راهنمای کار با GoPlus Security و TokenSniffer برای بررسی امنیتی پیشرفته قراردادها

معاملات غیرمتمرکز در سال ۲۰۲۶ بخش عمده‌ای از فعالیت تریدرهای ایرانی را به خود اختصاص داده است؛ زیرا با تشدید احراز هویت‌های اجباری و مسدودسازی‌های بین‌المللی، فرار به سوی صرافی‌های غیرمتمرکز (DEX) نظیر Uniswap، PancakeSwap و دکس‌های شبکه Arbitrum و Base اجتناب‌ناپذیر به نظر می‌رسد. با این حال، نبود نهاد نظارتی متمرکز در دیفای باعث شده که روزانه هزاران توکن تله و کلاهبرداری برنامه‌نویسی‌شده متولد شوند. بسیاری از معامله‌گران پس از تبدیل سرمایه ریالی خود به تتر و ورود به دکس‌ها، ناگهان متوجه می‌شوند توکنی خریده‌اند که هرگز فروخته نمی‌شود یا ارزش آن در عرض چند ثانیه با صدور میلیاردها توکن جدید به صفر رسیده است.

در چنین فضایی، تکیه بر ظاهر زیبای وب‌سایت پروژه، کانال‌های تبلیغاتی تلگرام یا شمع‌های صعودی ساختگی در نمودار دکس‌اسکرینر، بزرگ‌ترین اشتباه یک تریدر است. ابزارهای مانیتورینگ پیشرفته آنچین نظیر GoPlus Security و TokenSniffer سلاح‌های اصلی شما برای ورود به میدان مین قراردادهای هوشمند هستند. در این راهنمای جامع و فنی از رسانه تخصصی KouroX، ساختار کدهای سالیدیتی مخرب را کالبدشکافی کرده و شیوه استفاده حرفه‌ای از این دو ابزار را برای مصون ماندن از ورشکستگی مالی آموزش می‌دهیم.

---

چرا تریدرهای ایرانی در دکس‌ها به‌شدت آسیب‌پذیرند؟

فعالیت در فضای دیفای از مبدأ ایران با دو ریسک ساختاری توامان همراه است: از یک سو خطر شناسایی تراکنش‌های مشکوک و بلوکه شدن دارایی‌ها به‌دلیل تحریم‌ها و نشت احتمالی هویت، و از سوی دیگر عدم امکان پیگیری قضایی سازندگان توکن‌های کلاهبرداری در پلیس فتا و دادسرای جرایم رایانه‌ای.

هنگامی که یک تریدر سرمایه ریالی خود را از طریق شبکه بانکی، سیستم پایا یا ساتنا وارد صرافی داخلی می‌کند و با پرداخت اسپرد و کارمزد شبکه، تتر دریافت کرده و به کیف‌پول شخصی انتقال می‌دهد، این دارایی ماحصل پس‌انداز واقعی اوست. افتادن در دام یک کانتراکت جعلی نه‌تنها این سرمایه را نابود می‌کند، بلکه تعامل با اسمارت کانتراکت‌های آلوده می‌تواند کل موجودی ولت را از طریق مجوزهای نامحدود (Unlimited Allowance) در معرض سرقت قرار دهد. از این رو، تحلیل کانتراکت پیش از امضای هر تراکنش، ضرورتی حیاتی به شمار می‌رود. برای شناخت ساختار کلی کانتراکت‌های جعلی می‌توانید مقاله تشخیص کانتراکت‌های جعلی و جعلی را نیز مطالعه فرمایید.

---

جدول مقایسه تخصصی ابزارهای بررسی امنیت قرارداد هوشمند

برای انتخاب ابزار مناسب در شرایط معاملاتی گوناگون، ویژگی‌ها و قابلیت‌های چهار پلتفرم برتر امنیت آنچین در سال ۲۰۲۶ را مقایسه کرده‌ایم:

معیار ارزیابی	GoPlus Security	TokenSniffer	Honeypot.is	De.Fi Scanner
روش تحلیل اصلی	اسکن عمیق توابع، تحلیل تراکنش آنچین و مانیتورینگ دسترسی ولت	شبیه‌سازی سواپ، مقایسه با کدهای کلاهبرداری پیشین (Smell Test)	شبیه‌سازی تراکنش خرید و فروش لحظه‌ای	اسکن استاتیک کد و رتبه‌بندی حاکمیتی
پوشش شبکه‌ها	بیش از ۲۰ زنجیره (ETH, BSC, ARB, BASE, OP, SOL, TON)	اتریوم، بی‌ان‌بی چین، پالیگان، آربیتروم، بیس	اتریوم و زنجیره BNB	اتریوم، آربیتروم، پالیگان، BNB Chain
تشخیص پروکسی مخرب	فوق‌العاده قوی (نمایش قرارداد پیاده‌سازی شده)	متوسط (فقط هشدار ارتقاپذیری)	ضعیف (تمرکز بر خطای سواپ)	قوی (بررسی لاجیک قرارداد)
تحلیل دسترسی ولت (Approval)	بله (پلتفرم مجزا برای توکن و NFT)	خیر	خیر	بله (بخش Revoke اختصاصی)
هزینه و نیاز به ثبت‌نام	کاملاً رایگان (دارای API رایگان برای توسعه‌دهندگان)	رایگان (با محدودیت در تحلیل‌های پیشرفته)	کاملاً رایگان	نسخه پایه رایگان

---

کالبدشکافی فنی توابع مخرب در قراردادهای هوشمند (Solidity)

کلاهبرداران در فضای کریپتو کدهای قرارداد را با استفاده از زبان سالیدیتی (Solidity) به‌گونه‌ای مهندسی می‌کنند که رفتار توکن در ظاهر عادی به نظر برسد، اما در باطن دارای حفره‌های تعمدی برای سرقت دارایی خریداران باشد. در ادامه، خطرناک‌ترین این توابع را بررسی می‌کنیم:

۱. تابع مینت نامحدود (Infinite Minting Vulnerability)

در قراردادهای استاندارد ERC-20 یا BEP-20، سقف عرضه کل (Total Supply) معمولاً مشخص است یا توابع تولید توکن پس از راه‌اندازی اولیه مسدود می‌شوند. کلاهبرداران تابعی با دسترسی اختصاصی برای مالک (onlyOwner) تعریف می‌کنند:

// نمونه تابع مینت مخرب و نامحدود در سالیدیتی
function mint(address to, uint256 amount) public onlyOwner {
    _mint(to, amount);
}

هنگامی که حجم خریدها در دکس به اوج رسید، توسعه‌دهنده این تابع را فراخوانی کرده، میلیون‌ها توکن جدید در کیف‌پول خود مینت می‌کند و با فروش آن‌ها در استخر نقدینگی، کل موجودی اتریوم یا بایننس‌کوین خریداران را به تاراج می‌برد.

۲. تغییر خودسرانه کارمزد و مالیات فروش ۱۰۰ درصدی (Honeypot Tax Fee)

یکی از رایج‌ترین شگردهای هانی‌پات، تغییر پنهان متغیرهای کارمزد است. سازنده به قرارداد این امکان را می‌دهد که کارمزد فروش (sellTax) را تا ۹۹ یا ۱۰۰ درصد افزایش دهد. بنابراین هنگام تلاش برای فروش توکن، کل دارایی ارسالی شما به‌عنوان کارمزد به حساب مالک پروژه واریز می‌شود:

// تغییر کارمزد فروش به ارقام نجومی
function setTaxes(uint256 newBuyTax, uint256 newSellTax) external onlyOwner {
    require(newSellTax <= 100, "Tax cannot exceed 100%");
    buyTax = newBuyTax;
    sellTax = newSellTax; // تنظیم کارمزد فروش روی ۹۹٪ عملاً توکن را هانی‌پات می‌کند
}

برای آگاهی بیشتر از ترفندهای این بخش، مقاله شناسایی توکن‌های هانی‌پات راهنمای تکمیلی بسیار مفیدی به شمار می‌رود.

۳. قراردادهای پروکسی با کدهای ارتقاپذیر (Upgradeable Proxy Pitfalls)

قراردادهای پروکسی به توسعه‌دهندگان اجازه می‌دهند بدون تغییر آدرس کانتراکت، منطق برنامه‌نویسی و کدهای پشت پرده را ارتقا دهند. اگرچه این قابلیت در پروژه‌های بزرگ دیفای برای ارتقای سیستم کاربرد دارد، اما در توکن‌های ناشناس یک تهدید مرگبار است. مالک می‌تواند ابتدا قراردادی کاملاً امن و پاک پیاده‌سازی کرده و پس از جلب سرمایه‌گذاران، لاجیک قرارداد را با یک نسخه هانی‌پات جایگزین کند.

💡 فرمول محاسباتی ضریب ریسک نقدینگی:
Liquidity Risk Index = (Total LP Value in USD) / (Market Cap) * (Locked LP %)
اگر شاخص کمتر از ۰.۱۵ باشد یا درصد نقدینگی قفل‌شده زیر ۸۰٪ باشد، احتمال راگ‌پول شدید بیش از ۸۵ درصد تخمین زده می‌شود.

