تصور کنید کیان، یک سرمایه‌گذار تازه‌کار ارز دیجیتال، یک روز ایمیلی دریافت می‌کند که به ظاهر از طرف صرافی معتبری ارسال شده است. در ایمیل نوشته شده: «حساب کاربری شما به دلایل امنیتی مسدود شده؛ برای فعال‌سازی مجدد همین حالا روی لینک زیر کلیک کنید.» کیان که نگران دارایی‌های خود شده، بی‌درنگ روی لینک کلیک می‌کند و اطلاعات ورود خود را وارد می‌نماید. چند دقیقه بعد متوجه می‌شود که موجودی حساب ارز دیجیتال او خالی شده است!
این سناریو یک نمونه کلاسیک از کلاهبرداری فیشینگ ارز دیجیتال است که متأسفانه افراد زیادی را در دام خود گرفتار می‌کند. فیشینگ در دنیای ارز دیجیتال یکی از دغدغه‌های اصلی کاربران تازه‌وارد و حتی حرفه‌ای است. شاید برای شما هم سؤال باشد که فیشینگ ارز دیجیتال چیست و چگونه می‌توان آن را شناسایی و از آن جلوگیری کرد. در این مقاله قصد داریم به زبان ساده به این پرسش‌ها پاسخ دهیم، انواع حملات فیشینگ در حوزه رمزارزها را بررسی کنیم و راههای پیشگیری از این نوع کلاهبرداری را گام‌به‌گام توضیح دهیم. اگر حفظ امنیت دارایی‌های دیجیتال برایتان مهم است و می‌خواهید در دام این ترفند نیفتید، تا پایان این مطلب با ما همراه باشید.
فیشینگ ارز دیجیتال چیست؟
فیشینگ (Phishing) نوعی حمله اینترنتی و مهندسی اجتماعی است که در آن کلاهبرداران خود را به جای یک فرد یا نهاد معتبر جا می‌زنند تا اطلاعات حساس شما را سرقت کنند. این اطلاعات می‌تواند شامل رمز عبور حساب صرافی، کلمات بازیابی کیف پول ارز دیجیتال، کلید خصوصی یا حتی اطلاعات کارت بانکی باشد. در دنیای ارز دیجیتال، فیشینگ به معنای تلاش برای به‌دست‌آوردن دسترسی به دارایی‌های رمزنگاری‌شده کاربران از راه فریب آن‌هاست. اصطلاح phishing از کلمه "ماهیگیری (Fishing)" گرفته شده، زیرا فیشرها (کلاهبرداران فیشینگ) مانند ماهیگیر، طعمه‌ای پهن می‌کنند و منتظر می‌مانند تا قربانی روی آن کلیک کند یا اطلاعات خود را وارد نماید.
در این روش کلاهبرداری، مهاجم معمولاً با ارسال پیام، ایمیل یا ایجاد وب‌سایت جعلی سعی می‌کند اعتماد قربانی را جلب کند. به محض این که کاربر فریب بخورد و اطلاعات مهم خود را وارد یک فرم تقلبی کند، آن اطلاعات مستقیماً به دست کلاهبردار می‌افتد. برای مثال، ممکن است ایمیلی دریافت کنید که به ظاهر از سوی یک صرافی ارز دیجیتال معتبر مثل بایننس یا نوبیتکس باشد و از شما بخواهد برای "تأیید امنیت حساب" روی لینکی کلیک کنید. اگر بی‌دقتی کنید و روی لینک جعلی کلیک نمایید، وارد سایتی خواهید شد که بسیار شبیه سایت اصلی است اما در واقع یک سایت جعلی طراحی‌شده برای سرقت اطلاعات شماست. با وارد کردن رمز عبور یا عبارت بازیابی در چنین سایتی، عملاً کلید ورود به دارایی‌های خود را دو دستی تقدیم فیشرها کرده‌اید.
فیشینگ یک مشکل جهانی است و محدود به ارزهای دیجیتال نیست؛ سال‌هاست که در حوزه‌های بانکی و شبکه‌های اجتماعی هم رخ می‌دهد. اما در حوزه رمزارزها این حمله خطرناک‌تر است، زیرا تراکنش‌های ارز دیجیتال غیرقابل‌بازگشت هستند و اگر دارایی شما دزدیده شود، معمولاً راهی برای بازگرداندن آن وجود ندارد. به همین دلیل آگاهی درباره فیشینگ ارز دیجیتال و روش‌های مقابله با آن، برای هر کسی که در این بازار سرمایه‌گذاری می‌کند ضروری است.
انواع حملات فیشینگ در ارزهای دیجیتال
روش‌های مختلفی وجود دارد که فیشرها تلاش می‌کنند کاربران ارز دیجیتال را فریب دهند. در این بخش با انواع رایج فیشینگ ارز دیجیتال آشنا می‌شویم و هر کدام را به زبان ساده توضیح می‌دهیم تا بدانید کلاهبرداران از چه راه‌هایی برای شکار اطلاعات شما استفاده می‌کنند.
