التواقيع والعناوين
الدرس 14 من 16 في دورة «الأمن السيبراني من الصفر». مجاني، مع رسوم متحركة واختبار.
تسميم العنوان
عنوان المحفظة طويل، لذلك نتحقق من بدايته ونهايته فقط. يستغل المحتالون ذلك: ينشئون عنوانًا تتطابق أحرفه الأولى والأخيرة، ويرسلون لك منه تحويلًا فارغًا. يظهر في سجلك فتنسخه في المرة التالية بدل الحقيقي. في مايو 2024 خرج بهذه الطريقة في تحويل واحد 1155 WBTC، أي نحو 68 مليون دولار. صاحبها كان محظوظًا واستعادها لاحقًا، لكنها عادةً لا تعود.
التوقيع ليس «مجرد توقيع»
المحفظة لا تطلب تأكيد التحويلات فقط. الإذن يعطي عقدًا حق سحب رمزك لاحقًا، وأحيانًا بلا حد. وتوقيع permit يفعل الشيء نفسه لكنه يبدو «وقّع هذه الرسالة» البريئة ولا يكلّف رسومًا. ومنذ تحديث إيثريوم في مايو 2025 ظهر توقيع يسلّم إدارة حسابك لشيفرة خارجية، والمحتالون يركّبون فيه «كنّاسات» تسحب كل ما يصل إلى العنوان. مواقع الاستنزاف (drainer) موجودة لانتزاع هذه التواقيع بالذات.
حتى المحترفون يوقّعون دون رؤية
في 21 فبراير 2025 خسرت منصة Bybit مليارًا ونصف مليار دولار. أصاب المهاجمون حاسوب مطوّر في خدمة Safe{Wallet} التي كانت Bybit توقّع بها التحويلات. رأى الموظفون على الموقع تحويلًا عاديًا فوقّعوه، لكن التوقيع في الحقيقة نقل السيطرة على المحفظة. الدرس: إن عرضت محفظتك شيفرة غير مفهومة بدل «أرسل X إلى Y» الواضحة فهذا توقيع أعمى، ولا يوقَّع.
كيف لا تقع
انسخ العنوان من جهات اتصالك أو من شاشة المستلم، لا من سجل التحويلات. قبل مبلغ كبير أرسل تحويلًا تجريبيًا صغيرًا واطلب التأكيد. مرة في الشهر افتح revoke.cash أو أداة مشابهة وألغِ الأذونات الغريبة. وللمشاريع الجديدة والتوزيعات وعملات الميم استخدم محفظة منفصلة بمبلغ صغير، ولا تربط محفظتك الرئيسية إلا بأماكن موثوقة.
اختبر نفسك
- في سجل دان عنوان يشبه عنوان صديقه: البداية والنهاية متطابقتان. من أين يأخذ العنوان؟
الإجابة الصحيحة: من جهات الاتصال المحفوظة أو من الصديق، مع تحويل تجريبي أولًا. العنوان المشابه في السجل فخ تسميم. يجب أن يكون مصدر العنوان أنت. - موقع توزيع يطلب «مجرد توقيع رسالة» بلا رسوم. ما الخطر؟
الإجابة الصحيحة: قد يمنح التوقيع حق سحب رموزك. توقيعات permit ونقل الإدارة بلا رسوم وتأخذ كل شيء. - عند التوقيع تعرض المحفظة رموزًا غير مفهومة بدل «أرسل X». ماذا تفعل؟
الإجابة الصحيحة: ارفضه: إنه توقيع أعمى. إن لم تفهم ما توقّعه فلا توقّع. هكذا خسرت حتى Bybit مليارًا ونصفًا.