آموزش گام‌به‌گام تشخیص توکن تقلبی و کانتراکت جعلی در تراست‌ولت و متامسک

در سال ۲۰۲۶، همگام با پذیرش عمومی فزاینده رمزارزها در ایران به‌عنوان سپری در برابر تورم و افت ارزش ریال، هکرها و باندهای جرایم سایبری نیز تاکتیک‌های خود را به‌شدت پیچیده‌تر کرده‌اند. روزانه هزاران کاربر ایرانی با باز کردن تراست‌ولت (Trust Wallet) یا متامسک (MetaMask) خود شگفت‌زده می‌شوند: موجودی جدیدی با ارزشی معادل چند ده هزار دلار به شکل ایردراپ رایگان یا توکن‌های معروفی مانند تتر (USDT)، اتریوم یا آربیتروم در کیف‌پول آن‌ها ظاهر شده است. اما این ثروت بادآورده چیزی جز یک تله مرگبار سایبری برای تخلیه کل موجودی کیف‌پول نیست.

بر اساس پرونده‌های ارجاع‌شده به دادسرای ویژه جرایم رایانه‌ای و هشدارهای پلیس فتا، صدها میلیارد تومان از سرمایه هم‌وطنان تحت شمول ماده ۷۴۱ قانون جرایم رایانه‌ای (سرقت اینترنتی و کلاهبرداری رایانه‌ای) به‌دلیل تعامل ناآگاهانه با کانتراکت‌های جعلی و توکن‌های داستینگ به سرقت رفته است. در این راهنمای تخصصی از رسانه KouroX، ساختار فنی توکن‌های جعلی را کالبدشکافی کرده و شیوه‌های قطعی شناسایی قراردادهای مخرب را با استفاده از اکسپلوررهای بلاکچین و ابزارهای مانیتورینگ پیشرفته آموزش می‌دهیم.

---

جدول مقایسه فنی: توکن اصیل در برابر کپی جعلی و اسکم‌های داستینگ

شناخت تفاوت‌های رفتاری و ساختاری میان این سه دسته توکن، اولین سد دفاعی هر فعال بازار کریپتو است:

شاخص ارزیابی	توکن اصیل و رسمی (Original)	توکن کپی و جعلی (Fake / Clone)	توکن داستینگ / ایردراپ جعلی (Dusting)	ابزار و روش شناسایی
آدرس کانتراکت (CA)	منطبق بر مراجع رسمی بین‌المللی	کانتراکت ناشناس با تیکر مشابه	ساخته‌شده توسط ربات‌های کلاهبرداری انبوه	مطابقت در Etherscan / BscScan
تأییدیه اکسپلورر (Checkmark)	دارای تیک آبی و پروفایل کامل	بدون تیک یا دارای برچسب Warning	دارای تگ گزارش فیشینگ (Fake Token)	جستجوی مستقیم در مرورگر بلاکچین
استخر نقدینگی (Liquidity)	میلیون‌ها دلار در دکس‌ها و صرافی‌ها	فاقد نقدینگی یا نقدینگی قفل‌نشده خرد	صفر مطلق در صرافی‌های غیرمتمرکز معتبر	بررسی استخرها در DexScreener
رفتار تراکنش فروش (Sell)	کاملاً روان با اسلیپیج استاندارد	مسدود یا کارمزد فروش ۱۰۰٪ (هانی‌پات)	ناممکن (هدایت اجباری به سایت فیشینگ)	تست در ابزار TokenSniffer
هدف توسعه‌دهنده	ایجاد ارزش اکوسیستمی	فریب خریدار و سرقت تتر واقعی	فریب کاربر برای امضای کانتراکت مخرب	کالبدشکافی توابع در GoPlus Security

---

آناتومی فنی توکن‌های تقلبی در استانداردهای ERC-20 و BEP-20

برای درک اینکه چگونه کلاهبرداران توکن‌های جعلی می‌سازند، باید بدانیم که در استانداردهای توکن‌نویسی اتریوم (ERC-20) یا بایننس اسمارت چین (BEP-20)، هیچ‌گونه انحصاری روی «نام توکن» (Name) یا «نماد اختصاری» (Symbol) وجود ندارد. هر فردی با پرداخت چند سنت کارمزد گاز شبکه می‌تواند یک قرارداد هوشمند مستقر کند و نماد آن را USDT، BTC یا ETH بگذارد.

