🔐 دانشکدهٔ ۴ · دفاع در برابر حمله و برنامهٔ بازیابی
فیشینگ و مهندسی اجتماعی
Phishing & social engineering
پیش‌نیازها: تأییدیهٔ توکن، قراردادهای مخرب و امضای کورکورانه
📚 آموزش در سه سطح
از سطح ساده شروع کنید؛ اگر روشن بود، سطح بعد را بخوانید. سطح مناسب شما ذخیره می‌شود.
🌱 توضیح ساده
بیشتر دزدی‌های رمزارز با شکستن رمزنگاری انجام نمی‌شود؛ با فریب دادن انسان انجام می‌شود. «مهندسی اجتماعی» یعنی مهاجم به جای حمله به کامپیوتر، به اعتماد، ترس، عجله یا طمع شما حمله می‌کند. «فیشینگ» شکل رایج آن است: پیام، ایمیل یا سایتی که خود را جای یک سرویس معتبر جا می‌زند تا شما رمز، کد یا عبارت بازیابی را وارد کنید یا امضای مخربی بدهید.
تشبیه روزمره: کسی با لباس مأمور شرکت گاز زنگ خانه را می‌زند و می‌گوید «نشتی دارید، فوراً در را باز کنید». لباس و فوریت، ابزار فریب‌اند. در دنیای رمزارز هم همین است: «حساب شما مسدود می‌شود»، «فقط ۱۰ دقیقه برای دریافت ایردراپ وقت دارید»، «بیت‌کوین بفرستید تا دو برابرش را پس بگیرید».
سه قاعدهٔ ساده بیشتر حملات را خنثی می‌کند: هیچ‌کس، هیچ‌وقت، به هیچ دلیلی عبارت بازیابی شما را لازم ندارد؛ پشتیبانی واقعی هرگز اول در پیام خصوصی سراغ شما نمی‌آید؛ و هر جا عجله و وعدهٔ سود تضمینی دیدید، بایستید و از کانال رسمی که خودتان پیدا کرده‌اید بررسی کنید.
📘 توضیح متوسط
پشتیبانی جعلی: وقتی در گروه تلگرام یا شبکهٔ اجتماعی دربارهٔ مشکل کیف پول سؤال می‌پرسید، چند ثانیه بعد «ادمین» یا «پشتیبان» در پیام خصوصی سراغتان می‌آید و شما را به سایت «همگام‌سازی کیف» یا فرم «تأیید هویت» می‌برد. برای کاربران فارسی‌زبان نسخهٔ رایج آن، پشتیبانی جعلی صرافی یا ربات تلگرامی تقلبی با نام و لوگوی مشابه است. ایردراپ جعلی: توکنی ناشناس در کیفتان ظاهر می‌شود و نام آن یک آدرس سایت است؛ سایت از شما امضا یا تأییدیه می‌خواهد تا «پاداش» را آزاد کند و در واقع تخلیه‌گر کیف است. قاعده: با توکن‌های ناخواستهٔ ناشناس تعامل نکنید و آن‌ها را نفروشید.
بدافزار کلیپ‌بورد (Clipper): برنامهٔ مخربی که حافظهٔ کپی را پایش می‌کند و هر وقت آدرس رمزارز کپی کنید، آن را با آدرس مهاجم جایگزین می‌کند. این بدافزارها اغلب همراه نرم‌افزارهای کرک‌شده، افزونه‌های ناشناس یا فایل‌های اجرایی ارسالی در پیام‌رسان‌ها می‌آیند. دفاع: پس از چسباندن، کل آدرس را با منبع مقایسه کنید و روی کیف سخت‌افزاری آدرس را روی صفحهٔ دستگاه تأیید کنید.
سیم‌سواپ (SIM Swap): مهاجم با اطلاعات شخصی شما یا همدستی داخلی، اپراتور را قانع می‌کند شماره‌تان را به سیم‌کارت او منتقل کند؛ سپس کدهای پیامکی تأیید دومرحله‌ای و بازیابی رمز به دست او می‌رسد. برای حساب‌های مهم به جای پیامک از اپلیکیشن تولید کد (TOTP) یا کلید امنیتی سخت‌افزاری (FIDO2/Passkey) استفاده کنید و شماره‌تلفن را تا حد ممکن از روش‌های بازیابی حذف کنید. اپلیکیشن جعلی: نسخه‌های تقلبی کیف پول و صرافی گاهی حتی در فروشگاه‌های رسمی اپ ظاهر می‌شوند؛ لینک دانلود را فقط از سایت رسمی سازنده بگیرید و به نتیجهٔ اول جست‌وجو یا تبلیغات اعتماد نکنید.
