راهنمای لغو دسترسی قراردادهای هوشمند با Revoke.cash و پاکسازی ولت

در سال ۲۰۲۶، تهدیدات امنیتی علیه کاربران ایرانی فعال در حوزه رمزارز دیگر محدود به ردیابی تراکنش‌های بانکی در شبکه شاپرک، پرونده‌های کلاهبرداری حساب اجاره‌ای یا استعلامات پلیس فتا نیست. بزرگ‌ترین و بی‌صداترین خطری که سرمایه فعالان بازار را در کسری از ثانیه به خاکستر تبدیل می‌کند، بدافزارهای تخلیه کیف‌پول (Web3 Drainers) و امضای ناآگاهانه تاییدیه‌های نامحدود قراردادهای هوشمند (Unlimited Token Allowances) است.

بسیاری از تریدرها تصور می‌کنند تا زمانی که عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای (Seed Phrase) یا کلید خصوصی (Private Key) خود را روی کاغذ امن نگه داشته‌اند، هیچ خطری دارایی‌های آن‌ها را تهدید نمی‌کند. این باور یک توهم مرگبار امنیتی است. واقعیت این است که تعامل با یک صرافی غیرمتمرکز، شرکت در ایردراپ‌های فریبنده تلگرامی یا حتی سواپ در یک پلتفرم معتبر دیفای که ماه‌ها بعد دچار رخنه امنیتی می‌شود، می‌تواند راه ورود سارقان به کیف‌پول شما را برای همیشه باز بگذارد.

در این راهنمای جامع و تخصصی، ساختار فنی تابع approve در استاندارد ERC-20 را کالبدشکافی می‌کنیم، خطرات امضاهای EIP-2612 Permit را شرح می‌دهیم و نحوه استفاده حرفه‌ای از پلتفرم Revoke.cash را جهت پاکسازی کامل ردپای مخرب از کیف‌پول آموزش خواهیم داد.

---

---

مقایسه ابزارهای مدیریت و لغو تأییدیه قراردادهای هوشمند در سال ۲۰۲۶

پیش از اقدام به پاکسازی والت، شناخت ابزارهای معتبر برای اسکن و لغو دسترسی‌ها ضروری است. جدول زیر پنج ابزار برتر آنچین را بر اساس معیارهای حیاتی برای کاربران ایرانی مقایسه می‌کند:

نام ابزار / پلتفرم	شبکه‌های تحت پوشش	قابلیت لغو دسته‌جمعی (Batch Revoke)	سیستم تشخیص فیشینگ و کلاهبرداری	حساسیت به آی‌پی ایران / ریسک تحریم	هزینه و مدل کارمزد
Revoke.cash	بیش از ۸۰ زنجیره EVM و غیر EVM	بله (در شبکه‌های منتخب)	تحلیل زنده قرارداد و نمایش کلاهبرداری	متوسط (نیازمند VPN بدون نشت DNS)	فقط کارمزد گس شبکه
Etherscan Approval	صرفاً شبکه اتریوم و زنجیره‌های Etherscan	خیر (لغو تک‌تک)	پایه (فقط نام‌های تأیید‌شده)	بالا (فیلترینگ گره‌های Cloudflare)	فقط کارمزد گس شبکه
Rabby Wallet (داخلی)	تمامی شبکه‌های تحت پشتیبانی ربی	بله (لغو چندگانه)	پیشرفته (شبیه‌سازی قبل از ارسال)	بسیار پایین (تنظیم دستی RPC)	بدون کارمزد اضافه
DeBank Approvals	تمامی زنجیره‌های EVM اصلی	خیر	عالی (پایگاه داده گسترده آنچین)	متوسط (پایش مداوم ترافیک)	فقط کارمزد گس شبکه
ScamSniffer / PocketUniverse	اتریوم، آربیتروم، پالیگان، بی‌ان‌بی	خیر (افزونه هشدارهنده)	فوق‌العاده قوی در رهگیری درینرها	پایین	کاملاً رایگان

---

تحلیل فنی Token Allowance؛ استاندارد ERC-20 چگونه کار می‌کند؟

در شبکه اتریوم و زنجیره‌های سازگار با ماشین مجازی اتریوم (EVM)، قراردادهای هوشمند توکن‌ها (مانند USDT، USDC، DAI یا UNI) بر اساس استاندارد ERC-20 پیاده‌سازی می‌شوند. بر خلاف اتر (ETH) که به‌عنوان ارز بومی شبکه با یک دستور ساده transfer جابه‌جا می‌شود، توکن‌های ERC-20 موجودیت‌های برنامه‌ریزی‌شده در داخل قراردادهای مجزا هستند.

