يعتمد أمان محفظة الكريبتو على حماية ثلاثة أشياء مترابطة: المفاتيح التي تسمح بتحريك الأصول، والجهاز أو الحساب المستخدم للوصول إلى المحفظة، والقرارات التي توافق عليها عند تنفيذ المعاملات.
لا تكفي كلمة مرور قوية إذا كانت عبارة الاسترداد محفوظة في البريد الإلكتروني، كما أن المحفظة المادية لا تمنع الخسارة إذا وافقت من خلالها على معاملة ضارة. الحماية الفعلية هي نظام يحد من احتمال الخطأ ويقلل حجم الضرر إذا حدث.
يركز هذا المقال على التهديدات وخطة الحماية والاستجابة للحوادث. أما إذا كنت تبدأ من الصفر وتحتاج إلى شرح إنشاء المحفظة والإرسال والاستقبال، فستجد الخطوات الأساسية ضمن دليل استخدام محفظة العملات الرقمية بأمان.
العملات نفسها لا توجد داخل الهاتف أو تطبيق المحفظة؛ فهي مسجلة على شبكة البلوك تشين. ما تحتفظ به المحفظة هو وسيلة التحكم في العناوين المرتبطة بهذه الأصول.
تتضمن العناصر التي تحتاج إلى الحماية:
من يحصل على عبارة الاسترداد لا يحتاج عادةً إلى هاتفك أو كلمة مرور التطبيق. يمكنه إنشاء نسخة من المحفظة على جهاز آخر وتحريك الأصول منها.
يختلف نوع المسؤولية الأمنية بحسب الجهة التي تحتفظ بالمفاتيح.
في المحفظة الوصائية، تحتفظ منصة أو خدمة بالمفاتيح نيابة عن المستخدم. يتم الدخول عادةً باستخدام بريد إلكتروني وكلمة مرور، وقد تتوفر وسيلة تحقق إضافية.
يمكن للخدمة في بعض الحالات مساعدة المستخدم على استعادة الحساب، لكنها تظل الطرف المسيطر فعليًا على المفاتيح. ويعتمد الوصول إلى الرصيد على أنظمة المنصة وشروطها وقدرتها على معالجة السحب.
في المحفظة غير الوصائية، يحتفظ المستخدم بالمفاتيح وعبارة الاسترداد. تمنح هذه البنية سيطرة مباشرة، لكنها تنقل مسؤولية الحماية والاستعادة بالكامل إلى صاحب المحفظة.
إذا فُقدت عبارة الاسترداد ولم توجد نسخة احتياطية صالحة، فقد لا تكون هناك جهة قادرة على إعادة الوصول إلى الرصيد. وإذا حصل شخص آخر عليها، فإن تغيير كلمة مرور التطبيق وحده لن يمنعه من استخدام المفاتيح.
المحفظة الساخنة هي تطبيق متصل بالإنترنت على هاتف أو حاسوب. تكون مناسبة للمعاملات المتكررة، لكنها تعمل على جهاز قد يتعرض للتصيد أو البرامج الضارة أو سرقة جلسات المتصفح.
أما المحفظة المادية، فتحتفظ بالمفاتيح داخل جهاز مخصص وتوقّع المعاملة من دون إخراج المفتاح الخاص منه. ومع ذلك، لا تعني هذه الحماية أن كل معاملة يتم توقيعها سليمة؛ فقد يوافق المستخدم بنفسه على عنوان خاطئ أو عقد ضار.
لذلك يجب النظر إلى المحفظة المادية كطبقة لحماية المفتاح، لا كبديل عن مراجعة تفاصيل المعاملة.
وضع جميع الأصول في محفظة واحدة يجعل أي خطأ أو اختراق أكثر كلفة. يمكن تقليل هذا الخطر من خلال فصل المحافظ بحسب وظيفتها.
تُستخدم للأصول التي لا تحتاج إلى تحريكها بصورة متكررة. ينبغي ألا تتصل بالمواقع والتطبيقات اليومية إلا عند الضرورة.
تحتفظ بمبلغ محدود يكفي للتحويلات القريبة. يمكن استخدامها للإيداع أو السحب أو التعامل مع خدمات موثوقة من دون تعريض الرصيد الرئيسي لكل اتصال.