🔬 توضیح تخصصی
کلاهبرداری‌های بلندمدت ارتباطی، که در گزارش‌ها با نام Pig Butchering شناخته می‌شوند، هفته‌ها یا ماه‌ها با دوستی یا رابطهٔ عاطفی آغاز می‌شوند، سپس قربانی را به «پلتفرم سرمایه‌گذاری» جعلی هدایت می‌کنند که سود ساختگی نشان می‌دهد و هنگام برداشت، «مالیات» یا «کارمزد آزادسازی» می‌خواهد. نشانهٔ کلیدی: سودی که فقط روی داشبورد آن سایت دیده می‌شود و برداشتی که همیشه به پرداخت بیشتر مشروط است. گزارش‌های سالانهٔ مرکز شکایات جرایم اینترنتی FBI (IC3) نشان می‌دهد کلاهبرداری سرمایه‌گذاری رمزارزی در سال‌های اخیر از بزرگ‌ترین دسته‌های زیان بوده است.
حملات هدفمند به افراد شناخته‌شده و مدیران پروژه‌ها پیچیده‌ترند: دعوت به «مصاحبهٔ کاری» یا «همکاری» با فایل یا اپلیکیشن جلسه که بدافزار است، دامنه‌های شبیه (Typosquatting) با حروف مشابه مثل جایگزینی l با I یا حروف سیریلیک، تبلیغات جست‌وجوی پولی که بالاتر از سایت اصلی می‌نشینند، و ایمیل‌هایی که از پایگاه داده‌های نشت‌کرده استفاده می‌کنند تا نام و نشانی واقعی شما را بیاورند و قابل باور شوند.
دفاع لایه‌ای: نشانه‌گذاری (Bookmark) سایت‌های مهم و ورود فقط از نشانه‌ها؛ تفکیک دستگاه یا پروفایل مرورگر برای امور مالی؛ مدیر رمز عبور که در دامنهٔ جعلی خودکار پر نمی‌کند (نشانهٔ مفیدی برای تشخیص فیشینگ)؛ کلید امنیتی سخت‌افزاری که به دامنه گره خورده و روی سایت جعلی کار نمی‌کند؛ و قاعدهٔ «تأیید از کانال دوم» برای هر درخواست غیرعادی، حتی اگر از حساب واقعی یک دوست یا مقام مشهور بیاید، چون خودِ آن حساب ممکن است هک شده باشد.
🌍 مثال واقعی: هک حساب‌های مشهور توییتر — ۱۵ ژوئیهٔ ۲۰۲۰
در ۱۵ ژوئیهٔ ۲۰۲۰ حساب‌های توییتر چهره‌ها و شرکت‌های مشهوری از جمله باراک اوباما، جو بایدن، ایلان ماسک، بیل گیتس و Apple هم‌زمان پیام یکسانی منتشر کردند: «بیت‌کوین به این آدرس بفرستید تا دو برابرش را پس بدهم». مهاجمان پیش‌تر با فیشینگ تلفنی کارکنان توییتر به ابزارهای داخلی دسترسی پیدا کرده بودند. در چند ساعت بیش از ۱۰۰ هزار دلار بیت‌کوین به آدرس کلاهبرداران واریز شد که روی بلاک‌چین قابل ردیابی است.
درس این رویداد دوگانه است: حساب «واقعی» و تیک آبی تضمین درستی پیام نیست، و وعدهٔ «دو برابر کردن» همیشه کلاهبرداری است. نمونهٔ دیگری از همین خانواده، هک حساب X کمیسیون بورس آمریکا (SEC) در ۹ ژانویهٔ ۲۰۲۴ بود که با سیم‌سواپ شمارهٔ متصل به حساب انجام شد و خبر جعلی تأیید ETF بیت‌کوین را منتشر کرد.
🔤 واژگان تخصصی
فریب دادن انسان برای افشای اطلاعات یا انجام کاری به نفع مهاجم، با سوءاستفاده از اعتماد، ترس، عجله یا طمع.
مثال: تماس تلفنی «کارشناس امنیت صرافی» که برای «جلوگیری از هک» کد تأیید پیامکی را می‌خواهد.
جعل هویت یک سرویس معتبر از طریق پیام، ایمیل یا سایت برای به دست آوردن اطلاعات حساس یا امضای مخرب.
مثال: سایتی با دامنهٔ شبیه به یک کیف پول مشهور که فرم «بازیابی کیف» دارد.
بدافزاری که آدرس رمزارز کپی‌شده را در حافظهٔ کپی با آدرس مهاجم جایگزین می‌کند.
مثال: آدرسی که چسبانده‌اید با آدرسی که کپی کردید در کاراکترهای میانی فرق دارد.
انتقال غیرمجاز شمارهٔ تلفن قربانی به سیم‌کارت مهاجم برای دریافت کدهای تأیید پیامکی.
مثال: قطع ناگهانی آنتن گوشی و هم‌زمان دریافت ایمیل تغییر رمز حساب صرافی.
ثبت دامنه‌ای با املای نزدیک به دامنهٔ اصلی برای فریب کاربران.
مثال: دامنه‌ای که به جای حرف m از rn استفاده می‌کند و در نگاه اول یکسان دیده می‌شود.
🔑 نکات کلیدی
- هیچ سرویس، پشتیبان یا مقام قانونی‌ای عبارت بازیابی شما را لازم ندارد.