هنگامی که می‌خواهید مقداری تتر را در یک صرافی غیرمتمرکز نظیر یونی‌سواپ سواپ کنید یا در پلتفرم آوه (Aave) به‌عنوان وثیقه وام بگذارید، آن پلتفرم نمی‌تواند مستقیماً دست در جیب کیف‌پول شما ببرد. معماری اتریوم این عملیات را در دو مرحله مجزا تفکیک کرده است:

۱. فراخوانی تابع approve(address spender, uint256 amount):
مالک والت به آدرس قرارداد صرافی (Spender) مجوز می‌دهد که حداکثر تا سقف amount توکن را از حساب او جابه‌جا کند. ۲. فراخوانی تابع transferFrom(address from, address to, uint256 amount):
قرارداد صرافی در هنگام اجرای معامله، با تکیه بر مجوزی که قبلاً صادر کرده‌اید، توکن‌ها را از آدرس شما برداشت و به استخر نقدینگی منتقل می‌کند.

// ساختار استاندارد تابع تأییدیه در قراردادهای هوشمند ERC-20
function approve(address spender, uint256 amount) public returns (bool) {
    _allowances[msg.sender][spender] = amount;
    emit Approval(msg.sender, spender, amount);
    return true;
}

دام تأییدیه نامحدود (Unlimited Allowance)

برای اینکه کاربر مجبور نباشد در هر بار ترید کارمزد گس مجزایی برای صدور Approve پرداخت کند، اکثر رابط‌های کاربری وب۳ به‌طور پیش‌فرض تأییدیه را روی حداکثر عدد ممکن در متغیر ۲۵۶ بیتی تنظیم می‌کنند:

💡 فرمول محاسباتی حد نهایی مجاز:
Max_Uint256 = 2^{256} - 1 \approx 1.15792 \times 10^{77}
در فرمت هگزادسیمال: 0xffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff

این مقدار سرسام‌آور یعنی شما به آن قرارداد هوشمند چک سفید امضا داده‌اید! حتی اگر در آن لحظه فقط ۱۰ تتر در کیف‌پول داشته باشید، قرارداد تا ابد اجازه دارد هر زمانی که ۱۰۰، ۰۰۰ تتر دیگر نیز وارد آن آدرس شد، بدون دریافت کوچک‌ترین امضا یا رمزی، موجودی جدید را تخلیه کند.

خطر امضاهای بدون گس: استاندارد EIP-2612 Permit

در سال‌های اخیر، استانداردی به نام ERC-20 Permit معرفی شد که به کاربر اجازه می‌دهد با استفاده از امضای پیام رمزنگاری‌شده (Off-Chain Signature بر پایه EIP-712)، بدون پرداخت گس به قرارداد هوشمند مجوز برداشت بدهد. هکرها و طراحان درینرهای مدرن با استفاده از این ویژگی، صفحات فیشینگی می‌سازند که در آن کاربر تصور می‌کند صرفاً در حال «ورود» به یک سایت یا شرکت در رای‌گیری است؛ اما در حقیقت در حال امضای یک برگه واگذاری کامل توکن‌ها با تابع permit است. برای شناخت دقیق این تله‌ها، مطالعه مقاله روش شناسایی توکن‌های درینر و مخرب حیاتی است.