يمكن تخصيص محفظة منفصلة للمواقع أو التطبيقات الجديدة. إذا اتضح أن أحد العقود أو الروابط ضار، يبقى الضرر المحتمل محصورًا في الرصيد المحدود داخلها.
هذا الفصل لا يمنع جميع المخاطر، لكنه يقلل مقدار الأموال المعرضة لحادث واحد.
عبارة الاسترداد هي أخطر نقطة منفردة في المحفظة غير الوصائية. يجب حفظها بطريقة تحميها من السرقة الرقمية والضياع المادي في الوقت نفسه.
اتبع القواعد التالية:
ينبغي أن تحمي النسخة الاحتياطية من الحريق والماء والتلف، لا من الاختراق الإلكتروني فقط. وقد تكون النسخ المعدنية خيارًا لبعض المستخدمين، لكنها لا تحمي من السرقة إذا عثر عليها شخص آخر.
تدعم بعض المحافظ عبارة مرور إضافية تُستخدم مع عبارة الاسترداد لإنشاء محفظة مختلفة. يمكن أن تضيف طبقة حماية، لكنها تضيف أيضًا احتمالًا جديدًا لفقدان الوصول.
إذا نسيت عبارة المرور أو دوّنتها بصورة غير صحيحة، فلن تكفي عبارة الاسترداد وحدها للوصول إلى المحفظة المقصودة. لذلك لا تستخدم هذه الميزة قبل فهم طريقة عملها ووضع خطة منفصلة لحفظها واستعادتها.
تبدأ حماية المحفظة من الجهاز الذي تعمل عليه. استخدم رمز قفل قويًا وفعّل تشفير الجهاز إذا كان النظام يدعمه، وحدّث نظام التشغيل وتطبيق المحفظة بانتظام.
نزّل التطبيق من الموقع الرسمي أو متجر التطبيقات المعتمد، وتحقق من اسم الناشر. لا تثبّت ملفًا وصل عبر إعلان أو رسالة خاصة، حتى إذا استخدم شعار المحفظة الأصلي.
وبالنسبة إلى المحافظ أو المنصات المرتبطة بحساب، استخدم:
رسائل SMS أفضل من الاعتماد على كلمة المرور وحدها عندما لا يتوفر بديل، لكنها قد تتأثر بمخاطر مرتبطة برقم الهاتف. استخدم تطبيق مصادقة أو مفتاح أمان عندما تدعمه الخدمة.
معاملات البلوك تشين لا تتضمن عادةً زرًا عامًا لإلغاء التحويل بعد تأكيده. لذلك يجب التحقق من التفاصيل قبل التوقيع، لا بعد الإرسال.
راجع دائمًا:
قد تستبدل بعض البرامج الضارة عنوان المحفظة الموجود في الحافظة بعنوان آخر. لذلك لا تعتمد على النسخ واللصق وحدهما، بل قارن أجزاء العنوان بعد لصقه.
وعند استخدام عنوان جديد أو إرسال مبلغ مهم، يمكن أن يقلل التحويل الاختباري الصغير من أثر بعض الأخطاء. انتظر وصوله وتأكد من الشبكة قبل إرسال بقية الرصيد.
قد تعمل العملة المستقرة نفسها على عدة شبكات، بينما تستخدم بيتكوين شبكتها الأصلية. إرسال الأصل الصحيح عبر شبكة غير مدعومة قد يؤدي إلى عدم إضافة الرصيد، حتى عندما يبدو عنوان الاستلام مألوفًا.
كما يختلف تعرض القيمة لتقلب السوق بحسب الأصل المختار. ويوضح مقال المقارنة بين العملة المستقرة وبيتكوين الفروق المتعلقة بالتقلب، والحفظ، والمدفوعات ومخاطر الشبكات.
لا تختر الشبكة بناءً على الرسوم وحدها. يجب أن تدعمها محفظة الإرسال والجهة المستقبلة معًا.
لا تؤدي كل موافقة داخل المحفظة إلى تحويل فوري ظاهر. قد تكون العملية:
اقرأ طلب التوقيع قبل الموافقة. إذا كان النص غير واضح، أو كانت الصلاحية أوسع مما تتوقع، أو طلب الموقع توقيعًا لا يتناسب مع الإجراء الظاهر، فألغ العملية.
