چک‌لیست امنیت کیف پول ارز دیجیتال برای مبتدیان

امنیت کیف پول ارز دیجیتال یک تنظیم یک‌باره نیست؛ مجموعه‌ای از عادت‌های کوچک است که در چهار لایه چیده می‌شوند: دستگاه و سیستم‌عامل، حساب‌ها و تأیید دومرحله‌ای، کیف پول و عبارت بازیابی، و رفتار روزانه در برابر لینک‌ها و تراکنش‌ها. این درس هر لایه را با دلیل و با آمار منابع رسمی توضیح می‌دهد و در پایان یک چک‌لیست کامل می‌گذارد که می‌توانید چاپ کنید و ماهانه با آن خود را بسنجید. اگر هنوز کیف پول ندارید، ابتدا کیف پول ارز دیجیتال چیست و چطور امن نگهش داریم را بخوانید؛ این صفحه فرض می‌کند کیف پول شما ساخته شده و اکنون می‌خواهید آن را نگه دارید.

چرا چک‌لیست؛ امنیت عادت است نه یک‌بار

بسیاری از مبتدیان امنیت را با «نصب یک برنامهٔ خوب» یکی می‌گیرند. اما تجربهٔ سال‌های اخیر نشان می‌دهد که مهاجمان به‌ندرت از رمزنگاری بلاک‌چین عبور می‌کنند؛ آن‌ها از ضعیف‌ترین حلقه وارد می‌شوند و آن حلقه معمولاً دستگاه، حساب ایمیل یا یک لحظه بی‌دقتی کاربر است. به گزارش تهدید ESET، شناسایی بدافزارهای سارق رمزارز (cryptostealer) از نیمهٔ اول تا نیمهٔ دوم ۲۰۲۴ در ویندوز، اندروید و مک‌اواس ۵۶ درصد افزایش یافت ^[۱]. این یعنی تهدید ایستا نیست و هر سال شکل تازه‌ای می‌گیرد.

در مقیاس کلان هم تصویر روشن است: بر اساس گزارش سالانهٔ مرکز شکایات جرایم اینترنتی FBI برای سال ۲۰۲۵، آمریکایی‌ها بیش از ۱۱ میلیارد دلار زیان از کلاهبرداری‌های مرتبط با ارز دیجیتال (۱۸۱٬۵۶۵ شکایت) گزارش کردند؛ حدود ۲۲٪ بیشتر از سال ۲۰۲۴ ^[۲]. این ارقام فقط شکایت‌های ثبت‌شده در یک کشور است و بخش بزرگی از زیان‌ها هرگز گزارش نمی‌شود.

چک‌لیست از این‌جا معنا پیدا می‌کند: به‌جای این‌که هر بار از نو فکر کنید «چه چیزی را فراموش کرده‌ام»، یک فهرست ثابت دارید که در چند دقیقه مرور می‌شود. سه اصلی که پیلار کیف پول و امنیت ارز دیجیتال بر آن‌ها بنا شده، همین‌جا به کارهای عملی تبدیل می‌شوند.

لایهٔ اول: دستگاه و سیستم‌عامل

کیف پول نرم‌افزاری فقط به اندازهٔ دستگاهی که روی آن نصب شده امن است. اگر گوشی یا کامپیوتر آلوده باشد، هر تدبیر بعدی از درون بی‌اثر می‌شود؛ چون بدافزار همان چیزی را می‌بیند که شما می‌بینید و همان چیزی را تایپ می‌کند که شما تایپ می‌کنید.

نمونهٔ تازه‌اش نشان می‌دهد این تهدید چقدر هدفمند شده است. در نوامبر ۲۰۲۵ کسپرسکی استیلر جدیدی به نام Stealka را کشف کرد که با پوشش نرم‌افزار کرک‌شده پخش می‌شود و تنظیمات و پایگاه‌دادهٔ ۱۱۵ افزونهٔ مرورگر مربوط به کیف پول کریپتو، مدیر رمز عبور و تأیید دومرحله‌ای را هدف می‌گیرد ^[۳]. توجه کنید که راه ورود، «نرم‌افزار کرک‌شده» بود؛ یعنی کاربر خودش بدافزار را نصب کرده بود.