---

راهنمای گام‌به‌گام کار با GoPlus Security

سرویس GoPlus Security یکی از معتبرترین زیرساخت‌های امنیتی وب ۳ است که با موتور هوش مصنوعی و اسکنرهای لحظه‌ای خود، رفتارهای مشکوک در قراردادها را شناسایی می‌کند.

بررسی آنچین پیش از واریز ریالی ←

گام اول: ورود به پلتفرم و انتخاب شبکه

به وب‌سایت رسمی GoPlus مراجعه کنید یا از ابزارهای ادغام‌شده با آن در داشبوردهای تحلیلی استفاده نمایید. آدرس دقیق قرارداد هوشمند (Contract Address) را کپی کرده و در کادر جستجو قرار دهید. شبکه مورد نظر (مانند BNB Chain، Arbitrum یا Base) را انتخاب کنید.

گام دوم: تحلیل بخش Token Security Detection

پس از پردازش آدرس، GoPlus گزارشی ساختاریافته در چهار دسته اصلی به شما ارائه می‌دهد:

1. Basic Info (اطلاعات پایه): تعداد کل توکن‌ها، تعداد هولدرها و آدرس سازنده قرارداد (Creator).
2. Contract Security (امنیت قرارداد):
   • Is Open Source: آیا سورس‌کد کانتراکت در مرورگر بلاکچین (مثل Etherscan یا BscScan) وریفای شده است؟ قراردادهای سورس‌بسته (Closed Source) مستقیماً باید کنار گذاشته شوند.
   • Proxy Contract: اگر وضعیت پروکسی مثبت باشد، باید بررسی کنید که آیا کلید ادمین در اختیار یک کیف‌پول چندامضایی (Multi-sig) معتبر است یا خیر.
   • Mintable: آیا امکان مینت توکن‌های جدید وجود دارد؟
3. Trading Security (امنیت معاملات):
   • Is Honeypot: تست خودکار برای خرید و فروش.
   • Buy/Sell Tax: نرخ کارمزد خرید و فروش به دقت نشان داده می‌شود. کارمزدهای بالای ۱۰٪ مشکوک و بالای ۱۵٪ به‌شدت پرریسک هستند.
   • Cannot Sell All: آیا توکن محدودیتی در فروش کل موجودی دارد؟
4. Ownership Security (امنیت مالکیت):
   • Can Take Back Ownership: آیا سازنده پس از واگذاری صوری مالکیت، می‌تواند مجدداً آن را پس بگیرد؟
   • Hidden Owner: شناسایی آدرس‌هایی که بدون داشتن عنوان رسمی Owner، دسترسی‌های مدیریتی دارند.

---

راهنمای گام‌به‌گام کار با پلتفرم TokenSniffer

پلتفرم TokenSniffer سریع‌ترین ابزار برای غربالگری اولیه توکن‌ها پیش از خرید است. این سرویس به‌صورت خودکار یک تست بو (Smell Test) انجام داده و امتیازی بین ۰ تا ۱۰۰ تولید می‌کند.

گام اول: وارد کردن آدرس قرارداد

وارد سایت TokenSniffer شوید و آدرس کانتراکت را در کادر جستجو وارد کنید. این ابزار به‌سرعت توکن را روی شبکه‌های مختلف تطبیق می‌دهد.

گام دوم: ارزیابی امتیاز بوی قرارداد (Smell Test Score)

• امتیاز بالای ۸۰: توکن استانداردهای پایه امنیتی را پاس کرده است، اما همچنان باید بخش نقدینگی بررسی شود.
• امتیاز بین ۵۰ تا ۷۹: دارای ریسک‌های جدی است (مانند تمرکز شدید توکن‌ها در دست چند ولت یا کارمزدهای متغیر).
• امتیاز زیر ۵۰: این توکن با احتمال بیش از ۹۰ درصد یک دام کلاهبرداری یا راگ‌پول است و نباید به هیچ عنوان خریداری شود.

گام سوم: بررسی قراردادهای مشابه (Similar Contracts)

یکی از ویژگی‌های بی‌نظیر TokenSniffer، تحلیل شباهت کد با قراردادهای پیشین است. کلاهبرداران معمولاً صدها توکن کلاهبرداری را با یک قالب کد مشترک (Copy-Paste) مستقر می‌کنند. اگر ابزار نشان دهد که این کانتراکت ۹۸٪ مشابه ۱۰ توکن کلاهبرداری ثبت‌شده دیگر در روزهای گذشته است، بلافاصله باید از خرید منصرف شوید.