فیشینگ از طریق ایمیل (Email Phishing)
رایج‌ترین نوع فیشینگ، ارسال ایمیل جعلی است. کلاهبردار ایمیلی طراحی می‌کند که دقیقاً شبیه ایمیل‌های یک شرکت یا صرافی معتبر به نظر می‌رسد؛ مثلاً از لوگو و قالب گرافیکی یک صرافی شناخته‌شده استفاده می‌کند. متن ایمیل معمولاً لحن فوریتی یا ترساندن دارد؛ برای مثال ممکن است بگوید «امنیت حساب شما به خطر افتاده، همین حالا اقدام کنید» یا «شما برنده ۰٫۵ بیت‌کوین شده‌اید! جهت دریافت جایزه اطلاعات کیف پول خود را وارد کنید». فرستنده ایمیل هم ممکن است شبیه آدرس رسمی باشد اما اگر با دقت نگاه کنید تفاوت کوچکی دارد (مثلاً support@binance.com واقعی است ولی ایمیل فیشر ممکن است support@binnance.com با یک حرف اضافه یا متفاوت باشد). هدف این ایمیل‌ها ترغیب شما به کلیک روی یک لینک مخرب یا پاسخ دادن با ارائه اطلاعات شخصی است.
وقتی کاربر روی لینک داخل ایمیل فیشینگ کلیک کند، معمولاً به یک صفحه وب جعلی هدایت می‌شود. این صفحه دقیقاً مشابه صفحه ورود (Login) صرافی یا کیف پول دیجیتال طراحی شده است. حتی ممکن است آدرس وب‌سایت در نگاه اول درست به نظر برسد؛ اما فیشرها اغلب یک کاراکتر اضافه یا جایگزین در دامنه قرار می‌دهند که در نگاه سطحی متوجه آن نمی‌شوید. مثلاً صفحه جعلی ممکن است روی دامنه nobitex.com.safe-login.ru بارگذاری شود که در نگاه اول شامل کلمه nobitex است و کاربر بی‌دقت فکر می‌کند سایت اصلی است. در واقع پس از وارد کردن اطلاعات، صفحه تقلبی آنها را ذخیره می‌کند و به کلاهبردار می‌فرستد. به این ترتیب، فیشر می‌تواند به حساب واقعی شما در سایت اصلی وارد شده و دارایی‌هایتان را منتقل کند.
فیشینگ سایت جعلی (Fake Websites)
نوع دیگر حمله، ایجاد وب‌سایت‌های جعلی است که وانمود می‌کنند یک سرویس معتبر مرتبط با ارز دیجیتال هستند. این وب‌سایت‌ها می‌توانند کپی دقیق یک صرافی آنلاین، یک کیف پول تحت وب یا حتی سایت یک ICO باشند. گاهی اوقات کلاهبرداران لینک این سایت‌ها را در اینترنت پخش می‌کنند؛ مثلاً در نتایج جستجوی گوگل از طریق تبلیغات پولی ظاهر می‌شوند یا در شبکه‌های اجتماعی به عنوان سایت رسمی معرفی می‌شوند. به محض ورود کاربر به این سایت‌ها، ممکن است از او خواسته شود فرم ثبت‌نام یا ورود را تکمیل کند. کاربران ناآگاه اطلاعات حساس خود (ایمیل، رمز عبور، کد 2FA و ...) را در سایت جعلی وارد می‌کنند و تصورشان این است که در حال ورود به حسابشان هستند، در حالی که تمام آن اطلاعات در پشت صحنه ذخیره می‌شود.
در سال‌های اخیر نمونه‌های زیادی از وب‌سایت جعلی صرافی بایننس مشاهده شد که حتی گواهی امنیتی HTTPS داشتند و به جز یک حرف در دامنه، هیچ تفاوت ظاهری با سایت اصلی Binance.com نداشتند. بسیاری از کاربران صرفاً به دیدن لوگوی بایننس و طراحی آشنا اعتماد کرده و اطلاعات ورودشان را وارد کردند و دارایی‌شان به سرقت رفت. بنابراین همیشه باید نشانی (URL) سایت را با دقت بررسی کنید و مطمئن شوید دقیقاً همان دامنه رسمی است.
فیشینگ از طریق اپلیکیشن جعلی
کلاهبرداران حوزه رمز ارز فقط به ایمیل و وب‌سایت اکتفا نمی‌کنند؛ آنها حتی ممکن است یک اپلیکیشن موبایل جعلی بسازند. این برنامه‌ها معمولاً ظاهری شبیه به کیف پول‌های معتبر یا برنامه صرافی‌های شناخته‌شده دارند. کاربر برنامه را نصب می‌کند و مثلاً عبارت بازیابی کیف پول خود را در آن وارد می‌کند غافل از اینکه این اپ، برنامه رسمی نیست! به محض وارد کردن عبارت بازیابی یا رمز کیف پول در اپلیکیشن جعلی، اطلاعات به سرور فیشر ارسال می‌شود و او می‌تواند موجودی کیف پول واقعی شما را خالی کند. مواردی از این دست برای کیف پول‌های مشهوری مثل متامسک (MetaMask) رخ داده است که نسخه‌های تقلبی متعددی از آنها در اینترنت پخش شد. راه انتشار اپ جعلی می‌تواند فروشگاه‌های غیررسمی، لینک‌های دانلود در شبکه‌های اجتماعی یا حتی فروشگاه‌های معتبر (در گذشته بدافزارهایی وارد Play Store هم شده‌اند) باشد. بنابراین همیشه دقت کنید اپلیکیشن‌های مربوط به ارز دیجیتال را فقط از منابع رسمی و معتبر دریافت کنید.
