دليل · مخاطر المحافظ · · بقلم Stefan Tsezarov · حُدّث في
الكلمات الاثنتا عشرة
أغلى رسالة في عالم العملات المشفرة، مفكّكة سطرًا سطرًا.
تصل الرسالة مهذبة.
الشعار مطابق.
يفتح الرابط صفحة تبدو تمامًا مثل المحفظة التي تستخدمها—الألوان نفسها، والخط نفسه، والرسم الهادئ نفسه في الزاوية.
تطلب منك بهدوء تأكيد عبارة الاسترداد كي يمكن استعادة الوصول.
لا يوجد أي موقف يكون فيه هذا الطلب مشروعًا.
لا الدعم. ولا الترحيل. ولا التوزيع المجاني. ولا الفحص الأمني. ولا استرداد الأموال. ولا التحقق.
ولا مرة. ولا أبدًا. ولا من أي أحد.
هذا هو المقال كله في الحقيقة. وكل ما يلي يشرح فقط لماذا لا يزال هذا الطلب ينجح كثيرًا.
1. ما هي الكلمات الاثنتا عشرة فعلًا
يعامل معظم الناس عبارة الاسترداد على أنها كلمة مرور. وهذا الخطأ في التصنيف وحده هو أصل كل كارثة لاحقة تقريبًا.
كلمة المرور تحرس حسابًا يحتفظ به شخص آخر. تفقدها فتعيد تعيينها. ويبقى الحساب.
عبارة الاسترداد مختلفة.
إنها الرقم الأساسي الذي تُولَّد منه كل مفاتيحك الخاصة. تأخذ محفظتك تلك الكلمات الاثنتي عشرة (أو الأربع والعشرين)، وتحوّلها إلى عدد صحيح ضخم جدًا، وتشتق منه كل عنوان ستتحكم فيه على كل سلسلة تدعمها المحفظة—بما في ذلك سلاسل لم تستخدمها بعد.
العبارة ليست مفتاحًا لباب.
إنها المادة التي تُصنع منها الأبواب نفسها.
2. لماذا لا تطلبها أي جهة مشروعة
الدعم لا يستطيع استخدامها. مزوّد المحفظة لا يحتفظ بأموالك أبدًا، ولذلك لا يستطيع نقلها نيابة عنك؛ هكذا صُمّم الأمر. تسليم عبارتك لموظف دعم يعني تسليمه سيطرة كاملة على أموالك. ولا تسمح أي شركة كفؤة بهذا الطلب.
الترحيل لا يمكن أن يتطلبها. الانتقال إلى عقد جديد أو إصدار جديد من التطبيق يحدث على السلسلة، أو بأن تعيد أنت استيراد المحفظة بنفسك، على جهاز تتحكم فيه.
التوزيع المجاني لا يمكن أن يتطلبها. إرسال التوكنات لا يحتاج إلا إلى عنوانك العام—الذي تلصقه في النماذج. والاستلام لا يتطلب أبدًا إثبات قدرتك على الإنفاق.
الفحص الأمني لا يمكن أن يتطلبها. إثبات الملكية يتم بتوقيع رسالة؛ والتوقيع يؤكد السيطرة دون كشف المفاتيح أبدًا.
استرداد الأموال لا يمكن أن يتطلبها—وأقل من ذلك استرداد أموال احتيال سابق.
كل واحد من هذه المنتجات موجود. ولم يحتج أي منها قط إلى عبارة الاسترداد الخاصة بك، لأن العبارة لا تثبت هويتك. بل تحل محلك.
هذا ليس ادعاءنا وحدنا. تذكر وثائق الدعم الخاصة بـ MetaMask القاعدة بوضوح: «if anyone asks for your Secret Recovery Phrase, they are trying to scam you» — مزوّد محفظة يقول، عن فريق دعمه هو، إن الطلب نفسه هو الدليل.
3. خمسة أقنعة، وطلب واحد
تتغير القصص. أما الجملة الأخيرة فلا.
4. إليك واحدة
اقرأها كما ستقرؤها في الحادية عشرة والنصف ليلًا، على الهاتف، بعد أن قيل لك إن هناك مشكلة في أموالك.
