چگونه بفهمیم کیف پول ارز دیجیتال ما هک شده است: ۱۰ نشانه هشداردهنده
انتقال تأییدشده‌ای که شما اجازه آن را نداده‌اید، روشن‌ترین نشانه وجود مشکل است. اما کیف پول ممکن است پیش از ناپدید شدن هرگونه دارایی ناامن شده باشد. عبارت بازیابی دزدیده‌شده، مجوز پنهان برای خرج کردن دارایی یا تغییر در فردی که کنترل کیف پول را در اختیار دارد، می‌تواند به مهاجم دسترسی بدهد؛ حتی وقتی موجودی شما هنوز عادی به نظر می‌رسد.
برخی از نشانه‌های هشداردهنده زیر به سرقت واقعی اشاره دارند. بعضی دیگر نشان می‌دهند که احتمال دارد کیف پول یا دستگاه شما در معرض خطر باشد. این تفاوت مهم است، چون راه‌حل به شیوه دسترسی مهاجم بستگی دارد.
اگر همین حالا دارایی از کیف پول خارج می‌شود، دیگر چیزی به آن واریز نکنید و مستقیم به مراحل واکنش در نزدیکی پایان مقاله بروید.
هک شدن کیف پول ارز دیجیتال دقیقاً به چه معناست؟
ارزهای دیجیتال شما روی بلاک‌چین ثبت می‌شوند. کیف پول به کمک کلیدهای خصوصی یا قواعد دیگرِ مجوزدهی، امکان کنترل آن‌ها را به شما می‌دهد. عبارت بازیابی که عبارت سید (seed phrase) نیز نامیده می‌شود، می‌تواند کلیدهای بسیاری از حساب‌های کیف پول را دوباره ایجاد کند.
افراد واژه «هک‌شده» را برای چند مشکل متفاوت به کار می‌برند:
- سرقت کلیدها: شخصی کلید خصوصی یا عبارت بازیابی شما را در اختیار دارد و می‌تواند از دستگاه دیگری تراکنش‌ها را تأیید کند.
- سوءاستفاده از مجوزها: شما قراردادی را تأیید کرده‌اید یا درخواستی را امضا کرده‌اید که به شخص دیگری اجازه جابه‌جایی دارایی‌های مشخصی را می‌دهد. ممکن است کلیدهای شما همچنان محرمانه مانده باشند.
- آلودگی دستگاه یا برنامه: بدافزار، کیف پول جعلی یا افزونه مخرب اطلاعات را می‌دزدد یا آنچه را قصد ارسالش دارید تغییر می‌دهد.
- نفوذ به حساب صرافی: شخصی به حسابی دسترسی پیدا می‌کند که یک شرکت ارز دیجیتال شما را در آن نگهداری می‌کند.
کیف پول سخت‌افزاری به محافظت از کلیدهای خصوصی کمک می‌کند، اما نمی‌تواند مجوز خطرناک را ایمن کند. اگر اقدام اشتباهی را تأیید کنید، ممکن است کیف پول سخت‌افزاری آن را به‌درستی امضا کند.
1. ارز دیجیتال واقعی بدون اجازه شما از کیف پول خارج می‌شود
با انتقال تکمیل‌شده، فروش NFT یا برداشتی مواجه می‌شوید که توضیحی برای آن ندارید. ممکن است این اتفاق وقتی تلفن شما خاموش است یا از رایانه دور هستید رخ دهد.
ابتدا احتمال اقدام‌هایی را که قبلاً خودتان تنظیم کرده‌اید بررسی و رد کنید؛ مانند پرداخت خودکار، برداشت از صرافی یا عملیاتی در یک برنامه معاملاتی. سپس تراکنش واقعی را روی بلاک‌چین بررسی کنید.
مطمئن شوید دارایی واقعی جابه‌جا شده و موجودی شما کاهش یافته است. یک مورد عجیب در فهرست فعالیت‌های کیف پول به‌تنهایی کافی نیست. کلاهبرداران می‌توانند سوابق گمراه‌کننده توکن ایجاد کنند که ظاهراً انتقال از آدرس شما را نشان می‌دهند.
به‌محض تأیید انتقال بدون مجوز دارایی واقعی، فوراً اقدام کنید. لازم نیست صبر کنید تا تمام موجودی کیف پول خالی شود.