فیشینگ در شبکه‌های اجتماعی و پیام‌رسان‌ها
شبکه‌های اجتماعی بستر دیگری برای حملات فیشینگ هستند. شاید دیده باشید که زیر پست‌های صفحات معروف اینستاگرام یا توییتر مرتبط با ارز دیجیتال، افرادی کامنت می‌گذارند و وعده هدیه (Give away) یا سرمایه‌گذاری پرسود می‌دهند و یک لینک می‌گذارند. بسیاری از این لینک‌ها شما را به صفحات فیشینگ هدایت می‌کنند. یا در تلگرام ممکن است فردی با پروفایل جعلی مدیر صرافی به شما پیام دهد و مثلا بگوید: «کاربر گرامی، برای رفع مشکل حساب شما لطفاً اطلاعات ورود یا کد تأیید را ارسال کنید.» چون عکس پروفایل و نام کاربری او شبیه مدیران واقعی گروه است، کاربر اعتماد می‌کند و اطلاعاتش را می‌دهد. در حالی‌که ادمین‌های واقعی هیچ‌گاه به صورت خصوصی درخواست اطلاعات محرمانه نمی‌کنند.
روش دیگر، ایجاد صفحات و بات‌های تلگرامی است که وانمود می‌کنند خدماتی ارائه می‌دهند. برای مثال، ربات جعلی قرعه‌کشی یا ایردراپ که از شما کلید خصوصی کیف پول را می‌خواهد تا مثلاً چک کند برنده شده‌اید یا خیر! نتیجه مشخص است؛ اگر کلید خصوصی یا عبارت ۱۲ کلمه‌ای خود را در چنین جایی وارد کنید، موجودی کیف پولتان فوراً منتقل خواهد شد.
فیشینگ تلفنی و پیامکی
هرچند بخش عمده حملات فیشینگ ارز دیجیتال در فضای آنلاین رخ می‌دهد، اما گاهی از طریق تماس تلفنی یا پیامک (SMS) نیز انجام می‌شود. به این نوع حملات ویشینگ (Vishing) و اسمیشینگ (Smishing) می‌گویند. در این روش ممکن است کلاهبردار مستقیماً با شما تماس بگیرد و خود را کارمند صرافی معرفی کند. مثلاً بگوید: «از صرافی X تماس می‌گیرم، حساب شما مشکوک به فعالیت غیرمجاز است، کد تأیید پیامک‌شده را برای احراز هویت اعلام کنید.» اگر کاربر آن کد یا اطلاعات خواسته‌شده را ارائه کند، عملاً راه ورود فیشر را باز کرده است. در پیامک‌های فیشینگ نیز متنی ارسال می‌شود حاوی لینک مشکوک. برای مثال: «مشترک گرامی، کیف پول شما به‌روز‌رسانی امنیتی نیاز دارد. جهت جلوگیری از مسدود‌شدن، همین الان روی لینک زیر کلیک کنید: ...». هرگونه پیامک حاوی لینک ناشناس که از شما اطلاعات می‌خواهد احتمالاً ترفند فیشینگ است. شرکت‌های معتبر معمولاً مسائل حساس امنیتی را از طریق پیامک اطلاع‌رسانی نمی‌کنند و هرگز لینک ورود مستقیم در پیامک قرار نمی‌دهند.
روش‌های بالا تنها چند نمونه رایج از انواع فیشینگ ارز دیجیتال بودند. کلاهبرداران خلاقیت زیادی به خرج می‌دهند و ممکن است هر روز شیوه‌های تازه‌ای ابداع کنند. اما خوشبختانه اغلب حملات فیشینگ دارای نشانه‌های مشترکی هستند که اگر با آنها آشنا باشید می‌توانید به موقع دام را تشخیص دهید. در ادامه به این نشانه‌ها و راههای شناسایی فیشینگ می‌پردازیم.
چگونه حملات فیشینگ ارز دیجیتال را شناسایی کنیم؟
برای اینکه قربانی فیشینگ نشویم، باید یاد بگیریم نشانه‌های هشداردهنده یک حمله فیشینگ را تشخیص دهیم. کلاهبرداری‌های فیشینگ هرچند متنوع‌اند، اما اغلب چند ویژگی مشترک دارند که آنها را از ارتباطات واقعی متمایز می‌کند. در این بخش مهم‌ترین علائم و روش‌های شناسایی فیشینگ ارز دیجیتال را بررسی می‌کنیم:
- آدرس فرستنده یا لینک مشکوک: اولین قدم، همیشه به آدرس ایمیل فرستنده یا لینک وب‌سایت دقت کنید. اگر ایمیلی دریافت می‌کنید، دامنه ایمیل (قسمت بعد از @) باید دقیقاً همان دامنه رسمی شرکت باشد. وجود حتی یک حرف اضافی یا غیرمعمول (مانند .info به جای .com) زنگ خطر است. در مورد لینک‌ها نیز قبل از کلیک کردن، نشانگر موس را روی لینک نگه دارید تا آدرس کامل را ببینید؛ فیشرها گاهی لینک را به صورت متن معتبر نشان می‌دهند اما مقصد واقعی چیز دیگری است. هر آدرس وب‌سایت غیرمعمول یا خیلی طولانی که شامل نام شرکت به همراه موارد اضافه باشد، می‌تواند صفحه فیشینگ باشد.