هذه رسالة تمثّل حملات حقيقية وثّقها باحثو الأمن ومزوّدو المحافظ. تتكرر الصياغة والاستعجال والقيود المختلقة وطلب عبارة الاسترداد في رسائل التصيّد التي تستهدف مستخدمي MetaMask وTrust Wallet والمحافظ المادية ومتلقي رسائل «محفظة العملات المشفرة» العامة. النسخ الحقيقية تستخدم أسماء علامات ونطاقات مختلفة؛ أما الطلب الأساسي فلا يتغير.
أرني ما الخطأ فيها
الطلب نفسه هو الإجابة كلها. وكل ما عداه ثانوي. ومع ذلك، يستحق الأمر ملاحظة مدى العناية في بناء الغلاف:
- «الوضع المحدود» و«الحفظ الوقائي» حالتان مختلقتان. المحافظ الحقيقية لا تملكهما. تبدوان كلغة مصرفية لأن المصارف هي حيث اعتاد الناس سماع مثل هذه اللغة.
- «خلال 24 ساعة» هي الساعة—وُضعت هناك تحديدًا لتمنعك من سؤال أي شخص آخر.
- العنوان يبدو موثوقًا عند قراءته من اليسار إلى اليمين.
wallet-supportمجرد نطاق فرعي ولا يحمل أي سلطة. الجزء الذي يحدد فعلًا أين ستصل هوverify-restore.example.com. اقرأ عنوان URL دائمًا من اليمين. - الإملاء مثالي. والقواعد صحيحة. لم يبقَ شيء يُلتقط بالفحص السطحي.
وسطر واحد أغرب مما يبدو أول الأمر: «تأكيد الملكية». عبارة الاسترداد لا تؤكد الملكية لأحد. بل تنقلها.
5. لماذا توقف اختبار الإملاء عن العمل
طوال عقدين تعلّم الناس اكتشاف الاحتيال من ثغراته—لغة إنجليزية ركيكة، شعار غير متطابق، تحية تبدأ بـ «عزيزي العميل».
كانت تلك النصيحة منطقية حين كان إنتاج صفحة مقنعة مكلفًا.
أما الآن فهو مجاني. يمكن توليد نص سلس بأي لغة في ثوانٍ. ونسخ المظهر الدقيق لموقع لم يكن صعبًا قط؛ فالتصميم علني بطبيعته.
لذلك فالرسالة التي تبدو احترافية لا تخبرك بشيء عن مشروعيتها. بل تخبرك فقط أن أحدهم قضى بضع دقائق.
ما لم يتغير—ولا يمكن أن يتغير—هو ما يحتاجه المهاجم. إنه يحتاج إلى الكلمات. ومهما اختلق غير ذلك، فلا بد أن يطلبها في النهاية.
توقف عن تقييم الشكل. اقرأ الطلب.
6. لماذا توجد ساعة دائمًا
كل نسخة من هذه الرسالة تحتوي على مهلة: أربع وعشرون ساعة، نهاية اليوم، قبل تعليق الحساب.
الساعة ليست هناك لتستعجلك. بل لتمنع الإجراء الوحيد الذي يُسقط الهجوم بشكل موثوق: إخبار شخص آخر. إذا قيل الطلب بصوت عالٍ لأي أحد تقريبًا—صديق، أو منتدى، أو محرك بحث—فإنه يتبخر. المهلة تجبرك على اتخاذ القرار وحدك.
لذلك فالمهلة ليست تفصيلًا في القصة. إنها ركيزة أساسية. وعندما تلاحظ مهلة مقرونة بطلب أسرار، فتلك الملاحظة نفسها هي النتيجة.
7. أين ينبغي أن تبقى العبارة
باختصار، لأن القاعدة بسيطة.
تكتب عبارة الاسترداد في موقف واحد فقط: استعادة محفظة في برنامج ثبّته بنفسك، على جهاز تتحكم فيه.
لا في صفحة ويب أبدًا.
لا في نموذج وصل في رسالة أبدًا.
لا في دردشة، ولا تذكرة دعم، ولا جدول بيانات، ولا صورة، ولا ملاحظة في مدير كلمات المرور، ولا مساعد ذكاء اصطناعي أبدًا.
إذا كنت تستخدم محفظة مادية، فلا ينبغي أن تُكتب العبارة في حاسوب أبدًا بعد اليوم الذي دوّنتها فيه أول مرة.