از این‌جا چند عادت عملی بیرون می‌آید:

• به‌روزرسانی‌ها را معطل نکنید. وصله‌های امنیتی سیستم‌عامل، مرورگر و برنامهٔ کیف پول دقیقاً برای بستن راه‌های نفوذ شناخته‌شده منتشر می‌شوند.
• نرم‌افزار کرک‌شده و فایل‌های ناشناس را روی دستگاهی که کیف پول دارد نصب نکنید. اگر ناچارید از چنین فایل‌هایی استفاده کنید، آن دستگاه نباید دستگاه کیف پول باشد.
• قفل صفحه و رمز دستگاه را روشن نگه دارید و از بیومتریک یا رمز طولانی استفاده کنید، نه الگوی سادهٔ چهارنقطه‌ای.
• افزونه‌های مرورگر را کم کنید. هر افزونه یک در اضافه است؛ فقط افزونهٔ کیف پولی را نگه دارید که واقعاً استفاده می‌کنید و آن را از نشانی رسمی نصب کرده‌اید.
• در حد امکان، یک دستگاه جدا برای کیف پول یا دست‌کم یک پروفایل مرورگر جداگانه در نظر بگیرید که با آن وب‌گردی روزمره نمی‌کنید.

لایهٔ دوم: حساب‌ها و تأیید دومرحله‌ای (چرا پیامک کافی نیست)

کیف پول خودگردان به ایمیل و رمز وابسته نیست، اما زندگی مالی شما هست: حساب صرافی، ایمیلی که با آن ثبت‌نام کرده‌اید، فروشگاه برنامه‌ای که کیف پول را از آن نصب کرده‌اید و مدیر رمز عبور. تصاحب هر یک از این‌ها می‌تواند به کیف پول برسد؛ مثلاً با بازنشانی رمز صرافی یا نصب برنامهٔ جعلی روی دستگاه شما.

نخستین قدم، تأیید دومرحله‌ای (Two-Factor Authentication) است و هنوز ارزش دارد تأکید کنیم: هر نوعی از آن بهتر از نداشتنش است. گوگل در پژوهشی یک‌ساله با همکاری دو دانشگاه، روی ۳۵۰٬۰۰۰ تلاش تصاحب حساب و ۱٫۲ میلیون کاربر، نشان داد که کد پیامکی ۱۰۰٪ بات‌های خودکار، ۹۶٪ فیشینگ انبوه و ۷۶٪ حملات هدفمند را مسدود کرد؛ تأیید روی دستگاه به‌ترتیب ۱۰۰٪، ۹۹٪ و ۹۰٪ را ^[۴]. عدد کلیدی برای ما همان ۷۶٪ است: در برابر مهاجمی که مشخصاً شما را نشانه گرفته، نزدیک به یک‌چهارم حملات از سد پیامک می‌گذرد.

چرا پیامک ضعیف‌تر است؟ چون کد به شماره تلفن شما فرستاده می‌شود و شماره تلفن را می‌توان دزدید. در حملهٔ سیم‌سواپ (SIM Swap)، مهاجم با فریب یا تطمیع اپراتور، شمارهٔ شما را به سیم‌کارت خودش منتقل می‌کند و از آن لحظه هر کد پیامکی به دست او می‌رسد. ارقام رسمی نشان می‌دهند این حمله کم‌یاب نیست: مرکز شکایات جرایم اینترنتی FBI از ژانویهٔ ۲۰۱۸ تا دسامبر ۲۰۲۰ در مجموع ۳۲۰ شکایت سیم‌سواپ با زیان تعدیل‌شدهٔ حدود ۱۲ میلیون دلار دریافت کرد، اما تنها در سال ۲۰۲۱ این رقم به ۱٬۶۱۱ شکایت و بیش از ۶۸ میلیون دلار رسید ^[۵]. در گزارش سالانهٔ همان مرکز، سیم‌سواپ در سال ۲۰۲۴ به‌عنوان دستهٔ جداگانه ۹۸۲ شکایت و ۲۵٬۹۸۳٬۹۴۶ دلار زیان گزارش‌شده داشت ^[۶]، و در سال ۲۰۲۵ شمار شکایت‌ها به ۱٬۰۷۵ مورد رسید ^[۷].

CISA، نهاد امنیت سایبری آمریکا، کدهای پیامکی، کدهای اپ احراز هویت و اعلان‌های پوش را همگی در شمار روش‌های آسیب‌پذیر در برابر حملات دورزدن می‌داند و تأیید مقاوم به فیشینگ، مانند کلید امنیتی فیزیکی FIDO، را «استاندارد طلایی» می‌خواند؛ با این حال تأکید می‌کند هر نوع تأیید چندمرحله‌ای بهتر از نداشتن آن است ^[۸].