- اشتباهات املایی و نگارشی: بسیاری از پیام‌ها و صفحات فیشینگ دارای اشتباهات املایی، نگارشی یا ترجمه ناشیانه هستند. شرکت‌های معتبر معمولاً ایمیل‌ها و وب‌سایت‌های خود را بدون غلط و با زبان حرفه‌ای منتشر می‌کنند. اگر ایمیلی که ظاهراً از طرف یک صرافی مطرح آمده، پر از ایرادات نگارشی است یا جمله‌بندی نامناسبی دارد، باید به واقعی بودن آن شک کنید. البته برخی فیشرهای حرفه‌ای متن‌های بی‌عیب‌تری تهیه می‌کنند؛ بنابراین نبود غلط املایی لزوماً به معنای امن بودن نیست، اما وجود آن تقریباً همیشه نشانه خطر است.
- درخواست غیرمعمول اطلاعات حساس: هیچ صرافی یا پلتفرم قانونی رمز عبور، کد ۲FA، عبارت بازیابی کیف پول یا سایر اطلاعات فوق‌محرمانه شما را از طریق ایمیل یا پیام درخواست نمی‌کند. اگر پیامی دیدید که از شما چنین اطلاعاتی می‌خواهد، با اطمینان ۱۰۰٪ بگویید که کلاهبرداری است. حتی اگر پیام به ظاهر از طرف دوست شما یا مدیر کانال باشد، بدانید که اکانت شخص مقابل ممکن است هک شده یا فردی دروغگو پشت ماجراست. هرگاه کسی درخواست اطلاعات خصوصی شما را داشت، فوراً ارتباط را قطع کنید.
- ایجاد حس فوریت یا اضطراب: فیشرها برای اینکه فرصت فکر کردن را از شما بگیرند، معمولاً پیام خود را با لحنی اضطراری همراه می‌کنند. مثلاً می‌گویند «اگر تا یک ساعت آینده اقدام نکنید، حسابتان مسدود می‌شود» یا «همین حالا این کار را بکنید وگرنه دارایی‌تان را از دست می‌دهید». این شگرد روان‌شناسی است تا شما را به واکنش سریع و غریزی وادار کنند. در چنین مواقعی حتماً چند دقیقه تأمل کنید و جوانب را بسنجید. معمولاً شرکت‌های واقعی ضرب‌الاجل‌های چند دقیقه‌ای و لحن تهدیدآمیز برای کاربران خود تعیین نمی‌کنند.
- پیشنهادات بیش از حد خوب (Too Good to be True): سمت دیگر طیف فریب، ایجاد وسوسه است. شاید پیامی دریافت کنید که «شما برنده ۵۰۰ دلار بیت‌کوین شدید!» یا «با این لینک در یک ICO فوق‌العاده سرمایه‌گذاری کن، ۵۰٪ پاداش بگیر». هر پیشنهاد خیلی جذابی که مستلزم کلیک روی لینک یا وارد کردن اطلاعات کیف پول باشد، احتمالاً دام است. به ویژه در فضای کریپتو هرجا وعده پول بادآورده دیدید بیشتر احتیاط کنید.
- نبود اطلاعات تماس یا مشخصات رسمی: ایمیل‌ها یا سایت‌های کلاهبرداری معمولاً اطلاعات تماس قابل‌پیگیری ندارند. برای مثال، یک ایمیل واقعی از صرافی حاوی امضای مشخص، آدرس شرکت، شماره پشتیبانی و لینک وب‌سایت رسمی است. ولی ایمیل‌های فیشینگ ممکن است هیچ اطلاعات تماسی نداشته باشند یا مثلاً به جای لینک وب‌سایت رسمی، همان لینک مشکوکی باشد که می‌خواهند شما رویش کلیک کنید. در سایت‌های جعلی هم بخش «درباره ما» یا «تماس با ما» قابل اطمینان نیست یا اصلاً وجود ندارد. اگر با پیام یا سایتی روبه‌رو شدید که هویت فرستنده را نتوانستید از طریق منابع رسمی تأیید کنید، احتمالاً در حال نگاه کردن به یک طعمه فیشینگ هستید.
در جدول زیر، برخی از علائم هشداردهنده فیشینگ را در مقایسه با وضعیت عادی خلاصه کرده‌ایم:
نشانه هشدار در فیشینگ | وضعیت عادی و امن |
دامنه وب‌سایت حاوی کاراکترهای اضافه یا نامتعارف (مثال: binnance.com) | دامنه وب‌سایت دقیقاً منطبق بر نام رسمی (مثال: binance.com) |
درخواست ارسال رمز عبور/عبارت خصوصی از طریق ایمیل یا چت | هرگز درخواست مستقیم اطلاعات محرمانه نمی‌شود |
لحنی اضطراری یا تهدیدآمیز در پیام («همین الآن انجام بده») | لحن معمولاً محترمانه و بدون تعیین ضرب‌الاجل آنی است |
وعده پاداش غیرمنتظره یا بردن جایزه بزرگ در ازای ورود اطلاعات | شرکت‌های معتبر بدون دلیل به شما جایزه بزرگ نمی‌دهند |
وجود غلط‌های املایی و گرامری فاحش در متن پیام یا سایت | پیام‌های رسمی معمولاً زبان صحیح و استانداردی دارند |
با توجه به موارد فوق، می‌توانید هر ایمیل، پیام یا وب‌سایت مشکوکی را بهتر ارزیابی کنید. فراموش نکنید که دقت و شک سالم دوست شماست! اگر اندکی مشکوک شدید، بهتر است اصلاً روی لینک کلیک نکنید یا اطلاعاتی وارد نکنید. در عوض می‌توانید از طرق دیگر صحت آن را بررسی کنید؛ مثلاً مستقیماً وارد سایت رسمی صرافی شوید و ببینید آیا واقعاً مشکلی در حساب شما گزارش شده یا نه.