8. إذا كنت قد أدخلتها بالفعل
عندئذ يكون هذا القسم هو الجزء الوحيد المهم، والسرعة أهم من الترتيب.
افترض أن تلك المحفظة قد ضاعت وتصرّف على هذا الأساس فورًا. لا تنتظر التأكيد. لا تختبر بمعاملة صغيرة. لا تحاول تغيير كلمة مرور—فلا توجد كلمة مرور لتغييرها.
بشأن مشكلة الغاز، لأنها تباغت الناس في أسوأ لحظة ممكنة: نقل توكن يتطلب العملة الأصلية للسلسلة لدفع الرسوم. إذا كانت المحفظة المخترقة لا تحتوي على أي منها، فعليك إرسال بعضها—وغالبًا ما تأخذها روبوتات الكنس الآلية التي تراقب العنوان خلال كتلة واحدة. يحاول الناس ثلاث مرات، ويخسرون الغاز ثلاث مرات، ويستنتجون أنه لا يمكن فعل شيء.
توجد حلول بديلة، منها تجميع التمويل والإنقاذ في معاملة ذرية واحدة لا يمكن مقاطعتها. لكنها معقدة وخاصة بكل سلسلة. إذا كان مبلغ معتبر على المحك، فاسأل شخصًا ذا خبرة قبل إهدار مزيد من المحاولات.
وأقسى ما يأتي بعد ذلك: الذين سُرقوا للتو كثيرًا ما يتصل بهم خلال ساعات «متخصصو استرداد» يعدون بتتبع الأموال وإعادتها. يطلبون العبارة مرة أخرى، أو رسومًا مقدمة. إنه الهجوم نفسه، موجّه إلى الشخص نفسه، في أسوأ أيامه. لا أحد يستطيع عكس معاملة على البلوك تشين. ومن يدّعي غير ذلك يبيعك السرقة الثانية.
9. ما الذي يستطيع الفحص إخبارك به وما لا يستطيع
الصق رسالة كالتي أعلاه في الفاحص لدينا وسيعيد FAIL، واسمًا طلب عبارة الاسترداد بأنه حرج ومشيرًا إلى بنية الرابط المريبة.
وإليك ما لا يفعله.
- لا يزور الرابط أبدًا. يفحص شكل العنوان—أسماء العلامات في مواضع لا تحمل سلطة، والأحرف المتشابهة، وأنماط إعادة التوجيه—لكنه لا يجلب الصفحة. ولا يستطيع أن يخبرك ما إذا كان الموقع على الطرف الآخر نسخة مقلدة.
- لا يستطيع رؤية رسالة لم تلصقها قط. معظم هذه الرسائل تصل حين تكون متعبًا ومستعجلًا، وهو بالضبط الوقت الذي لا يتحقق فيه أحد من شيء.
- النتيجة النظيفة ليست حكمًا على المرسل. إنها تعني فقط أنه لم يتطابق أي نمط مشمول.
- لا يستطيع التراجع عن أي شيء. القسم 8 موجود لأن الفحص بعد فوات الأوان ليس علاجًا.
في هذا الهجوم بالذات، الفاحص خط دفاع احتياطي مفيد، لا خط الدفاع الأول. خط الدفاع جملة واحدة، وأنت تملكها بالفعل.
القاعدة
لا أحد يحتاج إلى عبارة الاسترداد الخاصة بك. أبدًا. لأي سبب. مهما ادّعى من يكون.
أي رسالة تطلبها محاولة سرقة. هذه ليست قاعدة تقريبية لها استثناءات؛ إنها القاعدة الكاملة، وواحدة من قواعد الأمان النادرة التي لا حالات حدّية لها حقًا.
إذا ساورك الشك يومًا، فاشكّ في المهلة أولًا. ثم اسأل أحدًا. هذه الخطوة وحدها تنهي الهجوم.
ذو صلة: تعليمات مكتوبة لذكاء اصطناعي لا لك، ونص لا يظهر على الإطلاق. هذا المقال لأغراض تعليمية فقط وليس استشارة مالية. الرسالة المثال تمثّل حملات حقيقية، وتستخدم نطاقًا مثاليًا محجوزًا، ولا تستهدف أي شركة حقيقية.
تقرأ رسالة مريبة في متصفحك؟ الإشارة المرجعية لفحص النص المحدد تفحصها دون نسخ ولصق، ويبقى النص في متصفحك.