کیف پول ارز دیجیتال دقیقاً چه چیزی را نگه می‌دارد؟
برخلاف تصور رایج، رمزارزها داخل کیف پول نیستند؛ آن‌ها روی بلاکچین ثبت شده‌اند. کیف پول در واقع کلید خصوصی شما را نگه می‌دارد، یعنی چیزی که اجازه امضای تراکنش و جابه‌جایی دارایی را می‌دهد. آدرس عمومی را می‌توانید با دیگران به اشتراک بگذارید، اما کلید خصوصی و عبارت بازیابی را هرگز.
کیف پول امانی و غیرامانی
وقتی دارایی شما در یک صرافی است، کلید در دست صرافی است و شما به اعتبار آن اعتماد کرده‌اید (کیف پول امانی). در کیف پول‌های غیرامانی مثل MetaMask، TronLink یا کیف پول‌های سختافزاری، کلید در اختیار خود شماست؛ آزادی بیشتر، اما مسئولیت کامل امنیت هم با شماست.
عبارت بازیابی (Seed Phrase) را چگونه نگه داریم؟
عبارت بازیابی معمولاً ۱۲ یا ۲۴ کلمه انگلیسی است که از روی آن همه کلیدهای کیف پول ساخته می‌شود. هر کس این کلمات را داشته باشد، می‌تواند کیف پول شما را روی هر دستگاهی بازسازی کند.
- آن را روی کاغذ یا صفحه فلزی بنویسید و در جای امن و دور از دسترس نگه دارید.
- هرگز از آن عکس نگیرید، در گالری گوشی، ایمیل، تلگرام، یادداشت‌های ابری یا فایل متنی ذخیره نکنید.
- هیچ پشتیبان واقعی، صرافی یا پروژه‌ای از شما عبارت بازیابی نمی‌خواهد. هر درخواستی برای آن، کلاهبرداری است.
- برای جلوگیری از آسیب‌هایی مثل آتش‌سوزی یا آب، یک نسخه پشتیبان در مکان دوم امن در نظر بگیرید.
- در کیف پول‌هایی که پشتیبانی می‌کنند، استفاده از Passphrase اضافه را بررسی کنید، اما فقط وقتی که کاملاً با آن آشنا هستید.
کیف پول سختافزاری: کی ارزشش را دارد؟
کیف پول سختافزاری دستگاهی است که کلید خصوصی را به‌صورت آفلاین نگه می‌دارد و تراکنش را داخل خود دستگاه امضا می‌کند. حتی اگر کامپیوتر شما آلوده به بدافزار باشد، کلید از دستگاه خارج نمی‌شود.
- اگر مبلغ قابل‌توجهی دارید یا قصد نگهداری بلندمدت دارید، کیف پول سختافزاری انتخاب منطقی است.
- دستگاه را فقط از فروشنده رسمی یا معتبر بخرید و از خرید دست دوم یا بسته باز شده پرهیز کنید.
- اگر دستگاهی همراه با کارتی از پیش نوشته‌شده با ۲۴ کلمه به دستتان رسید، از آن استفاده نکنید؛ عبارت بازیابی باید روی خود دستگاه و توسط شما تولید شود.
- پیش از تأیید هر تراکنش، آدرس و مبلغ را روی صفحه خود دستگاه بررسی کنید.
یک الگوی رایج: یک کیف پول گرم با موجودی کم برای کارهای روزمره و یک کیف پول سرد برای نگهداری بخش اصلی دارایی.
کلاهبرداری‌های رایج در سال ۲۰۲۶
فیشینگ و سایت‌های جعلی
سایت‌هایی که دقیقاً شبیه صرافی یا کیف پول معروف طراحی شده‌اند و از شما می‌خواهند کیف پول را وصل کنید یا عبارت بازیابی را وارد کنید. همیشه آدرس سایت را خودتان تایپ کنید یا از بوکمارک استفاده کنید.
پشتیبانی جعلی در تلگرام و شبکه‌های اجتماعی
افرادی که خود را ادمین یا پشتیبان معرفی می‌کنند و در پیام خصوصی پیشنهاد کمک می‌دهند. پشتیبان واقعی هرگز اول پیام نمی‌دهد و کلید نمی‌خواهد.
ایردراپ و توکن‌های ناشناس
توکن‌هایی که بدون درخواست شما به کیف پول‌تان واریز می‌شوند و برای «نقد کردن» شما را به سایتی می‌فرستند که مجوز خرج کردن دارایی می‌گیرد.
آدرس‌های مسموم
کلاهبردار تراکنشی کوچک از آدرسی شبیه آدرس‌های پرکاربرد شما می‌فرستد تا در تاریخچه شما ظاهر شود و شما به اشتباه آن را کپی کنید. همیشه کل آدرس را بررسی کنید، نه فقط چند کاراکتر اول و آخر.
وعده سود تضمینی
هر طرحی که سود ثابت و تضمینی وعده می‌دهد، باید با بیشترین احتیاط بررسی شود. در بازار رمزارز هیچ سودی تضمینی نیست.