2. واریزهای جدید تقریباً بلافاصله ناپدید می‌شوند
برای پرداخت کارمزد تراکنش، ETH یا کوین بومی شبکه دیگری را به کیف پول می‌فرستید. ظرف چند ثانیه آن دارایی به آدرسی ناآشنا منتقل می‌شود. واریز بعدی نیز به همین سرنوشت دچار می‌شود.
این الگوی رایج عملکرد بات تخلیه‌کننده (sweeper bot) است؛ برنامه‌ای که کیف پول در معرض خطر را زیر نظر می‌گیرد و دارایی قابل‌دسترسی را خودکار خارج می‌کند. اگر خودکارسازی‌هایی را که عمداً راه‌اندازی کرده‌اید کنار بگذاریم، تکرار چنین برداشت‌هایی نشانه مهمی از دسترسی غیرمجاز است.
این بات می‌تواند روی رایانه مهاجم اجرا شود. بستن برنامه کیف پول یا راه‌اندازی مجدد تلفن آن را متوقف نمی‌کند. بعضی بات‌ها موجودی کم را دست‌نخورده می‌گذارند تا واریز بزرگ‌تری برسد؛ بنابراین باقی ماندن پول در کیف پول به معنای امن بودن آن نیست.
به واریز پول برای کارمزد گس ادامه ندهید و واریز آزمایشی هم انجام ندهید. ممکن است فقط در حال تأمین مالی مهاجم باشید.
3. مجوزهای ناشناخته برای توکن یا NFT پیدا می‌کنید
بسیاری از برنامه‌های ارز دیجیتال برای خرج کردن توکن درخواست مجوز می‌کنند. این مجوزها ممکن است مدت‌ها پس از توقف استفاده از برنامه فعال بمانند.
از نشانه‌های هشدار می‌توان به خرج‌کننده‌ای (spender) اشاره کرد که به‌تازگی اضافه شده و نمی‌شناسید، دسترسی‌ای که پس از بازدید از سایتی مشکوک داده شده، یا سقف هزینه‌ای بسیار بالاتر از مقدار لازم برای اقدام موردنظر. مجوز NFT ممکن است به یک اپراتور اجازه دهد تمام NFTهای شما را در یک مجموعه مشخص منتقل کند.
مجوز نامحدود در برنامه‌های معتبر هم رایج است و به‌خودی‌خود هک را ثابت نمی‌کند. آنچه اهمیت دارد این است که چه کسی دسترسی دارد، چه دارایی‌هایی را می‌تواند جابه‌جا کند و آیا شما قصد اعطای آن مجوز را داشته‌اید یا نه.
شبکه، قرارداد واقعی توکن، شخص مجاز به خرج کردن و مقدار مجوز را بررسی کنید. قطع اتصال وب‌سایت از کیف پول، مجوزی را که پیش‌تر روی بلاک‌چین ثبت شده لغو نمی‌کند.
4. درخواست ظاهری ورود به حساب، حق خرج کردن دارایی می‌دهد
برای ورود، دریافت پاداش یا تأیید کیف پول به وب‌سایتی مراجعه می‌کنید. سایت امضایی بدون کارمزد تراکنش می‌خواهد. درخواست حاوی مقدار توکن، آدرس شخص مجاز به خرج کردن یا سفارش فروش NFT است که قصد تأیید آن را نداشته‌اید.
بعضی امضاها بدون نیاز به تراکنش جداگانه تأیید مجوز از طرف شما، اجازه خرج کردن می‌دهند. قابلیت‌های Permit و Permit2 و همچنین امضاهای سفارش در بازارهای معاملاتی نمونه‌های مناسبی هستند. برنامه‌های معتبر از آن‌ها استفاده می‌کنند، اما کلاهبرداران می‌توانند آن‌ها را در قالب مراحل بی‌ضرر ورود پنهان کنند.
نداشتن کارمزد گس هیچ چیزی درباره امن بودن امضا نشان نمی‌دهد.
نکته دیگری هم وجود دارد: مجوز امضاشده‌ای که هنوز استفاده نشده ممکن است تا وقتی شخصی آن را ارسال نکند، خارج از بلاک‌چین باقی بماند. فهرست معمول تراکنش‌های شما و گاهی ابزار بررسی مجوزها ممکن است مشکلی نشان ندهند، درحالی‌که آن مجوز هنوز قابل استفاده است.