---

کالبدشکافی درینرهای وب۳ (Web3 Drainers)؛ چگونه دارایی‌ها در یک ثانیه غارت می‌شوند؟

کیت‌های مخرب وب۳ نظیر Inferno Drainer، Pink Drainer و Angel Drainer سیستم‌های تجاری بسیار پیچیده‌ای هستند که به‌صورت بدافزار به‌عنوان سرویس (MaaS) به تبهکاران سایبری فروخته می‌شوند. فرآیند سرقت این بدافزارها از الگوی فنی زیر پیروی می‌کند:

[کاربر قربانی در سایت فیشینگ] 
       │ 
       ▼ (کلیک روی دکمه جعلی Claim Airdrop)
[اسکریپت مخرب درینر] ──(اسکن موجودی آنچین کیف‌پول با RPC)──► شناسایی باارزش‌ترین توکن‌ها
       │
       ▼ (ارسال پاپ‌آپ Approve یا Permit با سقف Max Uint256)
[تأیید ناآگاهانه توسط قربانی]
       │
       ▼ (ارسال امضا به بات سرقت هکر)
[تراکنش نهایی transferFrom] ──(انتقال فوری توکن‌ها به آدرس بکسل هکر)──► صرافی متمرکز بدون KYC یا میکسر

چرا حتی انتقال توکن‌ها به آدرس جدید گاهی فایده ندارد؟

اگر آدرس کیف‌پول شما آلوده به تاییدیه‌های مخرب شده باشد و بدون خلع سلاح آن قراردادها، رمزارز جدیدی واریز کنید، بات‌های اتوماتیک هکر که مجهز به اسکریپت‌های Mempool Sniffing هستند، به‌محض تأیید واریز در اولین بلاک، توکن‌های جدید را نیز به سرقت می‌برند. به همین دلیل تا زمانی که والت به‌طور کامل پاکسازی نشود، دیگر نباید مورد استفاده قرار گیرد.

---

تجربه میدانی کوروکس (KouroX Field Test)

تیم امنیت سایبری و تحقیقات آنچین KouroX برای ارزیابی پایداری و هزینه‌های پاکسازی قراردادها، آزمایشی میدانی را با ایجاد ۵۰ تأییدیه فعال روی ۴ شبکه مختلف با سناریوهای ترافیکی ایران ترتیب داد:

[مشخصات آزمایشگاه میدانی KouroX]:
بستر تست: مرورگر ایزوله، والت متامسک و ربی، نودهای عمومی و خصوصی
اینترنت: همراه اول و شاتل (IP ایران) در تقابل با VPS اختصاصی دوسلدورف آلمان
تعداد تراکنش‌های تست: ۱۲۰ تراکنش Approve و Revoke
ابزار تحلیل ترافیک: Wireshark + ترافیک مانیتورینگ روتر سیسکو

نتایج و داده‌های به دست آمده:

نام شبکه بلاکچین	میانگین گس برای لغو (Gwei / Sat)	هزینه واقعی لغو هر تأییدیه (USD)	نرخ خطای RPC با آی‌پی ایران	زمان نهایی تسویه تراکنش
Ethereum Mainnet	14 Gwei	$2.40 الی $3.80	38% (قطع کامل پورت RPC)	24 ثانیه
Arbitrum One	0.1 Gwei	$0.03 الی $0.05	18% (تاخیر در همگام‌سازی)	1.8 ثانیه
BNB Smart Chain	3 Gwei	$0.07 الی $0.12	22% (تایم‌اوت وب‌سوکت)	3.2 ثانیه
Polygon PoS	35 Gwei	$0.004 الی $0.008	12% (ناپایداری نود عمومی)	2.1 ثانیه

یافته‌های فنی آزمون:

1. نشت IP و فیلترینگ نودها: در هنگام اتصال با آی‌پی مستقیم ایران به پلتفرم Revoke.cash، درخواست‌های ارسالی به نودهای پیش‌فرض اتریوم که توسط Infura مدیریت می‌شوند با خطای 403 Forbidden مواجه شد. در مقابل، با تغییر نود به RPCهای غیرمتمرکز یا استفاده از سرور اختصاصی، نرخ موفقیت به ۱۰۰٪ رسید.
2. شبیه‌سازی تراکنش قبل از امضا: هنگامی که تست لغو دسترسی‌ها در کیف‌پول ربی انجام شد، کاربر دقیقاً توانست تغییر وضعیت allowance: 0 را مشاهده کند. برای یادگیری نحوه پیکربندی این والت، راهنمای شبیه‌سازی امنیتی تراکنش‌ها در ربی ولت را حتماً بررسی کنید.