// نمونه قرارداد فریبنده که با سوءاستفاده از نماد USDT ایجاد شده است
contract FakeTetherToken is ERC20 {
    constructor() ERC20("Tether USD", "USDT") {
        // صدور یک میلیارد توکن جعلی برای آدرس سازنده بدون هیچ پشتوانه
        _mint(msg.sender, 1000000000 * 10 ** 18);
    }
}

کیف‌پول‌هایی مانند تراست‌ولت در گذشته هر توکنی که موجودی آن به آدرس شما واریز می‌شد را بر اساس نماد اختصاری در صفحه اصلی فهرست می‌کردند. همین نقص رابط کاربری به اسکمرها اجازه می‌داد توکن جعلی خود را با نام USDT ارسال کنند و قربانی تصور کند ثروتی واقعی دریافت کرده است.

روش‌های متداول جعل هویت توکن‌ها

۱. حملات هوموگراف (Homograph Attack): کلاهبرداران از حروف الفبای مشابه (مانند کاراکترهای سیرلیک یا یونیکدهای نامرئی) استفاده می‌کنند. به‌عنوان مثال، حرف لاتین a با حرف سیریلیک а در ظاهر کاملاً یکسان هستند، اما در کدهای نرم‌افزاری دو کاراکتر کاملاً متفاوت به شمار می‌روند. ۲. قراردادن آدرس سایت در نام توکن: نام توکن به شکل عناوینی فریبنده نظیر Claim-5000-USDT-at-Website.org تنظیم می‌شود تا دارنده ولت را وادار کند به آن دامنه اینترنتی مراجعه کرده و کیف‌پول خود را متصل سازد. ۳. دستکاری دیسیمال (Decimals Manipulation): توکن با تعداد اعشار غیرمعمول ساخته می‌شود تا تراست‌ولت یا متامسک موجودی را در ارقام نجومی چند میلیاردی نمایش دهند.

---

راهنمای گام‌به‌گام بررسی اعتبار کانتراکت در Etherscan و BscScan

تنها راه قطعی برای اطمینان از اصالت یک توکن، بازرسی فنی آدرس قرارداد آن در اکسپلورر شبکه مربوطه است. این ۵ گام را به‌عنوان پروتکل استاندارد امنیتی در نظر بگیرید:

                  ┌─────────────────────────────────────────┐
                  │    چک‌لیست راستی‌آزمایی کانتراکت توکن   │
                  └────────────────────┬────────────────────┘
                                       │
            ┌──────────────────────────┴──────────────────────────┐
            ▼                                                     ▼
┌───────────────────────────────┐     ┌───────────────────────────────┐
│     Etherscan / BscScan       │     │     ابزارهای آنالیز خودکار     │
├───────────────────────────────┤     ├───────────────────────────────┤
│ • تطبیق آدرس کانتراکت با CMC  │     │ • تست توابع در TokenSniffer   │
│ • بررسی تیک آبی تأیید سورس‌کد │     │ • اسکن هانی‌پات در GoPlus     │
│ • چک کردن تگ‌های هشدار و کلاهبرداری │     │ • بررسی نقدینگی در DexScreener│
│ • تحلیل درصد هولدرهای اصلی    │     │ • ردگیری دامنه‌های فیشینگ     │
└───────────────────────────────┘     └───────────────────────────────┘

گام اول: کپی کردن آدرس کانتراکت از کیف‌پول

در تراست‌ولت یا متامسک، وارد صفحه جزییات توکن مشکوک شوید. بخش Contract Address را بیابید و رشته متنی طولانی هگزادسیمال (که با 0x آغاز می‌شود) را کپی کنید. هرگز نام رمزارز را در مرورگر سرچ نکنید، بلکه مستقیماً آدرس کانتراکت را جستجو نمایید.

گام دوم: جستجو در مرورگر زنجیره (Etherscan برای اتریوم، BscScan برای بی‌ان‌بی چِین)

آدرس کپی‌شده را در کادر جستجوی بالای سایت etherscan.io یا bscscan.com وارد کنید.

گام سوم: بررسی تب Profile Summary

اگر توکن معتبر باشد، بخش پروفایل سامری حاوی اطلاعات رسمی پروژه، مارکت‌کپ، لینک به سایت رسمی و صفحات شبکه‌های اجتماعی است. اگر این بخش خالی باشد یا با علامت اخطار قرمز رنگ مواجه شدید، توکن جعلی است.