اگر درخواست مشکوکی را امضا کرده‌اید، تعامل با سایت را متوقف کنید و بررسی کنید امضا چه اختیاری داده است. شیوه لغو به نوع مجوز بستگی دارد. لغو یک مجوز معمولی، همه امضاهای استفاده‌نشده را بی‌اعتبار نمی‌کند.
5. کیف پول مالک جدید یا مجوز کنترل ناشناخته‌ای دارد
برخی کیف پول‌ها چند مالک، مخاطب بازیابی، کلید امضای موقت یا ماژول نرم‌افزاری دارند که می‌توانند اقداماتی انجام دهند. به این‌ها معمولاً کیف پول هوشمند یا حساب هوشمند گفته می‌شود.
وجود مالکی که هرگز اضافه نکرده‌اید، کاهش تعداد امضاهای لازم، روش بازیابی ناشناخته یا ماژول جدید باید فوراً بررسی شود. بسته به اختیارات این تغییر، ممکن است شخصی بتواند بدون فرایند تأیید همیشگی شما دارایی‌ها را منتقل کند.
در Ethereum و شبکه‌های سازگار، قابلیتی به نام EIP-7702 نیز به کیف پول معمولی اجازه می‌دهد اجرای کد از طریق آدرس خود را مجاز کند. مجوز مخرب می‌تواند بدون افشای عبارت بازیابی، دسترسی مداوم ایجاد کند.
یک نکته به‌راحتی از قلم می‌افتد: در این قابلیت، تفویض اختیارِ پذیرفته‌شده ممکن است حتی در صورت شکست اجرای تراکنش باقی بماند. برچسب «ناموفق» همیشه به این معنا نیست که تنظیمات کنترل کیف پول تغییری نکرده‌اند.
این مجوزها را با ابزارهای رسمی کیف پول بررسی کنید. صرفاً حذف مجوزهای توکن، مالک ناشناخته کیف پول یا تفویض اختیار را حذف نمی‌کند.
6. عبارت بازیابی یا کلید خصوصی شما افشا شده است
عبارت بازیابی را در وب‌سایتی وارد کرده‌اید، برای کسی که ادعا کرده پشتیبانی است فرستاده‌اید یا آن را به برنامه کیف پولی وارد کرده‌اید که بعداً معلوم شده جعلی است. همچنین ممکن است بفهمید نسخه پشتیبان خوانا از طریق حساب ابری نفوذشده یا فایل اشتراکی در دسترس بوده است.
حساب‌هایی را که آن اطلاعات محرمانه کنترل می‌کند، در معرض نفوذ بدانید؛ حتی اگر هنوز دارایی‌ای جابه‌جا نشده باشد. شخص دیگری می‌تواند کیف پول را در جایی دیگر بازسازی کند، بی‌آنکه هشدار ورود در برنامه شما ایجاد شود.
تغییر رمز عبور برنامه کیف پول، کلیدهای خصوصی افشاشده را عوض نمی‌کند. ساختن حساب جدید با همان عبارت بازیابی نیز مشکل را حل نمی‌کند.
دامنه افشا اهمیت دارد. افشای عبارت بازیابی می‌تواند حساب‌های زیادی را به خطر بیندازد. اما افشای کلید خصوصی‌ای که به‌طور جداگانه وارد شده شاید فقط همان حساب تحت کنترل آن را درگیر کند.
7. به نظر می‌رسد برنامه یا افزونه کیف پول شما جایگزین شده است
با افزونه‌ای مواجه می‌شوید که نصب نکرده‌اید، فایل دانلود کیف پول جعلی را پیدا می‌کنید یا هشدار امنیتی درباره نرم‌افزاری می‌بینید که اطلاعات کیف پول را می‌دزدد. همچنین ممکن است کیف پول آشنای شما پس از تغییری نامشخص ناگهان درخواست بازیابی بدهد.
درخواست بازیابی گاهی دلیل عادی دارد؛ مانند نصب مجدد یا پاک شدن داده‌های برنامه. این درخواست به‌تنهایی دلیل سرقت نیست، بلکه نشانه‌ای است که باید پیش از وارد کردن اطلاعات محرمانه، نرم‌افزار را بررسی کنید.