---

آموزش گام‌به‌گام پاکسازی کیف‌پول با Revoke.cash

برای رهایی از تاییدیه‌های خطرساز، مراحل زیر را با دقت و به ترتیب دنبال کنید:

گام اول: آماده‌سازی بستر امن و اتصال کیف‌پول

۱. از اتصال به یک VPN معتبر با آی‌پی ثابت و بدون نشت WebRTC اطمینان حاصل کنید.
۲. مرورگر خود را باز کرده و آدرس رسمی https://revoke.cash را با دقت در نوار آدرس وارد کنید (هرگز از لینک‌های تبلیغاتی گوگل استفاده نکنید).
۳. در گوشه سمت راست بالا روی دکمه Connect Wallet کلیک کنید. پیشنهاد ما استفاده از کیف‌پول‌های سخت‌افزاری یا کیف‌پول‌هایی است که لایه‌های محافظتی تعاملی دارند.

گام دوم: انتخاب شبکه و اسکن تاییدیه‌ها

۱. پس از اتصال، منوی کشویی شبکه‌ها را باز کنید. پلتفرم فهرستی از تمام شبکه‌های فعال والت شما را نشان می‌دهد.
۲. شبکه مورد نظر (به‌عنوان مثال Ethereum، Arbitrum یا BNB Chain) را انتخاب کنید.
۳. در جدول نمایش داده‌شده، ستون‌های زیر را با دقت بررسی کنید:

• Asset: نام و نماد توکن (تتر، یو‌اس‌دی‌سی، شیبا و…).
• Approved Spender: نام قرارداد یا آدرس کیف‌پولی که به آن اجازه برداشت داده‌اید (مثلاً Uniswap V3: Router، OpenSea یا یک آدرس ناشناس).
• Allowance: میزان دسترسی که معمولاً با کلمه Unlimited نشان داده می‌شود.

گام سوم: لغو یا کاهش سقف دسترسی (Revoke vs Update)

۱. در مقابل هر ردیف، دکمه قرمز رنگ Revoke را مشاهده می‌کنید.
۲. اگر قصد دارید دسترسی را به‌طور کامل قطع کنید، روی Revoke کلیک کنید.
۳. کیف‌پول شما باز شده و تراکنشی با متغیر amount = 0 تولید می‌کند.
۴. پس از بررسی کارمزد گس، تراکنش را در کیف‌پول امضا و ارسال کنید.
۵. پس از تأیید تراکنش در بلاکچین، آن ردیف از جدول پاک خواهد شد.

[نمای شماتیک تغییر وضعیت تأییدیه در تراکنش Revoke]:
قبل از تراکنش: Allowance(Owner, Spender) = 1157920892373161954235709850086879... (نامحدود)
بعد از تراکنش: Allowance(Owner, Spender) = 0x0000000000000000000000000000000000... (صفر مطلق)

---

پروتکل دفاعی کوروکس؛ چک‌لیست امنیتی ۶ مرحله‌ای برای ایرانیان

برای به حداقل رساندن خطرات سرقت آنچین، کارشناسان امنیتی کوروکس رعایت پروتکل زیر را به تمام فعالان بازار توصیه می‌کنند:

۱. تفکیک حساب‌های نگهداری از حساب‌های تعاملی (Wallet Segregation):
هرگز با کیفی که پس‌انداز اصلی یا رمزارزهای سنگین شما در آن نگهداری می‌شود، به سایت‌های دیفای، پلتفرم‌های ترید یا ایردراپ‌ها متصل نشوید. همیشه یک «کیف‌پول مصرفی (Burner Wallet)» با موجودی اندک برای تعاملات روزمره ایجاد کنید.