چگونه از حملات فیشینگ ارز دیجیتال جلوگیری کنیم؟
اکنون که با ماهیت و نشانه‌های فیشینگ آشنا شدیم، پرسش مهم این است که چگونه می‌توانیم از ابتدا مانع گرفتار شدن در دام فیشینگ شویم؟ در ادامه، موثرترین روش‌ها و عادات برای افزایش امنیت و جلوگیری از حملات فیشینگ در حوزه ارز دیجیتال را مرور می‌کنیم. این موارد را به عنوان یک چک‌لیست امنیتی در نظر بگیرید و سعی کنید همیشه آنها را رعایت کنید:
- هیچ‌وقت اطلاعات حساس خود را فاش نکنید: همان‌طور که تأکید کردیم، عبارت بازیابی کیف پول، کلید خصوصی، رمز عبور، PIN و کد یک‌بارمصرف (OTP) را تحت هیچ شرایطی در اختیار دیگران قرار ندهید. این موارد مثل کلید خانه شما هستند. حتی پشتیبانی صرافی یا افراد نزدیک هم نباید این‌ها را بدانند. هر زمان کسی چنین اطلاعاتی از شما خواست، به صحت کار او شک کنید.
- از احراز هویت دو مرحله‌ای (2FA) استفاده کنید: فعال‌سازی تایید دو مرحله‌ای در صرافی‌ها و کیف پول‌ها یک لایه امنیتی اضافه ایجاد می‌کند. با 2FA، حتی اگر رمز عبور شما به دست فیشر برسد، بدون کد تایید دوم (مثلاً کدی که به گوشی شما ارسال می‌شود یا در برنامه Google Authenticator تولید می‌شود) دسترسی به حساب شما برای او دشوار خواهد بود. حتماً 2FA را بر روی حساب‌های مهم خود فعال کنید و ترجیحاً از اپلیکیشن‌های تولید رمز به‌جای پیامک استفاده کنید تا امنیت بالاتر رود.
- همیشه آدرس سایت را خودتان وارد کنید: برای ورود به حساب صرافی یا هر سرویس مالی، مستقیماً آدرس آن را در مرورگر تایپ کنید یا از نشانک (Bookmark) مطمئن استفاده کنید. از جستجوی نام صرافی در گوگل و کلیک روی نتایج خودداری کنید، چرا که ممکن است نتایج تبلیغاتی شامل سایت‌های جعلی باشند. همچنین هیچ‌وقت از لینک‌هایی که در ایمیل، پیامک یا شبکه اجتماعی دریافت می‌کنید برای ورود به سایت‌های حساس استفاده نکنید. این عادت ساده، جلوی بسیاری از حملات فیشینگ را می‌گیرد.
- نرم‌افزارها و اپلیکیشن‌های خود را فقط از منابع معتبر دریافت کنید: اگر می‌خواهید کیف پول دیجیتال یا اپ صرافی نصب کنید، حتماً به سایت رسمی آن پروژه مراجعه کنید و از آنجا لینک دانلود را بگیرید. در فروشگاه‌های نرم‌افزاری هم به نام سازنده و تعداد دانلودها دقت کنید؛ برنامه‌ای که تازه منتشر شده و سازنده ناشناخته دارد می‌تواند جعلی باشد. گوشی و رایانه خود را نیز با آخرین وصله‌های امنیتی به‌روز نگه دارید، چون مرورگرها و آنتی‌ویروس‌های جدیدتر بهتر می‌توانند سایت‌ها و فایل‌های مخرب را شناسایی و مسدود کنند.
- از یک صرافی و کیف پول معتبر استفاده کنید: برای خرید و فروش ارز دیجیتال، به سراغ پلتفرم‌های شناخته‌شده و دارای سابقه بروید. صرافی‌ها و کیف‌پول‌های معتبر، پروتکل‌های امنیتی قوی‌تری دارند و کاربران را در برابر برخی حملات محافظت می‌کنند. به علاوه، این گونه پلتفرم‌ها معمولاً آموزش‌های امنیتی به کاربران ارائه می‌دهند. اگر هنوز صرافی مطمئنی برای شروع کار انتخاب نکرده‌اید، همین حالا شروع کن و در یک صرافی امن ثبت‌نام کن. (می‌توانید برای معامله ارزهای دیجیتال از اینجا ثبت‌نام کنید و یک حساب کاربری در صرافی نوبیتکس افتتاح کنید.)
