‌اند. هر روشی را اول روی حساب دمو و با مدیریت ریسک امتحان کنید.