کیف پول موبایل در برابر کیف پول دسکتاپ؛ کدام امن‌تر است

کیف پول موبایل و کیف پول دسکتاپ هر دو کیف پول گرم هستند؛ یعنی کلید روی دستگاهی نگه داشته می‌شود که به اینترنت وصل است. به همین دلیل نمی‌توان یکی را به‌طور کلی امن‌تر از دیگری دانست. گوشی بیشتر با اپ‌های جعلی و بدافزارهایی که گالری را می‌گردند تهدید می‌شود و رایانه با بدافزار سارق، نرم‌افزار دانلودی و افزونهٔ مرورگر؛ آنچه در عمل تفاوت را می‌سازد، پاکیزگی دستگاه، منبع نصب و شیوهٔ نگهداری عبارت بازیابی است.

دو نوع کیف پول گرم

اگر هنوز با مفهوم کیف پول آشنا نیستید، پیش از این درس تعریف کیف پول ارز دیجیتال و راه‌های امن نگه‌داشتن آن و تفاوت کیف پول سرد و گرم را بخوانید. در این درس فرض بر این است که می‌دانید کیف پول خودگردان در واقع کلید خصوصی شما را نگه می‌دارد و هر کس به این کلید یا به عبارت بازیابی (Seed Phrase) دست پیدا کند، کنترل دارایی را در اختیار می‌گیرد.

کیف پول موبایل اپلیکیشنی است که روی گوشی نصب می‌شود و کلید را به‌صورت رمزگذاری‌شده در حافظهٔ همان گوشی نگه می‌دارد. کیف پول دسکتاپ نرم‌افزاری است که روی رایانهٔ رومیزی یا لپ‌تاپ نصب می‌شود و همین کار را روی دیسک رایانه انجام می‌دهد. از نظر منطق کار، هر دو یکسان‌اند: کلید روی دستگاه است، دستگاه به اینترنت وصل است و امنیت کیف پول به امنیت همان دستگاه گره خورده است.

تفاوت اصلی در محیط است، نه در خود کیف پول. سیستم‌عامل‌های گوشی معمولاً اپ‌ها را از یکدیگر جدا نگه می‌دارند و نصب برنامه را بیشتر از مسیر فروشگاه رسمی پیش می‌برند. رایانه محیط بازتری است: برنامه را می‌توان از هر سایتی دانلود کرد، فایل‌ها آزادانه میان برنامه‌ها جابه‌جا می‌شوند و مرورگر با افزونه‌هایش به دنیای جداگانه‌ای تبدیل می‌شود. این تفاوت‌ها نوع تهدید را عوض می‌کنند، اما به خودی خود یکی را برنده نمی‌کنند. این جمع‌بندی چارچوب آموزشی خود ماست و از منبعی که مقایسهٔ مستقیم کرده باشد گرفته نشده است. برای دید کلی‌تر دربارهٔ این خوشه از درس‌ها، صفحهٔ کیف پول و امنیت ارز دیجیتال را ببینید.

تهدیدهای رایج گوشی

گزارش‌های امنیتی سال‌های اخیر نشان می‌دهند که گوشی به هدف پرطرفدارتری برای مجرمان تبدیل شده است. بر اساس گزارش تهدیدهای مالی کسپرسکی، در سال ۲۰۲۴ شمار کاربرانی که با تروجان‌های بانکی موبایل روبه‌رو شدند نسبت به ۲۰۲۳، ۳٫۶ برابر شد و در همین سال شناسایی فیشینگ مرتبط با رمزارز ۸۳٫۴٪ بیشتر شد ^[۱]. به گفتهٔ همین گزارش، مجرمان سایبری در ۲۰۲۴ تمرکز خود را به‌سوی دستگاه‌های موبایل و دارایی‌های رمزارزی بردند ^[۱].

بدافزاری که گالری را می‌خواند

یکی از روشن‌ترین نمونه‌ها بدافزار SparkCat است. کسپرسکی گزارش کرد که این بدافزار پس از گرفتن دسترسی به گالری، همهٔ عکس‌ها را با ماژول تشخیص نوشته (OCR) می‌گردد تا اسکرین‌شات سید فریز و دادهٔ کیف پول را پیدا کند ^[۲]. کسپرسکی ۱۰ اپ آلوده در گوگل‌پلی و ۱۱ اپ در اپ‌استور شناسایی کرد و دانلودها فقط از گوگل‌پلی بیش از ۲۴۲٬۰۰۰ بود ^[۲]. نکتهٔ مهم این است که این اپ‌ها از فروشگاه‌های رسمی نصب شده بودند؛ کافی بود کاربر به آن‌ها اجازهٔ دسترسی به گالری بدهد و پیش‌تر از عبارت بازیابی خود عکس گرفته باشد. به همین دلیل، چرایی پرهیز از تایپ یا اسکرین‌شات گرفتن از سید فریز را جدی بگیرید.