- به اعلان‌ها و هشدارهای امنیتی توجه کنید: بسیاری از مرورگرهای وب و سرویس‌های ایمیل دارای سیستم تشخیص فیشینگ هستند. اگر هنگام باز کردن سایتی، مرورگر به شما هشدار داد که این سایت ایمن نیست یا گواهی SSL معتبری ندارد، آن را نادیده نگیرید. همچنین اگر ایمیلی در پوشه Spam (هرزنامه) شما قرار گرفته، به احتمال زیاد دلیلی داشته است. هرچند این سیستم‌ها کامل نیستند، اما هر جا به شما هشدار دادند، حتماً با احتیاط دوچندان عمل کنید.
- از افزونه‌ها و ابزارهای ضد فیشینگ استفاده کنید: برخی افزونه‌های مرورگر (Browser Extensions) و نرم‌افزارهای امنیتی می‌توانند سایت‌های جعلی شناخته‌شده را شناسایی و قبل از وارد شدن شما هشدار دهند. برای نمونه، افزونه‌هایی هستند که پایگاه‌داده‌ای از دامنه‌های فیشینگ دارند و اگر شما تصادفاً آنها را باز کنید، جلویتان را می‌گیرند. نصب یک افزونه ضد فیشینگ یا استفاده از آنتی‌ویروس‌های به‌روز می‌تواند به عنوان یک تور ایمنی عمل کند.
- از کیف پول‌های امن و آفلاین برای مبالغ بالا استفاده کنید: اگر مقدار قابل توجهی ارز دیجیتال نگهداری می‌کنید، حتماً از کیف پول سخت‌افزاری یا کیف پول‌های سرد (آفلاین) استفاده کنید. کیف پول‌های سخت‌افزاری مانند لجر (Ledger) یا ترزور (Trezor) کلید خصوصی را در خود دستگاه ذخیره می‌کنند و حتی اگر کامپیوتر شما بدافزار داشته باشد یا به صفحه فیشینگ هدایت شوید، بدون داشتن خود دستگاه، مهاجم نمی‌تواند تراکنش را تأیید کند. به عبارتی با کیف پول سخت‌افزاری، حتی در بدترین حالت هم یک سد فیزیکی بر سر راه کلاهبردار وجود دارد. البته مراقب باشید کلمات بازیابی کیف پول سخت‌افزاری را نیز هیچ‌گاه در جایی وارد نکنید؛ اگر دستگاه شما خراب شد، فقط در نرم‌افزار رسمی خود شرکت بازیابی را انجام دهید.
- دانش خود را به‌روز کنید و هوشیار باشید: روش‌های فیشینگ ممکن است تکامل یابند. بنابراین سعی کنید هر چند وقت یکبار اطلاعات خود را درباره جدیدترین ترفندهای کلاهبرداران به‌روز کنید. مطالعه مقاله‌های آموزشی (مثل همین که می‌خوانید)، دنبال کردن اخبار امنیت سایبری و گفتگو با سایر کاربران با‌تجربه می‌تواند شما را از جدیدترین شیوه‌های کلاهبرداری ارز دیجیتال آگاه کند. هرچه آگاهی شما بیشتر باشد، کمتر در معرض خطر قرار می‌گیرید.
اگر می‌خواهید با اطمینان بیشتری در بازارهای مالی قدم بردارید، پیشنهاد می‌کنیم در دوره‌های آموزشی تالاربورس شرکت کنید. آموزش دیدن تحت نظر حرفه‌ای‌ها به شما کمک می‌کند که تبدیل به یک سرمایه‌گذار آگاه و هوشمند شوید.
در کنار توصیه‌های بالا، بد نیست به جایگاه تفکر نقادانه هم اشاره کنیم. بسیاری از حملات فیشینگ با فریب ذهنی کاربر کار می‌کنند. پس همیشه این سؤال‌ها را از خودتان بپرسید: آیا منطقی است صرافی به من زنگ بزند و کلمه عبور بخواهد؟ آیا طبیعی است یک ایمیل بدون درخواست قبلی، چنین چیزی بخواهد؟ اگر کوچک‌ترین شکی داشتید، احتیاط کنید. در صورت لزوم، می‌توانید مستقیماً با پشتیبانی رسمی آن سرویس تماس بگیرید و درباره اعتبار پیام دریافتی سؤال کنید.
مقایسه اقدامات امن و ناامن در مواجهه با لینک‌ها
برای تثبیت بهتر راه‌کارهای پیشگیری، به چند رفتار امن در برابر رفتارهای پرخطر توجه کنید:
کار پرخطر/اشتباه | اقدام صحیح/ایمن |
کلیک روی لینک ناشناس ارسال‌شده در ایمیل یا پیامک | تایپ دستی آدرس سایت در مرورگر یا استفاده از لینک‌های ذخیره‌شده معتبر |
وارد کردن عبارت بازیابی یا رمز در هر سایتی که ادعا می‌کند کیف پول شماست | وارد کردن عبارت بازیابی فقط در کیف پول اصلی خود یا دستگاه سخت‌افزاری – نه در هیچ سایت متفرقه |
ارائه کد تأیید دومرحله‌ای به فردی که در تماس تلفنی خود را پشتیبان صرافی معرفی می‌کند | تاکید بر اینکه اطلاعات تایید هویت را فقط در سایت یا اپ رسمی وارد می‌کنید و نه به اشخاص در تماس تلفنی |
با رعایت این اصول، احتمال گرفتار شدن در دام فیشینگ را به حداقل می‌رسانید. یادتان باشد که حتی حرفه‌ای‌ترین افراد هم ممکن است با یک لحظه سهل‌انگاری قربانی شوند، پس هرگز احتیاط را کنار نگذارید. به قول معروف، پیشگیری بهتر از درمان است؛ اینجا هم پیشگیری از فیشینگ بسیار آسان‌تر از تلاش برای جبران خسارت بعد از آن خواهد بود.