الموافقة من خلال محفظة مادية لا تجعل الطلب آمنًا تلقائيًا. الجهاز يؤكد أن صاحب المفتاح وافق؛ لكنه لا يستطيع دائمًا تحديد ما إذا كانت نية الموقع مشروعة.
قد تمنح التطبيقات اللامركزية عقدًا ذكيًا صلاحية استخدام رموز من محفظتك. ويمكن أن تبقى بعض هذه الصلاحيات فعالة بعد انتهاء استخدام الموقع.
راجع الصلاحيات دوريًا، خاصةً إذا:
إلغاء الصلاحية يتطلب معاملة على الشبكة ورسومًا في العادة. استخدم أداة موثوقة أو مستكشف الشبكة الرسمي، وتأكد من الموقع قبل ربط المحفظة.
يحدث التوقيع الأعمى عندما تعرض المحفظة طلبًا لا يستطيع المستخدم فهم تفاصيله بصورة واضحة. قد يظهر رمز أو بيانات تقنية بدل شرح دقيق لما ستفعله المعاملة.
إذا لم تتمكن من تحديد الأصل، والمبلغ، والجهة المستفيدة، ونوع الصلاحية، فلا توافق. ابحث عن طريقة تعرض التفاصيل بوضوح أو استخدم محفظة أخرى مخصصة للتجربة وبداخلها رصيد محدود.
استعجال المستخدم للموافقة من أبرز الأساليب المستخدمة في الهجمات. لا توجد مكافأة أو عملية دعم تستحق توقيع طلب غير مفهوم.
قد ينتحل المحتال اسم فريق الدعم ويطلب عبارة الاسترداد أو المفتاح الخاص بحجة استعادة الحساب. فريق الدعم الشرعي لا يحتاج إلى هذه البيانات للتحقق من مشكلة عامة.
تقلد هذه المواقع شكل المحفظة أو المنصة، وقد تستخدم عنوانًا قريبًا من العنوان الحقيقي. تحقق من النطاق بنفسك ولا تعتمد على رابط إعلان أو رسالة.
قد تعد رسالة بعملة مجانية أو استرداد رصيد مفقود مقابل ربط المحفظة وتوقيع معاملة. افحص الطلب بدل التركيز على اسم المكافأة.
لا تسمح لشخص مجهول بالوصول إلى جهازك أو مشاهدة شاشتك أثناء فتح المحفظة. يمكن استغلال الجلسة لنسخ البيانات أو تغيير عنوان المعاملة.
بعد حدوث السرقة، قد يتواصل محتال آخر مدعيًا قدرته على استرجاع العملات مقابل رسوم مسبقة أو عبارة الاسترداد. لا تضف خسارة جديدة إلى الحادث الأصلي.
قبل تحويل العملات إلى أي منصة، تأكد من العملة والشبكة والعنوان والحد الأدنى للإيداع كما تظهر في حسابك لحظة التحويل. يمكنك مراجعة خيارات العملات والألعاب المتاحة حاليًا على Spino، لكن بيانات الإيداع داخل الحساب هي المرجع المباشر للمعاملة نفسها.
لا تحتفظ داخل حساب اللعب برصيد أكبر من حاجتك التشغيلية. كما يجب الفصل بين أمان المحفظة وسياسة الحساب؛ فقد تطلب المنصة مراجعة أو معلومات إضافية وفق شروطها، حتى إذا كان الإيداع قد تم بعملة مشفرة.
ولا تعني المعاملة المسجلة على البلوك تشين أن الرصيد سيظهر فورًا داخل الحساب. قد تعتمد الإضافة على تأكيدات الشبكة ووقت المعالجة الداخلي.
قد تكون محفظتك محمية جيدًا بينما تظل معاملاتها قابلة للمشاهدة على شبكة عامة. وقد تستخدم منصة تسجيلًا مبسطًا، لكنها تظل قادرة على تسجيل عنوان المحفظة وبيانات الجهاز وسجل المعاملات.
لهذا تختلف حماية المفاتيح عن إخفاء الهوية. كما يختلف التسجيل بلا تحقق مسبق من الهوية عن الوعد بعدم طلب أي معلومات لاحقًا.