اپ جعلی با نظرهای مثبت

نمونهٔ دوم را Check Point Research گزارش کرده است: اپی جعلی که خود را ابزار اتصال کیف پول به سایت‌ها معرفی می‌کرد، از مارس ۲۰۲۴ بیش از پنج ماه در گوگل‌پلی شناسایی نشد، با نظرهای مثبت جعلی به بیش از ۱۰٬۰۰۰ دانلود رسید، دست‌کم ۱۵۰ قربانی گرفت و حدود ۷۰٬۰۰۰ دلار رمزارز دزدید ^[۳]. به گزارش همین منبع، فقط بیست قربانی نظر منفی گذاشتند ^[۳]. این یعنی امتیاز بالا و نظرهای مثبت در فروشگاه نشانهٔ کافی برای اعتماد نیست. شیوه‌های تشخیص اپ و سایت جعلی را در درس تشخیص ولت مشکوک یا فیشینگ به‌تفصیل آورده‌ایم.

تهدیدهای فیزیکی و رفتاری

گوشی همراه شماست و به همین دلیل بیشتر از رایانه گم یا دزدیده می‌شود. اگر قفل صفحه ضعیف باشد یا اپ کیف پول رمز جداگانه نداشته باشد، کسی که گوشی را در دست دارد ممکن است به کیف پول هم برسد. عادت‌هایی مانند نصب اپ از لینک‌های پیام‌رسان، دادن دسترسی‌های گسترده به اپ‌های ساده و روت یا جیلبریک کردن گوشی، دیوارهای حفاظتی سیستم‌عامل را سست می‌کنند.

تهدیدهای رایج رایانه

رایانه هم از این موج بیرون نیست. به گزارش تهدید ESET، شناسایی بدافزارهای سارق رمزارز (Cryptostealer) از نیمهٔ اول تا نیمهٔ دوم ۲۰۲۴ در ویندوز، اندروید و مک‌اواس ۵۶ درصد افزایش یافت ^[۴]. دقت کنید که این عدد هم رایانه و هم اندروید را در بر می‌گیرد؛ پس نمی‌توان از آن نتیجه گرفت که رایانه از گوشی پرخطرتر است یا برعکس. آنچه از آن برمی‌آید این است که سارقان رمزارز روی هر سه سیستم‌عامل فعال‌اند.

بدافزار سارق روی رایانه معمولاً از چند مسیر آشنا می‌رسد: نرم‌افزار کرک‌شده یا «رایگان‌شده»، پیوست ایمیل، فایل‌هایی که در گروه‌های پیام‌رسان دست‌به‌دست می‌شوند و نسخه‌های جعلی نرم‌افزار کیف پول که در نتایج جست‌وجو یا تبلیغ‌ها ظاهر می‌شوند. چنین بدافزاری ممکن است فایل‌های کیف پول را کپی کند، آنچه را تایپ می‌کنید ثبت کند یا آدرسی را که کپی کرده‌اید در لحظهٔ چسباندن با آدرس دیگری عوض کند.

رایانه ویژگی دیگری هم دارد: بیشتر از گوشی میان چند نفر مشترک است. رایانهٔ خانوادگی، رایانهٔ کافی‌نت یا رایانهٔ اداری ممکن است برنامه‌هایی داشته باشد که شما نصب نکرده‌اید و از آن‌ها خبر ندارید. همچنین فایل‌هایی مانند یک فایل متنی که عبارت بازیابی در آن ذخیره شده است، روی رایانه راحت‌تر فراموش می‌شوند و سال‌ها در پوشه‌ها یا پشتیبان‌های خودکار باقی می‌مانند.

افزونهٔ مرورگر؛ حالت سوم

بسیاری از کاربران رایانه کیف پول را نه به شکل نرم‌افزار جداگانه، بلکه به شکل افزونهٔ مرورگر نصب می‌کنند. افزونه روی رایانه اجرا می‌شود، اما خطرهای ویژهٔ خودش را دارد؛ چون درون مرورگری زندگی می‌کند که هر روز با ده‌ها سایت ناشناس سروکار دارد و افزونه‌های دیگر هم کنارش نصب‌اند.