نتیجه‌گیری
امنیت دارایی‌های دیجیتال شما تا حد زیادی در دستان خودتان است. فیشینگ در دنیای ارز دیجیتال شاید در نگاه اول ترسناک به نظر برسد، اما با آگاهی و دقت می‌توان جلوی اکثر قریب به اتفاق این حملات را گرفت. در این مقاله دیدیم که فیشینگ ارز دیجیتال چیست و چگونه اجرا می‌شود؛ از ایمیل‌ها و سایت‌های جعلی گرفته تا پیام‌های فریبنده در شبکه‌های اجتماعی. همچنین یاد گرفتیم که با نکاتی ساده مثل بررسی دقیق آدرس‌ها، فعال‌سازی تایید دومرحله‌ای، خودداری از افشای اطلاعات حساس و داشتن شک سالم می‌توانیم سپر محکمی در برابر این نوع کلاهبرداری داشته باشیم.
به خاطر بسپارید که اگر ایمیل یا پیامی دریافت کردید که در آن حتی ذره‌ای حس ناخوشایند یا عجیب داشتید، سریع واکنش نشان ندهید. چند دقیقه فکر کنید، منابع رسمی را چک کنید و اگر لازم بود از افراد مطلع راهنمایی بگیرید. دنیای ارزهای دیجیتال پر از فرصت‌های جذاب است، اما متاسفانه افراد سودجو هم در کمین نشسته‌اند. با به‌کارگیری آموزش‌هایی که کسب کرده‌اید، می‌توانید با خیال راحت‌تر در این دنیای هیجان‌انگیز به سرمایه‌گذاری بپردازید و از سود فناوری‌های نوین بدون دغدغه کلاهبرداری لذت ببرید.
در نهایت، امنیت یک مقصد نیست بلکه یک فرآیند مداوم است. هر روز هوشیار باشید و موارد جدید را یاد بگیرید. امیدواریم با خواندن این مقاله، ضمن آشنایی با مفهوم فیشینگ در دنیای ارز دیجیتال، بتوانید دارایی‌های ارزشمند خود را در برابر این تهدید حفظ کنید. امنیت شما، سرمایه شماست.
آیا می‌خواهید همواره از ترفندهای کاربردی و آموزش‌های جذاب در زمینه‌های مختلف باخبر باشید؟
ما روزانه نکات آموزشی و کاربردی در شبکه‌های اجتماعی منتشر می‌کنیم. برای دریافت جدیدترین ترفندها و اخبار دنیای سرمایه‌گذاری، حتماً صفحه اینستاگرام تالاربورس را دنبال کنید. مطالب جالبی در انتظار شماست که شاید پاسخ پرسش‌های مالی بعدی‌تان باشد.
سوالات پرتکرار (FAQ)
فیشینگ ارز دیجیتال یک روش کلاهبرداری اینترنتی است که طی آن فرد مهاجم با تظاهر به یک منبع معتبر (مثلاً صرافی یا کیف پول)، اطلاعات حساس کاربران رمزارز را سرقت می‌کند. در این شیوه، کلاهبردار از طریق ایمیل، سایت یا پیام جعلی، کاربر را فریب می‌دهد تا رمز عبور، کلید خصوصی یا عبارت بازیابی خود را در اختیار او قرار دهد. نتیجه‌ی فیشینگ، دسترسی غیرمجاز کلاهبردار به دارایی‌های دیجیتال قربانی و خالی کردن حساب اوست.
برای تشخیص لینک‌ها و ایمیل‌های فیشینگ باید به چند نکته دقت کنید: آیا دامنه‌ی فرستنده یا لینک دقیقا با آدرس رسمی مطابقت دارد یا حروف اضافی و غیرعادی دارد؟ آیا متن پیام حاوی اشتباهات املایی و گرامری است؟ آیا لحن پیام بیش از حد فوری یا تهدیدآمیز است (مثل «همین حالا کلیک کنید وگرنه حسابتان مسدود می‌شود»)؟ و مهم‌تر از همه، آیا از شما اطلاعات محرمانه (رمز، کد 2FA، عبارت کیف پول) درخواست شده است؟ وجود هر یک از این موارد می‌تواند نشان دهد آن لینک یا ایمیل احتمالاً فیشینگ است. در صورت شک، هرگز روی لینک کلیک نکنید و اطلاعات خود را وارد نکنید.