ترجمهٔ این یافته‌ها به کار عملی:

1. روی ایمیل اصلی و حساب صرافی، تأیید دومرحله‌ای را از پیامک به اپ احراز هویت (Authenticator) تغییر دهید؛ و اگر کلید امنیتی فیزیکی در دسترس دارید، آن را ترجیح دهید.
2. برای هر حساب یک رمز یکتا و طولانی بگذارید و در یک مدیر رمز عبور معتبر نگه دارید؛ رمز تکراری یعنی نشت یک سایت کوچک، همهٔ حساب‌های شما را باز می‌کند.
3. کدهای پشتیبان تأیید دومرحله‌ای را چاپ کنید و آفلاین نگه دارید، جدا از عبارت بازیابی.
4. اگر شمارهٔ تلفن شما ناگهان از دسترس خارج شد و آنتن نداشت، آن را نشانهٔ احتمالی سیم‌سواپ بدانید؛ بی‌درنگ با اپراتور تماس بگیرید و رمز حساب‌های حساس را عوض کنید.

لایهٔ سوم: کیف پول و عبارت بازیابی

این لایه قلب امنیت است و رمزکلاس درس‌های جداگانه‌ای دربارهٔ آن دارد؛ این‌جا فقط جای هر قطعه در چک‌لیست را نشان می‌دهیم و تکرار نمی‌کنیم. اگر هنوز نمی‌دانید عبارت بازیابی (Seed Phrase) دقیقاً چیست و چرا با کلید خصوصی برابر است، درس عبارت بازیابی (سید فریز) چیست و چطور نگهش داریم نقطهٔ شروع است.

سه پرسش که در این لایه باید پاسخ «بله» بگیرند:

آیا عبارت بازیابی هرگز وارد دستگاه متصل به اینترنت نشده است؟ نه اسکرین‌شات، نه نوت گوشی، نه ایمیل به خودتان، نه پیام‌رسان. دلایل و راه جبران خطاهای گذشته در چرا هرگز نباید سید فریز خود را جایی تایپ یا اسکرین‌شات بگیرید آمده است. برای چک‌لیست، فقط همین را ثبت کنید: نسخهٔ فیزیکی، در دو محل جدا، دور از آب و آتش.

آیا بازیابی را آزموده‌اید؟ بسیاری از کاربران عبارت را می‌نویسند اما هرگز امتحان نمی‌کنند که آیا با همان کلمات، کیف پول در دستگاه دیگری بازمی‌گردد. مراحل این آزمون در راهنمای گام‌به‌گام ساخت کیف پول توضیح داده شده است. یک اشتباه در ترتیب یا املای کلمه‌ها، اگر وقتی کشف شود که دستگاه خراب شده، دیگر جبران‌پذیر نیست؛ پیامدهایش را در اگر کلید خصوصی یا سید فریز را گم کنیم چه اتفاقی می‌افتد می‌توانید بخوانید.

آیا مبلغ نگهداری با نوع کیف پول تناسب دارد؟ کیف پول گرم روی گوشی برای مبلغ روزمره طراحی شده است، نه برای پس‌انداز چندساله. اگر دارایی شما به سطحی رسیده که از دست‌رفتنش زندگی‌تان را تغییر می‌دهد، انتقال بخش اصلی به کیف پول سخت‌افزاری موضوعی است که باید جدی بررسی کنید؛ مقایسهٔ کامل در تفاوت کیف پول سرد و گرم آمده است. این تصمیم شخصی است و به مبلغ، دانش فنی و شرایط شما بستگی دارد.

لایهٔ چهارم: رفتار روزانه؛ لینک، تأییدها و تراکنش آزمایشی

سه لایهٔ قبل «تنظیمات» بودند و یک بار انجام می‌شوند. لایهٔ چهارم چیزی است که هر روز تکرار می‌شود و به همین دلیل بیشترین سهم را در خطاها دارد. بیشتر سرقت‌های موفق نه از شکستن رمزنگاری، بلکه از یک کلیک عجولانه، یک تأیید ناخوانده یا یک آدرس اشتباه‌کپی‌شده آغاز می‌شوند.