برنامه را از طریق وب‌سایت رسمی ارائه‌دهنده کیف پول تأیید کنید و هویت افزونه را بررسی کنید. کپی کردن نام و لوگوی آشنا آسان است.
اگر قبلاً عبارت بازیابی را در نرم‌افزاری مشکوک وارد کرده‌اید، آن را افشاشده در نظر بگیرید. حذف برنامه نسخه‌ای را که مهاجم قبلاً به دست آورده پاک نمی‌کند.
8. آدرس دریافت‌کننده هنگام جای‌گذاری تغییر می‌کند
آدرس دریافت‌کننده را کپی می‌کنید و در کیف پول جای‌گذاری می‌کنید، اما آدرس دیگری ظاهر می‌شود. بدافزار کلیپ‌بورد می‌تواند آدرس‌های ارز دیجیتال را با آدرس‌های متعلق به مهاجم جایگزین کند.
این اتفاق نشانه مشکلی در دستگاه یا نرم‌افزار است. لزوماً به این معنا نیست که کسی کلید خصوصی شما را دارد، اما استفاده از آن دستگاه را برای انتقال دارایی ناامن می‌کند.
مهاجمان می‌توانند آدرس جایگزینی به کار ببرند که شبیه آدرس اصلی باشد. بررسی فقط چند نویسه اول و آخر ممکن است این تعویض را آشکار نکند. تمام آدرس مقصد را با نسخه‌ای مطمئن مقایسه کنید. در کیف پول سخت‌افزاری نیز پیش از تأیید، آدرس را روی نمایشگر خود دستگاه بررسی کنید.
اگر آدرس‌ها متفاوت‌اند، تراکنش را لغو کنید. کپی و جای‌گذاری مکرر تا وقتی یکی از آدرس‌ها درست به نظر برسد، راه‌حل نیست.
9. زیان‌های بی‌دلیل در چند حساب یا شبکه رخ می‌دهند
ناپدید شدن یک توکن ممکن است ناشی از مجوز خرج کردن مشخصی باشد. انتقال‌های غیرمجاز در چند حساب که همگی از یک عبارت بازیابی مشتق شده‌اند، نگرانی درباره افشای گسترده‌تر کلیدها را افزایش می‌دهند.
برای مثال، زیان در دو شبکه همراه با فعالیت حساب دیگری تحت همان عبارت بازیابی، نیازمند بررسی گسترده‌تر است. همه حساب‌ها و شبکه‌های درگیر را بررسی کنید و فرض نکنید مشکل به نخستین توکنی محدود است که متوجه آن شده‌اید.
این الگو به محدود کردن علت‌های احتمالی کمک می‌کند، اما قطعی نیست. چند مجوز مخرب یا مجوز کنترل کیف پولی که در چند شبکه معتبر است نیز می‌تواند زیان گسترده ایجاد کند.
یکسان بودن آدرس کیف پول در شبکه‌های مختلف شبیه Ethereum عادی است و به‌تنهایی نشانه هشدار نیست. نشانه هشدار، فعالیت توضیح‌ناپذیر مربوط به آن حساب‌هاست.
10. حساب صرافی شما دسترسی‌ها یا برداشت‌های ناآشنا نشان می‌دهد
اگر ارز دیجیتال را در صرافی نگه می‌دارید، نشست‌های ناشناخته، تغییر اطلاعات بازیابی، آدرس‌های جدید برداشت یا برداشت‌هایی را که درخواست نکرده‌اید بررسی کنید. تغییر ناخواسته تنظیمات احراز هویت دومرحله‌ای به‌ویژه جدی است.
برای بررسی هشدار، خودتان برنامه یا وب‌سایت رسمی را باز کنید. ایمیل ترسناک ممکن است فیشینگ باشد. مکان ناآشنا نیز می‌تواند ناشی از VPN یا شبکه تلفن همراه باشد؛ پس دستگاه، زمان و اقدام‌های انجام‌شده در حساب را با هم بررسی کنید.
تصاحب حساب صرافی نیازمند اقدام برای امنیت حساب است. اگر ارائه‌دهنده امکان قفل کردن حساب یا محدود کردن برداشت را دارد از آن استفاده کنید، با پشتیبانی رسمی تماس بگیرید و ایمیل و روش‌های احراز هویت خود را ایمن کنید.