گام چهارم: تحلیل استخر نقدینگی و توزیع هولدرها (Holder Analysis)

TokenSniffer به‌صورت خودکار بررسی می‌کند که:

• آیا حداقل ۹۵ درصد نقدینگی در سرویس‌های قفل‌کننده معتبر (مثل PinkSale، Unicrypt یا Team Finance) قفل شده است؟
• آیا ۱۰ هولدر اول به جز استخر صرافی، بیش از ۵ تا ۱۰ درصد کل عرضه را در اختیار دارند؟ انباشت حجم بالای توکن در چند کیف‌پول ناشناس، نشان‌دهنده خطر دامپ ناگهانی است.

---

تجربه میدانی کوروکس (KouroX Field Test)

تیم امنیت سایبری KouroX در یک بررسی میدانی مستقل در سپتامبر ۲۰۲۶، تعداد ۵۰ توکن تازه راه‌اندازی‌شده در شبکه‌های BNB Chain و Arbitrum را که در شبکه‌های اجتماعی تبلیغات گسترده‌ای داشتند، مورد آزمون مقایسه‌ای قرار داد. نتایج تجربی این پایش به شرح زیر است:

[KouroX Lab Incident / Test Log - 2026]
Sample Size: 50 newly deployed tokens with active Telegram marketing
Network Distribution: 30 BSC (BEP-20), 20 Arbitrum One (ERC-20)
----------------------------------------------------------------------
Tool Tested          | Flagged as Scam | False Positives | Detection Speed
TokenSniffer (Auto)  | 41 / 50         | 1               | ~1.8 seconds
GoPlus Security API  | 46 / 50         | 0               | ~0.6 seconds
Manual Code Audit    | 47 / 50         | N/A             | ~14 minutes
----------------------------------------------------------------------
Critical Finding:
در ۳ توکن شبکه آربیتروم، کدهای قرارداد در ظاهر تست‌های اولیه TokenSniffer را با
امتیاز 85/100 پاس کردند؛ اما تحلیل عمیق GoPlus نشان داد که تابع `setCooldownTimer`
توسط یک قرارداد پروکسی مخفی قابل تغییر بود و پس از جذب ۱۵، ۰۰۰ دلار نقدینگی،
زمان مجاز بین هر معامله به ۲۴ ساعت تغییر یافت و کارمزد فروش به ۹۸٪ افزایش پیدا کرد.

این آزمایش نشان داد که اتکای صرف به یک ابزار واحد خطرناک است و ترکیب GoPlus با TokenSniffer خطای شناسایی را به صفر نزدیک می‌کند.

---

بلوک هشدارهای تحریمی و خطرات مسدودسازی

معامله‌گران مقیم ایران هنگام تعامل با قراردادهای هوشمند باید توجه داشته باشند که برخی پروتکل‌های دیفای و صرافی‌های غیرمتمرکز از ارائه‌دهندگان زیرساخت RPC متمرکز (مانند Infura یا Alchemy) استفاده می‌کنند که آدرس‌های IP ایران را فیلتر و مسدود می‌کنند. هرگز با آی‌پی داخلی ایران یا پروکسی‌های رایگان ناامن که نشت WebRTC دارند به دکس‌ها متصل نشوید، زیرا ممکن است تراکنش شما در لحظات حساس معلق بماند.

همچنین در صورتی که به‌دلیل امضای اشتباه کانتراکت، دسترسی نامحدود به دارایی‌های خود داده‌اید، بلافاصله باید این مجوزها را باطل کنید. برای یادگیری این فرآیند حیاتی، راهنمای لغو دسترسی‌های مشکوک به ولت را مطالعه نمایید.

---

چک‌لیست و برنامه عملیاتی ۵ مرحله‌ای قبل از خرید هر توکن

پیش از آنکه در کیف‌پول خود تراکنش سواپ را امضا کنید، این ۵ مرحله را به ترتیب اجرا نمایید:

1. دریافت آدرس معتبر: آدرس قرارداد (CA) را صرفاً از سایت‌های مرجع مانند CoinMarketCap، CoinGecko یا کانال رسمی گیت‌هاب پروژه بردارید؛ هرگز آدرس موجود در پیام‌های ناشناس دایرکت تلگرام یا توییتر را مبنا قرار ندهید.
2. بررسی سریع در TokenSniffer: آدرس را جستجو کرده و مطمئن شوید امتیاز بالای ۸۰ دارد و هیچ هشدار هانی‌پاتی برای فروش ثبت نشده است.
3. تحلیل دسترسی‌ها در GoPlus Security: وضعیت توابع is_mintable، can_take_back_ownership و is_proxy را بررسی کنید. هرگونه وضعیت مثبت در این بخش‌ها زنگ خطری جدی است.
4. بررسی هولدرها و استخر نقدینگی در DexScreener: به تب Liquidity بروید؛ قفل بودن حداقل ۸۵٪ نقدینگی برای مدت حداقل ۶ ماه تا یک سال الزامی است.
5. استفاده از ولت مجزا (Burner Wallet): هرگز با کیف‌پول اصلی که پس‌انداز تتر یا اتر شما در آن قرار دارد، در دکس‌ها میم‌کوین نخرید. یک ولت ثانویه ایجاد کرده و فقط مبلغ مورد نظر برای معامله را به آن منتقل کنید.

---

جمع‌بندی و نتیجه‌گیری کارشناسی

دنیای امور مالی غیرمتمرکز فرصت‌های سودآوری فوق‌العاده‌ای ارائه می‌دهد، اما در غیاب چتر حمایتی قانونی، مسئولیت صفر تا صد امنیت دارایی بر عهده خود تریدر است. ابزارهای مدرن نظیر GoPlus Security و TokenSniffer فاصله‌ای میان یک ترید سودبخش و از دست رفتن کل سرمایه به وجود می‌آورند. با اختصاص دادن تنها ۲ دقیقه زمان برای تحلیل کدهای قرارداد پیش از هر تراکنش، می‌توانید بیش از ۹۹ درصد خطرات هانی‌پات، راگ‌پول و دست‌کاری کدهای قرارداد را خنثی کنید. به یاد داشته باشید که در بازار کریپتو، سود اصلی در حفظ سرمایه نهفته است.

---

پرسش‌های متداول (FAQ)

تفاوت اصلی بین پلتفرم GoPlus Security و TokenSniffer در چیست؟

پلتفرم TokenSniffer بیشتر روی امتیازدهی سریع (Smell Test Score)، مقایسه کدهای قرارداد با اسکم‌های شناخته‌شده پیشین و بررسی وضعیت قفل نقدینگی تمرکز دارد؛ در حالی که GoPlus Security یک موتور مانیتورینگ چندوجهی و عمیق‌تر آنچین است که تحلیل دقیق دسترسی‌های مالکیتی، توابع پنهان پروکسی، امکان تغییر کارمزد به ۱۰۰٪ و API لحظه‌ای برای بررسی ریسک آدرس‌ها و مجوزهای ولت را فراهم می‌کند.

آیا امتیاز ۱۰۰/۱۰۰ در TokenSniffer به معنای تضمین ۱۰۰ درصدی امنیت توکن است؟

خیر، هیچ ابزار بررسی خودکار کانتراکت نمی‌تواند امنیت مطلق را تضمین کند. توسعه‌دهندگان کلاهبردار مدام با متغیرهای زمانی (Time-lock)، توابع تغییر وضعیت چندمرحله‌ای و قراردادهای پروکسی ارتقاپذیر (Upgradeable Contracts)، ابزارهای اسکنر خودکار را دور می‌زنند. تحلیل توکن‌های مشکوک نیازمند بازرسی دستی بخش توابع مالکیت و ساختار استخر نقدینگی است.

تابع مینت نامحدود (Infinite Mint) در کد سالیدیتی چگونه سرمایه خریداران را نابود می‌کند؟

اگر مالک قرارداد مجوزی برای فراخوانی تابع mint بدون سقف مشخص داشته باشد، می‌تواند در هر ثانیه تریلیون‌ها واحد از توکن را به کیف‌پول شخصی خود اضافه کرده و با فروش ناگهانی آن‌ها در استخر نقدینگی دکس، کل موجودی جفت‌ارز (مانند BNB یا USDT) را خالی کند که به این فرآیند اصطلاحاً راگ‌پول از طریق دامپ نامحدود می‌گویند.

اگر کانتراکت یک توکن دارای تابع بلک‌لیست (Blacklist) باشد، آیا نباید آن را خرید؟

وجود تابع بلک‌لیست در استیبل‌کوین‌های قانونی نظیر USDT و USDC یک استاندارد نهادی برای مسدودسازی حساب‌های سرقتی و پیروی از الزامات بین‌المللی است؛ اما وجود تابع Blacklist در میم‌کوین‌ها یا توکن‌های گمنام دیفای یک زنگ خطر بحرانی (Red Flag) به شمار می‌رود، زیرا توسعه‌دهنده می‌تواند آدرس کیف‌پول شما را بلافاصله پس از خرید مسدود کرده و مانع از فروش دارایی شود.