لینک‌ها. نشانی سایت کیف پول یا صرافی را همیشه خودتان تایپ کنید یا از نشانک (Bookmark) خودتان بروید؛ نه از نتیجهٔ جست‌وجو، نه از پیام تلگرام، نه از ایمیل «هشدار امنیتی». تشخیص سایت و برنامهٔ جعلی مهارت جداگانه‌ای است که درس چطور یک ولت مشکوک یا فیشینگ را تشخیص دهیم به آن می‌پردازد؛ نشانه‌های کلی آن مانند نشانی مشابه اما نه یکسان، درخواست عبارت بازیابی و فشار زمانی، همان نشانه‌هایی است که در درس‌های بخش کلاهبرداری آموزش داده شده‌اند.

تأییدها (Approve/Sign). کیف پول‌های امروزی پیش از هر تراکنش پنجره‌ای نشان می‌دهند که می‌گوید دقیقاً چه چیزی امضا می‌شود. عادت کنید این پنجره را واقعاً بخوانید: چه مبلغی، به چه آدرسی، و به چه قرارداد هوشمندی اجازهٔ دسترسی داده می‌شود. اگر متن پنجره را نمی‌فهمید، رد کنید؛ ردکردن هیچ زیانی ندارد، اما تأیید اشتباه بازگشت‌ناپذیر است.

تراکنش آزمایشی. پیش از هر انتقال بزرگ، همان مسیر را با مبلغ کوچک بروید و پس از رسیدن، ادامه دهید. فرض کنید می‌خواهید ۵۰۰ دلار به کیف پول جدیدتان منتقل کنید؛ ابتدا ۱۰ دلار می‌فرستید، در کیف پول مقصد دریافت را می‌بینید و تنها پس از آن باقی مبلغ را می‌فرستید. هزینهٔ تراکنش اضافه، در برابر خطای آدرس یا شبکهٔ اشتباه، ناچیز است.

آدرس. آدرس مقصد را نه فقط از چند حرف اول و آخر، بلکه در چند بخش میانی هم تطبیق دهید و هرگز آدرسی را که در تاریخچهٔ تراکنش‌ها «به نظر آشنا» می‌آید بی‌بررسی کپی نکنید؛ الگوی مسمومیت آدرس دقیقاً روی همین عادت حساب می‌کند.

الگوهای رایج فریب که به این تأییدها منتهی می‌شوند، در چطور در ارز دیجیتال کلاهبرداری نخوریم دسته‌بندی شده‌اند؛ شناختن آن‌ها بخش جدانشدنی امنیت کیف پول است، چون بدافزار و فیشینگ اغلب با یک پیام ساده آغاز می‌شوند.

بازبینی ماهانه در پنج دقیقه

امنیت با گذر زمان فرسوده می‌شود: برنامه‌ها به‌روزرسانی می‌خواهند، رمزها نشت می‌کنند، افزونه‌ای که نصب کرده‌اید فروخته می‌شود و به دست صاحب جدید می‌افتد. بازبینی ماهانه یعنی یک بار در ماه، در زمان مشخص، این پرسش‌ها را از خود بپرسید:

• آیا سیستم‌عامل، مرورگر و برنامهٔ کیف پول به‌روز است؟
• آیا تأیید دومرحله‌ای همهٔ حساب‌های حساس هنوز فعال است و روی اپ احراز هویت تنظیم شده، نه پیامک؟
• آیا افزونه یا برنامه‌ای نصب کرده‌ام که دیگر لازم نیست؟
• آیا نسخه‌های فیزیکی عبارت بازیابی هنوز در جای خود و سالم‌اند؟ (فقط بررسی وجود و سلامت؛ نه بازکردن و عکس‌گرفتن.)
• آیا دسترسی‌هایی (Approvals) که به قراردادها داده‌ام هنوز لازم‌اند یا باید لغو شوند؟
• آیا مبلغ موجود در کیف پول گرم از سطحی که برای خودم تعیین کرده‌ام بالاتر رفته است؟

اگر پاسخ به هر پرسش «نه» یا «نمی‌دانم» بود، همان روز اصلاح کنید. هدف این بازبینی، کامل‌بودن نیست؛ جلوگیری از انباشته‌شدن غفلت‌های کوچک است.

چک‌لیست کامل

چک‌لیست زیر خلاصهٔ تمام درس است. پیشنهاد ما این است که آن را چاپ کنید، کنار محل نگهداری دستگاه بگذارید و در بازبینی ماهانه هر مورد را دوباره علامت بزنید. پاسخ «بله» به همهٔ موارد به معنای ایمنی مطلق نیست، اما بیشتر راه‌های ورود رایج را می‌بندد.