این بررسی‌های ورود، به همان شکل درباره کیف پول ساده‌ای که با عبارت بازیابی کنترل می‌شود صدق نمی‌کنند. فردی که کلیدهای آن را دارد ممکن است هرگز نیازی به ورود به برنامه شما نداشته باشد.
فعالیت‌های عجیبی که هک شدن را ثابت نمی‌کنند
چند اتفاق رایج ممکن است نگران‌کننده به نظر برسند:
- کاهش موجودی دلاری: ممکن است قیمت کاهش یافته باشد، درحالی‌که هنوز همان تعداد کوین را دارید.
- ناپدید شدن توکن‌ها در برنامه: شاید حساب یا شبکه اشتباهی را انتخاب کرده‌اید، توکن را پنهان کرده‌اید یا مشکلی در نمایش وجود دارد.
- خروجی ناشناخته Bitcoin: یک پرداخت می‌تواند مبلغ باقیمانده را به آدرس جدیدِ دریافت باقیمانده که متعلق به کیف پول خودتان است بازگرداند.
- توکن یا NFT ناخواسته: دریافت اسپم به‌تنهایی نشانه سرقت کلیدها نیست. آن را پنهان کنید و لینک‌هایش را دنبال نکنید یا برای حذف آن تراکنشی امضا نکنید.
- انتقال‌های بسیار کوچک یا با ارزش صفر مرتبط با آدرسی آشنا: این‌ها ممکن است «مسموم‌سازی آدرس» باشند؛ روشی که کلاهبردار آدرس دریافت‌کننده‌ای شبیه آدرس اصلی را در تاریخچه شما می‌گذارد تا بعداً آن را کپی کنید.
بعضی توکن‌های جعلی نام و نماد توکن واقعی را کپی می‌کنند. حتی می‌توانند سوابق گمراه‌کننده انتقال خروجی ایجاد کنند. پیش از اینکه سابقه‌ای را مدرک سرقت بدانید، قرارداد واقعی توکن و موجودی را بررسی کنید.
آدرس دریافت‌کننده را از فعالیت‌های اخیر کپی نکنید. آدرس را از دریافت‌کننده تأییدشده یا دفترچه آدرس مورداعتماد بگیرید.
چگونه بررسی کنیم واقعاً چه اتفاقی افتاده است
از مرورگر معتبر بلاک‌چین برای شبکه درست استفاده کنید. بدون اتصال کیف پول، پرداخت کارمزد یا افشای عبارت بازیابی می‌توانید آدرس عمومی را بررسی کنید.
این جزئیات را بررسی کنید:
- حساب و شبکه: مطمئن شوید آدرسی را بررسی می‌کنید که دارایی‌های ناپدیدشده در آن بوده‌اند.
- وضعیت تراکنش: فعالیت‌های در انتظار را از انتقال‌های تکمیل‌شده جدا کنید. برای تفویض اختیار کیف پول نیز بررسی کنید آیا با وجود شکست اجرای تراکنش، مجوزها تغییر کرده‌اند یا نه.
- دارایی واقعی: قرارداد توکن یا مجموعه NFT را تأیید کنید و فقط به نام یا لوگو تکیه نکنید.
- تغییر موجودی و مقصد: مشخص کنید چه چیزی خارج شده و به کجا رفته است. علاوه بر فهرست اصلی تراکنش‌ها، انتقال‌های توکن و NFT را نیز بررسی کنید.
- مجوزهای قبلی: مجوزها، امضاها یا تغییرات کنترل کیف پول را که با زیان ارتباط دارند پیدا کنید.
وقتی شخصی با استفاده از مجوز توکن دارایی شما را می‌گیرد، ممکن است فرستنده تراکنش حساب شخص دیگری باشد. این موضوع انتقال را بی‌خطر نمی‌کند. همچنین سابقه توکنی که آدرس شما را به‌عنوان مبدأ نشان می‌دهد ثابت نمی‌کند که خودتان تراکنش را امضا کرده‌اید.
اگر تفسیر سوابق بلاک‌چین دشوار است، آدرس عمومی و هش تراکنش را با پشتیبانی تأییدشده کیف پول به اشتراک بگذارید. این اطلاعات بدون افشای کلیدها می‌توانند به بررسی کمک کنند.