گزارش Bitdefender نمونهٔ روشنی از این خطر است. پژوهشگران ۷۷ افزونهٔ مرتبط فایرفاکس یافتند که ۴۰ تای آن‌ها سید فریز یا رمز کیف پول را می‌دزدیدند؛ نزدیک نیمی از آن‌ها رابط کیف پول واقعی‌نما نشان می‌دادند و از کاربر می‌خواستند کیف پول موجود خود را «وارد» کند ^[۵]. به گزارش همین منبع، شرکت Socket در آگوست ۲۰۲۶ دو کمپین جدا را افشا کرد: ۴۰ افزونهٔ مخرب فایرفاکس و ۱۹ افزونه برای کروم و اج، همه از فروشگاه‌های رسمی ^[۵].

دو درس از این گزارش بیرون می‌آید. اول اینکه فروشگاه رسمی افزونه‌ها، مانند فروشگاه رسمی اپ‌های گوشی، به‌تنهایی سند اصالت نیست. دوم اینکه درخواست «وارد کردن کیف پول موجود» همان لحظه‌ای است که بیشترین خطر را دارد؛ زیرا از شما می‌خواهد عبارت بازیابی را در جایی تایپ کنید. کیف پول تازه را بهتر است با گزینهٔ ساختن کیف پول جدید راه‌اندازی کنید، همان‌طور که در راهنمای گام‌به‌گام ساخت کیف پول آمده است.

مقایسه در یک نگاه

جدول زیر تهدیدهای شاخص هر محیط را کنار هم می‌گذارد. این جدول رتبه‌بندی نیست؛ هر ردیف می‌گوید در آن محیط به چه چیزی باید بیشتر توجه کنید.

وقتی جدول را می‌خوانید، به‌جای پرسیدن «کدام امن‌تر است؟» این پرسش‌ها را از خود بپرسید:

• کدام دستگاه فقط در اختیار خود من است و دیگران از آن استفاده نمی‌کنند؟
• روی کدام دستگاه کمتر برنامه و افزونه از منابع ناشناس نصب می‌کنم؟
• سیستم‌عامل کدام دستگاه را منظم‌تر به‌روز نگه می‌دارم؟
• کیف پول گرم را برای چه مبلغی به کار می‌برم؛ خرج روزمره یا بخش بزرگ دارایی؟

پاسخ پرسش آخر اهمیت ویژه‌ای دارد. کیف پول گرم، چه روی گوشی باشد چه روی رایانه، برای مبلغ‌های روزمره طراحی شده است. برای بخشی از دارایی که قرار نیست به‌زودی جابه‌جا شود، راه‌حل‌هایی مانند کیف پول سخت‌افزاری وجود دارند که کلید را از دستگاه متصل به اینترنت دور نگه می‌دارند؛ تصمیم دربارهٔ اینکه آیا به آن نیاز دارید، به شرایط خود شما بستگی دارد.

عادت‌هایی که روی هر دو کار می‌کنند

بیشتر حمله‌هایی که در این درس دیدیم، چه روی گوشی و چه روی رایانه، به یک لحظهٔ مشترک ختم می‌شوند: لحظه‌ای که عبارت بازیابی یا کلید از دست کاربر بیرون می‌رود. بنابراین مؤثرترین حفاظت، عادت‌هایی است که به نوع دستگاه وابسته نیستند.

فهرست کامل‌تر این عادت‌ها، همراه با بازبینی دوره‌ای، در چک‌لیست امنیت کیف پول برای مبتدیان آمده است.

اگر به دستگاه خود شک دارید

گاهی نشانه‌هایی می‌بینید که شک برمی‌انگیزد: اپی که یادتان نیست نصب کرده باشید، افزونه‌ای ناآشنا در مرورگر، یا تراکنشی که خودتان انجام نداده‌اید. در این حالت، پاک کردن اپ مشکوک کافی نیست؛ اگر بدافزار پیش از این به عبارت بازیابی یا فایل کیف پول دسترسی پیدا کرده باشد، نسخه‌ای از آن را در اختیار دارد.

منطقی‌ترین کار این است که روی دستگاهی که به پاکیزگی آن اطمینان دارید، کیف پول تازه با عبارت بازیابی تازه بسازید و دارایی را به آن منتقل کنید. عبارت بازیابی قبلی را دیگر برای هیچ کیف پولی به کار نبرید. اگر گوشی گم شده باشد ولی عبارت بازیابی را جداگانه و امن نگه داشته باشید، همچنان می‌توانید کیف پول را روی دستگاه دیگری بازیابی کنید و دارایی را به کیف پول تازه منتقل کنید؛ اما اگر هر دو را از دست داده باشید، هیچ‌کس نمی‌تواند آن را بازگرداند. این حالت‌ها را در درس گم کردن کلید خصوصی یا سید فریز مرور کرده‌ایم.