لا تفترض أن الدفع بالكريبتو يجعل النشاط مجهولًا، ولا تنشر عنوان محفظتك الرئيسي أو قيمة أرصدتك علنًا.
النسخة الاحتياطية غير المختبرة قد تحتوي على كلمة خاطئة أو ترتيب غير صحيح. يمكن اختبار خطة الاستعادة بحذر باستخدام جهاز موثوق وتطبيق رسمي، ومن الأفضل إجراء ذلك قبل وضع رصيد مهم في المحفظة.
لا تدخل عبارة الاسترداد في موقع إلكتروني لإجراء الاختبار. استخدم عملية الاستعادة الرسمية للمحفظة وتأكد من ظهور العناوين المتوقعة.
وإذا كان الرصيد مهمًا لعائلتك أو شركتك، ففكر في تعليمات واضحة تسمح لشخص موثوق بالوصول إليه عند الضرورة. يجب ألا تكشف هذه الخطة العبارة كاملةً لأي شخص لا يحتاج إليها الآن.
تعتمد الخطوة الأولى على نوع الحادث.
أنشئ محفظة جديدة بعبارة استرداد جديدة على جهاز موثوق، ثم انقل الأصول إليها. تغيير كلمة مرور التطبيق القديم لا يلغي قدرة المهاجم على استخدام المفاتيح المكشوفة.
لا تستخدم العبارة القديمة للمحفظة الجديدة، ولا تحفظ النسخة الجديدة بالطريقة التي أدت إلى التسريب.
افصل المحفظة عن الموقع، وراجع صلاحيات الرموز، وألغِ الموافقات غير الضرورية. قد يكون نقل الأصول إلى محفظة جديدة مناسبًا إذا لم تتمكن من تحديد نطاق الخطر.
استخدم جهازًا موثوقًا لتغيير كلمات المرور وتأمين البريد والحسابات المرتبطة. افحص جلسات تسجيل الدخول، وألغِ الجلسات غير المعروفة، ولا تفتح المحفظة الرئيسية على الجهاز المصاب قبل تنظيفه أو إعادة تهيئته.
سجل معرّف المعاملة والعنوان والشبكة، ثم تواصل مع الجهة المستقبلة عبر قناتها الرسمية إذا كانت معروفة. لا توجد ضمانات لاستعادة معاملة مؤكدة، واحذر ممن يَعِد باسترجاعها مقابل دفعة مسبقة.
قبل الاحتفاظ برصيد مهم أو إجراء معاملة:
لا. تساعد في إبقاء المفتاح الخاص خارج الحاسوب أو الهاتف، لكنها لا تمنع المستخدم من الموافقة على عنوان خاطئ أو عقد ضار أو طلب توقيع مضلل.
يمكن استخدام العنوان العام لاستقبال الأموال، لكن مشاركته قد تكشف سجل المعاملات المرتبط به على الشبكات العامة. لا تشارك المفتاح الخاص أو عبارة الاسترداد أبدًا.
لا. إذا انكشفت عبارة الاسترداد، يستطيع شخص آخر إنشاء المحفظة على جهاز مختلف. الحل هو إنشاء محفظة جديدة ونقل الأصول إليها.
تفيد المصادقة الثنائية في حماية الحسابات الوصائية والبريد الإلكتروني، لكنها لا تحمي محفظة غير وصائية إذا حصل المهاجم على عبارة الاسترداد.
يقلل احتمال استخدام عنوان أو شبكة خاطئة، لكنه لا يقدم ضمانًا مطلقًا. راجع التفاصيل مرة أخرى قبل إرسال المبلغ المتبقي.
ليس من الضروري. فصل رصيد الاحتفاظ عن رصيد المعاملات يمكن أن يحد من الخسارة إذا تعرضت إحدى المحافظ لتوقيع ضار أو اختراق.
لا تعتمد حماية محفظة الكريبتو على أداة واحدة. افصل الأرصدة، واحفظ عبارة الاسترداد خارج الإنترنت، وراجع كل عنوان وشبكة وتوقيع، وضع خطة واضحة للاستعادة والاستجابة للحوادث.
والأهم: لا تتخذ أي إجراء تحت الضغط. إذا لم تفهم ما تطلبه المحفظة، ألغِ العملية وافحصها قبل الموافقة.