اگر نشانه‌های هشدار تأیید شدند چه کنیم؟
واریز دارایی و امضای درخواست‌ها را متوقف کنید
واریز به کیف پول آسیب‌دیده را متوقف کنید. درخواست‌های امضای جدید، از جمله پیشنهادهای «تعمیر»، «اعتبارسنجی» یا «باز کردن قفل» آن را رد کنید. استفاده از دستگاهی را که ممکن است آلوده باشد کنار بگذارید و از دستگاه مطمئن دیگری ادامه دهید.
اگر عبارت بازیابی یا کلید خصوصی افشا شده است
برای کیف پول معمولی‌ای که با اطلاعات محرمانه افشاشده کنترل می‌شود، روی دستگاهی مطمئن کیف پول جدیدی با عبارت بازیابی کاملاً جدید بسازید. اگر انتقال ایمن امکان‌پذیر است، دارایی‌های باقیمانده را منتقل کنید و سپس استفاده از حساب‌های آسیب‌دیده را کنار بگذارید. مقصدهای پرداختی را که به این حساب‌ها اشاره دارند نیز به‌روزرسانی کنید.
اگر بات تخلیه‌کننده فعال است، برای گس به کیف پول قدیمی پول واریز نکنید. نجات دارایی‌های باقیمانده ممکن است به شیوه تخصصی انجام تراکنش نیاز داشته باشد و موفقیت تضمین‌شده نیست.
اگر مشکل از مجوز یا اجازه امضاشده است
مجوزهای مربوط را از طریق ابزار تأییدشده لغو کنید و مطمئن شوید لغو تکمیل شده است. مجوز یک توکن در یک شبکه لزوماً در همه شبکه‌های دیگر اعمال نمی‌شود.
برای امضای مشکوکی که هنوز استفاده نشده، فرایند لغو مخصوص کیف پول یا پروتکل را دنبال کنید. ممکن است تا روشن شدن اینکه آیا مجوز هنوز قابل استفاده است، جابه‌جایی دارایی‌ها لازم باشد.
لغو مجوز دارایی‌های سرقت‌شده را برنمی‌گرداند. همچنین کیف پولی را که کلیدهایش افشا شده‌اند امن نمی‌کند.
اگر تنظیمات کنترل کیف پول تغییر کرده‌اند
از فرایند رسمی بازیابی یا مدیریت مجوزهای کیف پول استفاده کنید تا مالکان، ماژول‌ها، کلیدهای امضا یا تفویض اختیارهای غیرمجاز را حذف کنید. اگر کلید مالک افشا شده، در صورت پشتیبانی کیف پول، امضاکننده مربوط را جایگزین کنید. پیش از آنکه حساب را دوباره امن بدانید، راهنمایی مخصوص همان ارائه‌دهنده را دریافت کنید.
اگر به حساب صرافی دسترسی غیرمجاز پیدا شده است
از طریق فرایند رسمی ارائه‌دهنده حساب را قفل کنید یا برداشت‌ها را محدود کنید. با دستگاهی مطمئن، ایمیل خود را ایمن کنید، رمزهای عبور آسیب‌دیده را تغییر دهید، نشست‌های ناشناخته را ببندید و اطلاعات بازیابی و احراز هویت دومرحله‌ای را بررسی کنید.
شواهد را نگه دارید و زیان را گزارش کنید
هم‌زمان با محافظت از دارایی‌های باقیمانده، هش تراکنش‌ها، آدرس‌های عمومی، زمان‌ها، URLهای مشکوک و پیام‌های مرتبط را ذخیره کنید. حادثه را به ارائه‌دهنده کیف پول یا صرافی و مراجع مسئول گزارش دهید.
انتقال‌های تأییدشده در بلاک‌چین معمولاً توسط پشتیبانی کیف پول قابل بازگشت نیستند. بازیابی دارایی ممکن است به مسدود شدن وجوه توسط صرافی، تحقیقات یا بازگرداندن وجوه بستگی داشته باشد. مراقب کسانی باشید که بازیابی تضمینی وعده می‌دهند، به‌خصوص اگر پول پیشاپیش یا عبارت بازیابی شما را می‌خواهند.