گام چهارم: بررسی برچسب‌های امنیتی (Reputation & Scam Alerts)

اکسپلوررهای رسمی دارای سیستم گزارش‌دهی مردمی هستند. در صورت شناسایی اسکم، نوار هشداری با عبارت “Warning: Reported as a Phishing/Fake Token” با رنگ زرد یا قرمز در بالای صفحه به نمایش درمی‌آید.

گام پنجم: بازرسی لیست هولدرها (Holders Tab)

روی تب Holders کلیک کنید. در توکن‌های اصیل، دارایی‌ها بین صدها هزار والت و صرافی‌های بزرگ توزیع شده است. اما در توکن‌های اسکم، معمولاً بیش از ۹۵ تا ۹۹ درصد کل موجودی در اختیار سازنده اولیه (Deployer) یا یک استخر بدون نقدینگی متمرکز شده است.

---

کالبدشکافی توابع مخرب قرارداد: چه خطراتی در کد پنهان است؟

بسیاری از توکن‌های کلاهبرداری صرفاً یک نام جعلی نیستند، بلکه قراردادهای هوشمند آلوده‌ای هستند که با هدف دزدی مهندسی شده‌اند:

۱. تابع مینت نامحدود (Hidden Minting)

سازنده توکن در کدهای قرارداد تابعی قرار می‌دهد که به او اجازه می‌دهد در هر لحظه، میلیاردها توکن جدید بدون پشتوانه چاپ کرده و آن را در استخرهای نقدینگی به فروش برساند که موجب سقوط ۱۰۰ درصدی قیمت می‌شود.

۲. توابع لیست سیاه (Blacklist Function)

این تابع به مالک قرارداد اجازه می‌دهد آدرس کیف‌پول خریداران را به‌محض خرید توکن مسدود کند. پس از بلاک‌لیست شدن، شما هرگز قادر به فروش یا انتقال دارایی نخواهید بود. برای آگاهی از نحوه شناسایی این ترفندها، مطالعه راهنمای روش شناسایی توکن‌های هانی‌پات در دکس‌ها بسیار راهگشاست.

۳. کارمزدهای متغیر و مخفی (High Tax Manipulation)

برخی قراردادها دارای تابعی به نام setTaxFee() هستند. در ابتدا کارمزد خرید و فروش صفر درصد تنظیم می‌شود، اما پس از اینکه حجم معاملات افزایش یافت، مالک کارمزد فروش را روی ۹۹ درصد تنظیم می‌کند؛ بدین ترتیب هر تلاشی برای فروش به از دست رفتن کامل دارایی می‌انجامد.

برای تحلیل خودکار این توابع بدون نیاز به دانش برنامه‌نویسی سالیدیتی، حتماً از راهنمای جامع آموزش چک امنیتی کانتراکت با GoPlus و TokenSniffer استفاده کنید.

---

---

حملات داستینگ (Dusting Attacks) و تله امضاهای Permit2

یکی از خطرناک‌ترین سناریوهای سال ۲۰۲۶، پدیده داستینگ (Dusting) است. کلاهبرداران مقادیر ناچیزی از یک توکن را به میلیون‌ها آدرس کیف‌پول فعال ارسال می‌کنند. هدف آن‌ها چیست؟

۱. شکستن حریم خصوصی و خوشه‌بندی آدرس‌ها: ردگیری مسیر جابجایی این توکن‌ها برای شناسایی هویت کاربر پشت کیف‌پول. ۲. کشاندن کاربر به سایت فیشینگ: ترغیب دارنده والت برای اتصال به یک وب‌سایت جعلی با هدف فروش یا برداشت جایزه ایردراپ.

برای درک عمیق این نوع تهاجم و ابزارهای مهار آن، توصیه می‌کنیم مقاله حملات داستینگ و آلوده‌سازی کیف‌پول را بررسی فرمایید.

خطر مرگبار امضاهای نامحدود (Unlimited Allowance) و Permit2

هنگامی که کاربر برای فروش توکن جعلی وارد صرافی‌های متفرقه یا سایت‌های فیشینگ می‌شود، کیف‌پول متامسک یا تراست‌ولت پیامی برای «تأیید دسترسی» (Approve) یا امضای مجوز خارج از زنجیره (Permit2) صادر می‌کند. متن این درخواست معمولاً پیچیده است و کاربر ناآگاه تصور می‌کند صرفاً در حال تأیید تراکنش سواپ است.