Approval چیست و چرا باید آن را مدیریت کنید؟
وقتی در یک صرافی غیرمتمرکز یا dApp با توکن‌های ERC20 یا BEP20 کار می‌کنید، ابتدا به قرارداد هوشمند اجازه می‌دهید مقدار مشخصی از توکن شما را خرج کند. به این مجوز Approval یا Allowance گفته می‌شود. بسیاری از سایت‌ها به‌صورت پیش‌فرض مجوز نامحدود درخواست می‌کنند.
اگر قرارداد مخرب باشد یا بعدها هک شود، همین مجوز اجازه می‌دهد توکن‌ها بدون امضای دوباره شما از کیف پول خارج شوند. در سطح کد، این مجوز با تابعی شبیه approve(spender, amount) ثبت می‌شود و تا زمانی که آن را صفر نکنید معتبر می‌ماند.
- به‌جای مجوز نامحدود، فقط مقدار مورد نیاز را تأیید کنید.
- به‌صورت دوره‌ای مجوزهای فعال کیف پول خود را با ابزارهای معتبر بررسی و موارد غیرضروری را لغو کنید.
- به امضاهای Permit و پیام‌هایی که متن نامفهوم دارند دقت کنید؛ گاهی یک امضای ساده به اندازه یک تراکنش قدرت دارد.
برای درک بهتر عملکرد این قراردادها، مقاله قرارداد هوشمند چیست را بخوانید.
عادت‌های روزمره برای امنیت بیشتر
- برای کیف پول، ایمیل و حساب صرافی رمزهای قوی و یکتا و یک مدیر رمز عبور معتبر استفاده کنید.
- احراز هویت دومرحله‌ای را با اپلیکیشن Authenticator فعال کنید، نه پیامک.
- سیستم‌عامل، مرورگر و افزونه کیف پول را به‌روز نگه دارید و افزونه‌های ناشناس نصب نکنید.
- برای آزمایش سایت‌ها و پروژه‌های جدید، یک کیف پول جداگانه با موجودی کم داشته باشید.
- پیش از ارسال مبلغ زیاد، یک تراکنش آزمایشی کوچک بفرستید.
- شبکه انتقال (مثلاً TRC20 یا BEP20) را در مبدأ و مقصد دوباره بررسی کنید.
یادآوری: این مطالب آموزشی است و توصیه سرمایه‌گذاری نیست. بازار رمزارز پرریسک است و امنیت کامل وجود ندارد، اما رعایت این اصول احتمال آسیب را به‌شدت کاهش می‌دهد.
امنیت پروژه‌های بلاکچینی با کمک ثابت‌سافت
اگر کسب‌وکار شما با رمزارز سروکار دارد، امنیت فقط به کاربران محدود نمی‌شود؛ قراردادهای هوشمند، کیف پول‌های سازمانی و درگاه‌های پرداخت هم باید درست طراحی شوند. ثابت‌سافت در قالب خدمات توسعه بلاکچین و سرویس DotSol در زمینه نوشتن و ممیزی قراردادهای هوشمند و ساخت dApp با MetaMask و TronLink فعالیت می‌کند.
برای بررسی نیاز پروژه و دریافت مشاوره رایگان، از صفحه تماس پیام بدهید؛ هزینه بر اساس دامنه کار تعیین می‌شود.
پرسش‌های پرتکرار
اگر عبارت بازیابی کیف پولم را گم کنم چه می‌شود؟
اگر هنوز به کیف پول دسترسی دارید، فوراً یک کیف پول جدید بسازید، عبارت جدید را امن نگه دارید و دارایی را منتقل کنید. اگر دسترسی ندارید و عبارت را هم گم کرده‌اید، معمولاً راهی برای بازیابی وجود ندارد.
آیا نگهداری ارز دیجیتال در صرافی امن است؟
صرافی برای معامله راحت است، اما کنترل کلید در دست صرافی است و ریسک هک، توقف برداشت یا مسدود شدن حساب وجود دارد. برای نگهداری بلندمدت، کیف پول غیرامانی و ترجیحاً سختافزاری امن‌تر است.
چطور بفهمم یک سایت فیشینگ است؟
آدرس دامنه را حرف به حرف بررسی کنید، از لینکهای پیامهای تبلیغاتی وارد نشوید و هر سایتی که عبارت بازیابی را میخواهد کلاهبرداری بدانید.
لغو Approval هزینه دارد؟
بله، لغو مجوز یک تراکنش روی بلاکچین است و کارمزد شبکه دارد، اما در برابر خطر از دست دادن دارایی معمولاً هزینه ناچیزی است.
کیف پول سختافزاری را از کجا بخرم؟
فقط از وبسایت رسمی سازنده یا نمایندگان معتبر آن بخرید و از خرید دست دوم یا دستگاهی که عبارت بازیابی از قبل همراه آن است پرهیز کنید.