اگر متوجه شدید که اشتباهاً اطلاعات خود را در صفحه‌ی فیشینگ وارد کرده‌اید، باید خیلی سریع اقدام کنید. اول از همه، فوراً رمز عبور آن حساب را تغییر دهید (در صورتی که هنوز دسترسی دارید). اگر عبارت بازیابی کیف پول را جایی وارد کرده‌اید، سریعاً دارایی‌های آن کیف پول را به یک کیف پول امن دیگر منتقل کنید، چون احتمالاً کلاهبردار به کیف پول اصلی شما دسترسی پیدا کرده است. حتماً 2FA را فعال یا در صورت فعال بودن، ریست کنید. به پشتیبانی صرافی مربوطه اطلاع دهید تا حساب را موقتاً قفل کنند. علاوه بر این، حادثه را به دیگران گزارش کنید؛ مثلاً اگر در یک گروه تلگرامی فریب خورده‌اید، مدیران گروه را مطلع کنید تا بقیه اعضا آگاه شوند. در نهایت می‌توانید با ارائه مستندات، از طریق پلیس فتا موضوع را گزارش کنید، هرچند در دنیای ارز دیجیتال پیگیری بازگشت وجه دشوار است.
متاسفانه در اکثر مواقع خیر. تراکنش‌های ارزهای دیجیتال بر روی بلاک‌چین غیرقابل بازگشت هستند؛ یعنی اگر کلاهبردار دارایی شما را به کیف پول خودش منتقل کند، راهی برای لغو آن تراکنش وجود ندارد. تنها حالت ممکن این است که مراجع قانونی بتوانند آن کیف پول را ردیابی کرده و فرد کلاهبردار را پیدا کنند که در عمل بسیار پیچیده و نادر است (به ویژه اگر فیشر هویت خود را خوب مخفی کرده باشد). بنابراین نباید روی بازگشت پول از دست‌رفته حساب کنید. بهترین راه، همان پیشگیری و هوشیاری است تا کار به این مرحله نکشد.
برای ایمن‌سازی حساب صرافی و کیف پول، علاوه بر رعایت نکات عمومی (مثل کلیک نکردن روی لینک‌های مشکوک)، اقدامات زیر را انجام دهید: حتماً تایید هویت دو مرحله‌ای (2FA) را فعال کنید تا حتی اگر رمز شما لو رفت، دسترسی بدون کد دوم ممکن نباشد. یک رمز عبور قوی و منحصربه‌فرد برای هر حساب خود انتخاب کنید و ترجیحاً آن را به صورت دوره‌ای تغییر دهید. از سوالات امنیتی یا ویژگی‌های ضد فیشینگ که برخی صرافی‌ها ارائه می‌دهند استفاده کنید (مثلاً بایننس یک کد ضد فیشینگ در ایمیل‌های ارسالی قرار می‌دهد که شما می‌توانید آن را تنظیم کنید). همیشه نرم‌افزار کیف پول و اپلیکیشن صرافی خود را به‌روز نگه دارید تا آخرین وصله‌های امنیتی برایتان فعال باشد. با رعایت این موارد، نفوذ فیشرها به حساب‌های شما بسیار دشوار خواهد شد.
خود کیف پول سخت‌افزاری (Hardware Wallet) به دلیل آفلاین بودن و طراحی امن، در برابر حملات آنلاین بسیار مقاوم است و به سادگی فیشینگ نمی‌شود. کلاهبردار نمی‌تواند مستقیماً به یک لجر یا ترزور وصل شود و اطلاعاتش را بکشد. اما نقطه ضعف ماجرا کاربران هستند؛ اگر شما عبارت بازیابی ۲۴ کلمه‌ای یا پین‌کد کیف پول سخت‌افزاری خود را در جایی وارد کنید که تحت کنترل فیشر است، همان خطر به وجود می‌آید. همچنین ممکن است فیشر سایتی درست کند که وانمود می‌کند مثلا کیف پول لجر شما نیاز به آپدیت دارد و از شما بخواهد عبارت بازیابی را وارد کنید – که این هم نوعی فیشینگ است. پس حتی هنگام استفاده از کیف پول سخت‌افزاری نیز باید جانب احتیاط را رعایت کنید و فقط از نرم‌افزار و سایت رسمی خود کیف پول برای بروزرسانی یا بازیابی استفاده نمایید.
فیشینگ و هک هر دو از روش‌های سرقت اطلاعات یا دارایی دیجیتال هستند، اما تفاوت مهمی دارند: هک معمولاً به معنی نفوذ به سیستم یا آسیب‌پذیری فنی یک سرویس یا نرم‌افزار است. به عبارت دیگر، هکر سعی می‌کند با دانش فنی و پیدا کردن نقطه ضعف‌های امنیتی، بدون دخالت صاحب حساب به اطلاعات دسترسی یابد. اما فیشینگ به جای نفوذ فنی، از فریب انسانی استفاده می‌کند. در فیشینگ، خود کاربر تحت تأثیر قرار می‌گیرد تا مثلاً رمز را تقدیم مهاجم کند. به زبان ساده، در هک ممکن است سیستم شما ایراد داشته باشد، در فیشینگ شما فریب می‌خورید. البته گاهی این دو روش با هم ترکیب می‌شوند (مثلاً هکری یک سایت فیشینگ راه‌اندازی می‌کند که نوعی هک اجتماعی است). اما در کل، فیشینگ بیشتر بر مهندسی اجتماعی تکیه دارد در حالی که هک کلاسیک بر مهندسی نرم‌افزار و سخت‌افزار.