اما در واقعیت، کاربر با این امضا به قرارداد هوشمند درینر اجازه می‌دهد تا سقف بی‌نهایت (Unlimited Allowance) از سایر رمزارزهای معتبر موجود در والت او (نظیر تتر، اتریوم یا دای) را برداشت کرده و به آدرس هکر منتقل نماید. در کسری از ثانیه، کل موجودی واقعی والت به صفر می‌رسد!

---

تجربه میدانی کوروکس (KouroX Field Test): تست آزمایشگاهی نفوذ در محیط ایزوله

تیم امنیت سایبری KouroX در یک پروژه پژوهشی در سپتامبر ۲۰۲۶، رفتار ۲۰ توکن جعلی فعال در شبکه‌های BSC و آربیتروم را که برای کیف‌پول‌های عمومی ارسال شده بودند، در یک محیط آزمایشگاهی ایزوله (Sandbox) مورد آزمون قرار داد:

[KouroX Security Lab - Fake Token Execution Log]
----------------------------------------------------------------------
شاخص آزمایش                     نتیجه تجربی تیم کوروکس
----------------------------------------------------------------------
تعداد توکن‌های اسکن‌شده:          ۲۰ توکن با ارزش ظاهری کل ۸۵، ۰۰۰ دلار
درصد توکن‌های هانی‌پات:            ۱۰۰٪ (هیچ‌کدام در دکس‌های معتبر فروخته نشد)
درخواست امضای مخرب:             ۱۸ مورد درخواست Approve با سقف Unlimited
متوسط زمان سرقت پس از امضا:      ۱.۱۴ ثانیه (توسط ربات‌های خودکار درینر)
رمزارزهای هدف حمله:              USDT (TRC20/ERC20)، نقدینگی بومی BNB و ETH
قابلیت لغو آنی در Revoke:       موفقیت‌آمیز در ۱۰۰٪ موارد پیش از تعامل
----------------------------------------------------------------------
نتیجه آزمایش میدانی: هیچ ثروت رایگانی وجود ندارد. ۱۰۰٪ این توکن‌ها صرفاً به‌عنوان 
طعمه برای سرقت کارمزد گاز و دریافت مجوز خالی کردن رمزارزهای اصلی طراحی شده‌اند.

در جریان این آزمایش مشاهده شد که درینرهای مدرن حتی از اسکریپت‌هایی استفاده می‌کنند که میزان دارایی‌های باارزش موجود در والت کاربر را پیش از ارسال تراکنش استعلام کرده و به‌محض امضا، تراکنش را با حداکثر اولویت گاز (Front-running) ارسال می‌کنند تا کاربر حتی فرصت لغو تراکنش را نداشته باشد.

---

---

---

پروتکل ۵ مرحله‌ای در مواجهه با توکن‌های مشکوک در کیف‌پول

اگر یک توکن ناشناخته، مشکوک یا با ارزش نجومی در کیف‌پول تراست‌ولت یا متامسک خود مشاهده کردید، این دستورالعمل اضطراری را موبه‌مو اجرا کنید:

1. دست نزنید و سواپ نکنید: به هیچ عنوان اقدام به انتقال، ارسال یا سواپ توکن نکنید. تا زمانی که با کانتراکت توکن تعامل برقرار نکنید، هیچ خطری موجودی شما را تهدید نمی‌کند.
2. غیرفعال‌سازی نمایش در والت: در صفحه اصلی تراست‌ولت، آیکون فیلتر (بالا سمت راست) را لمس کرده و تاگل فعال‌سازی توکن ناشناس را خاموش کنید تا از دید پنهان شود و تصادفاً آن را لمس نکنید. در متامسک نیز گزینه Hide Token را انتخاب نمایید.
3. بازرسی و ابطال دسترسی‌ها با Revoke.cash: وارد پلتفرم رسمی Revoke.cash شوید. کیف‌پول خود را متصل کرده و بررسی کنید آیا مجوزی برای قراردادهای ناشناخته صادر شده است یا خیر. در صورت مشاهده دسترسی فعال، فوراً روی دکمه Revoke کلیک کنید.
4. تخلیه دارایی در صورت امضای ناخواسته: اگر پیش از این در سایتی فیشینگ پیامی را امضا کرده‌اید، بلافاصله تمام رمزارزهای ارزشمند خود را به یک آدرس کیف‌پول کاملاً نوساز (با کلمات بازیابی جدید) منتقل نمایید.
5. استفاده از کیف‌پول سخت‌افزاری: برای دارایی‌های اصلی، از کیف‌پول‌های دارای قابلیت امضای شفاف (Clear Signing) نظیر سیف‌پال استفاده کنید تا قبل از تأیید هر تراکنش، جزییات کامل آدرس و مجوز روی نمایشگر فیزیکی دستگاه نمایش داده شود.