- پشتیبانی واقعی اول در پیام خصوصی سراغ شما نمی‌آید؛ فقط از کانال رسمی‌ای که خودتان پیدا کرده‌اید پیگیری کنید.
- عجله، ترس و وعدهٔ سود تضمینی یا دو برابر کردن، نشانه‌های اصلی فریب‌اند.
- پس از چسباندن آدرس، کل آن را مقایسه کنید؛ بدافزار کلیپ‌بورد بی‌صدا آدرس را عوض می‌کند.
- برای حساب‌های مهم به جای پیامک از TOTP یا کلید امنیتی سخت‌افزاری استفاده کنید.
⚠️ اشتباهات رایج
- اعتماد به پیام چون از حساب تأییدشده یا یک دوست آمده؛ اشتباه است چون خود آن حساب ممکن است هک شده باشد، مثل رویداد توییتر ۲۰۲۰.
- تعامل با توکن ناشناسی که خودبه‌خود در کیف ظاهر شده؛ اشتباه است چون این‌ها اغلب طعمهٔ سایت‌های تخلیه‌گرند.
- دانلود کیف پول از نتیجهٔ اول جست‌وجو یا تبلیغ؛ اشتباه است چون تبلیغات پولی و دامنه‌های شبیه بالاتر از سایت اصلی می‌نشینند.
- اتکا به پیامک برای تأیید دومرحله‌ای حساب صرافی؛ اشتباه است چون سیم‌سواپ آن را دور می‌زند.
- نصب نرم‌افزار کرک‌شده روی کامپیوتری که با آن رمزارز مدیریت می‌کنید؛ اشتباه است چون مسیر اصلی پخش بدافزارهای کلیپ‌بورد و سرقت اطلاعات است.
🛠 تمرین عملی: شکار نشانه‌های فیشینگ
- سه پیام فرضی بنویسید یا از نمونه‌های عمومی هشدارهای امنیتی پیدا کنید: پشتیبانی جعلی، ایردراپ تقلبی، و پیام «دو برابر کردن» از یک حساب مشهور.
- در هر پیام دست‌کم سه نشانهٔ فریب (عجله، کانال غیررسمی، درخواست عبارت بازیابی یا امضا، دامنهٔ مشکوک) را علامت بزنید.
- آدرس سایت رسمی کیف پول و صرافی‌هایی را که استفاده می‌کنید نشانه‌گذاری کنید و قاعده بگذارید فقط از نشانه‌ها وارد شوید.
- روش تأیید دومرحله‌ای حساب‌های مهمتان را بررسی کنید و هر جا پیامک است، برنامهٔ جایگزینی با TOTP یا کلید امنیتی بنویسید.
- در بررسی‌گر امنیت توکن سایت، آدرس قرارداد یک توکن ناشناس را بررسی کنید و نتیجه را یادداشت کنید (بدون تعامل با آن توکن در کیف).
✅ معیار درستی: برای هر پیام دست‌کم سه نشانهٔ درست پیدا کرده‌اید، نشانه‌های سایت‌های مالی ساخته شده و برای هیچ حساب مهمی پیامک تنها روش تأیید دومرحله‌ای نیست.
🔒 در هیچ تمرینی از سرمایهٔ واقعی، عبارت بازیابی (Seed Phrase)، کلید خصوصی یا اتصال کیف پول اصلی استفاده نکنید.
📝 آزمون تطبیقی
هر بار ۵ سؤال از بانک ۸ سؤالی این درس انتخاب می‌شود؛ سؤال‌هایی که قبلاً اشتباه زده‌اید زودتر برمی‌گردند. حدنصاب قبولی ۸۰٪ (۴ از ۵) است و درس بعد با قبولی باز می‌شود.
✍️ پرسش تشریحی
یک «دستورالعمل امنیت شخصی» یک‌صفحه‌ای برای خانواده یا شاگردانتان بنویسید که پنج حملهٔ رایج مهندسی اجتماعی در رمزارز و نحوهٔ تشخیص و پاسخ به هر کدام را توضیح دهد.
بعد از نوشتن، پاسخ خود را با این معیارها بسنجید
خودارزیابی: هر نکته‌ای را که پاسخ شما به‌روشنی پوشش داده علامت بزنید.
🤖 دستیار آموزشی
دستیار آفلاین آکادمی: پاسخ‌ها فقط از متن درس‌ها و واژگان همین آکادمی پیدا می‌شوند و منبع هر پاسخ نشان داده می‌شود. هوش مصنوعی مولد نیست، حدس نمی‌زند و هیچ سیگنال خرید و فروشی نمی‌دهد.
📎 منابع مطالعاتی
- ethereum.org — Security and scam prevention
- FBI Internet Crime Complaint Center (IC3)
- NIST SP 800-63B — Digital Identity Guidelines (Authentication)
🏁 معیار تسلط بر این درس: بتوانید در هر پیام یا درخواست مشکوک دست‌کم سه نشانهٔ فریب را پیدا کنید و برای هر حملهٔ رایج یک دفاع عملی و از پیش آماده داشته باشید.