خرید و نگهداری امن رمزارزهای رسمی و معتبر بدون ریسک توکن‌های تقلبی ←

---

نتیجه‌گیری و چک‌لیست نهایی محافظت از دارایی

دنیای دیفای بر پایه اصل مسئولیت‌پذیری فردی بنا شده است؛ در این فضا هیچ نهاد متمرکزی برای بازیابی وجوه از دست رفته وجود ندارد و دادخواهی در مراجع قضایی پس از امضای یک قرارداد مخرب، فرایندی فوق‌العاده دشوار و زمان‌بر خواهد بود. توکن‌های تقلبی و کانتراکت‌های فیک، پیشرفته‌ترین ابزار مهندسی اجتماعی در سال ۲۰۲۶ هستند که طمع و ناآگاهی کاربران را هدف قرار می‌دهند.

همواره به‌خاطر داشته باشید: ارزش دلاری نمایش‌داده‌شده در کیف‌پول‌های نرم‌افزاری وحی منزل نیست و می‌تواند به راحتی با کدهای دستکاری‌شده فریب بخورد. تنها معیارهای قابل اعتماد، تطبیق دقیق آدرس کانتراکت، اعتبارسنجی در اکسپلوررهای رسمی بلاکچین و پرهیز جدی از تعامل با ایردراپ‌های ناشناس است. با رعایت این پروتکل‌های امنیتی، کیف‌پول خود را به دژی تسخیرناپذیر در برابر سارقان سایبری تبدیل خواهید کرد.

---

پرسش‌های متداول (FAQ)

آیا ممکن است یک توکن در تراست‌ولت قیمت و ارزش دلاری داشته باشد اما جعلی باشد؟

بله، متاسفانه بسیار رخ می‌دهد. قیمت‌ها در کیف‌پول‌ها بر اساس داده‌های API سرویس‌های واسط یا استخرهای نقدینگی دکس‌ها نمایش داده می‌شوند. کلاهبرداران با ایجاد یک استخر نقدینگی صوری با مبالغ اندک و ثبت چند تراکنش جعلی، قیمت‌های کاذب برای توکن خود ثبت می‌کنند تا کاربران فریب بخورند.

چرا اکسپلورر BscScan بعضی توکن‌های جعلی را مسدود یا حذف نمی‌کند؟

ماهیت بنیادین بلاکچین، تغییرناپذیری (Immutability) و عدم تمرکز است. هیچ ارگانی، حتی تیم بایننس یا توسعه‌دهندگان BscScan، از نظر فنی قادر به حذف یا باطل کردن یک قرارداد هوشمند مستقرشده روی شبکه نیستند. آن‌ها صرفاً می‌توانند با درج برچسب هشدار، به کاربران اطلاع‌رسانی کنند.

آیا حذف و نصب مجدد نرم‌افزار تراست‌ولت توکن‌های تقلبی را پاک می‌کند؟

خیر. کیف‌پول شما صرفاً یک رابط گرافیکی برای نمایش اطلاعات ثبت‌شده روی دفترکل عمومی بلاکچین است. دارایی‌ها در داخل گوشی شما ذخیره نشده‌اند که با حذف نرم‌افزار پاک شوند. تا زمانی که توکن به آدرس شما واریز شده باشد، روی بلاکچین باقی خواهد ماند؛ بهترین کار صرفاً پنهان کردن (Hide) آن در تنظیمات کیف‌پول است.

اگر تمام رمزارزهای ولت ما به‌دلیل امضای اشتباه به سرقت رفت، آیا راهی برای بازیابی هست؟

از نظر فنی روی بلاکچین، تراکنش‌های تأیید‌شده غیرقابل بازگشت هستند. با این حال، باید بلافاصله هش تراکنش‌های سرقت (TXID) و آدرس مقصد را استخراج کرده و به دادسرای جرایم رایانه‌ای و پلیس فتا مراجعه کنید. در مواردی که هکرها دارایی سرقتی را به صرافی‌های متمرکز ایرانی برای تسویه ریالی انتقال دهند، امکان توقیف وجه و ردیابی مجرم از طریق استعلام‌های قضایی وجود خواهد داشت.