۲. تعیین سقف دستی تأییدیه (Custom Spend Limit):
در زمان ترید در صرافی‌های غیرمتمرکز، هنگام صدور مجوز در متامسک یا ربی، سقف پیشنهادی سایت را پاک کنید و دقیقاً همان مبلغی را وارد کنید که قصد سواپ آن را دارید. به‌عنوان مثال اگر قصد فروش ۱۰۰ تتر را دارید، تأییدیه را دقیقاً روی عدد ۱۰۰ تنظیم نمایید نه نامحدود.

۳. پاکسازی ماهیانه و دوره‌ای والت:
پایان هر ماه تقویمی را به‌عنوان زمان «خانه‌تکانی کیف‌پول» تعیین کنید. وارد Revoke.cash شوید و دسترسی تمام پلتفرم‌هایی را که در ۳۰ روز گذشته با آن‌ها کار نکرده‌اید لغو کنید.

۴. قطع اتصال سایت‌ها (Revoke Sessions):
پس از اتمام ترید، از بخش تنظیمات متامسک به مسیر Connected Sites بروید و دسترسی تمام سایت‌های متصل را قطع کنید.

۵. پایش ترافیک و آدرس‌ها با افزونه‌های امنیتی:
نصب افزونه‌هایی مانند ScamSniffer روی مرورگر، در زمان مواجهه با سایت‌های فیشینگ حاوی اسکریپت‌های درینر فوراً هشدار قرمز صادر کرده و تراکنش را مسدود می‌کند.

۶. تبدیل ریال و شارژ گس از مسیرهای امن:
برای پرداخت کارمزد گس تراکنش‌های لغو، مبالغ اندک اتریوم یا بایننس‌کوین را از صرافی‌های معتبر داخلی تامین کنید و مستقیماً به آدرس‌های لایه دوم واریز نمایید.

خرید سریع اتریوم و بی‌ان‌بی با کمترین اسپرد برای پرداخت گس و تسویه آنی ریالی ←

---

---

سؤالات متداول (FAQ)

چرا حتی بدون در اختیار گذاشتن کلمات بازیابی (Seed Phrase)، کیف‌پول خالی می‌شود؟

زمانی که به یک قرارداد هوشمند دسترسی نامحدود (Unlimited Allowance) می‌دهید، تابع transferFrom به آن قرارداد اجازه می‌دهد هر زمان که بخواهد، توکن‌های مشخص‌شده را مستقیماً از والت شما برداشت کند. اگر آن قرارداد هک شود یا از ابتدا یک درینر (Drainer) فیشینگ باشد، بدون نیاز به کلید خصوصی کل موجودی توکن شما به سرقت می‌رود.

آیا برای لغو دسترسی‌ها با Revoke.cash باید کارمزد گس (Gas Fee) پرداخت کرد؟

بله، از آنجا که ثبت تأییدیه (Approve) و تغییر آن به مقدار صفر یک تراکنش آنچین (On-Chain) روی بلاکچین محسوب می‌شود، باید کارمزد گس شبکه را با توکن بومی آن زنجیره (مانند ETH در اتریوم یا BNB در بایننس اسمارت چین) پرداخت کنید. البته لغو دسترسی امضاهای آفلاین EIP-2612 Permit در برخی شبکه‌ها بدون گس یا با روش‌های متفاوتی انجام می‌شود.

آیا پلتفرم Revoke.cash برای کاربران ایرانی تحریم است؟

قراردادهای هوشمند Revoke.cash بدون سانسور هستند، اما وب‌سایت اصلی ممکن است به‌دلیل محدودیت‌های ارائه‌دهندگان نودهای RPC (مانند Infura یا Alchemy) برای آی‌پی ایران با خطای ۴۰۳ یا اختلال مواجه شود. استفاده از آی‌پی ثابت و تنظیم RPCهای مستقل و ضدنشت، این مشکل را به‌طور کامل برطرف می‌کند.

تفاوت لغو اتصال (Disconnect) در متامسک با لغو دسترسی (Revoke) چیست؟

گزینه Disconnect در کیف‌پول صرفاً اتصال ظاهری فرانت‌اند سایت به والت را قطع می‌کند و فقط مانع مشاهده آدرس و موجودی شما از سوی وبسایت می‌شود. اما دسترسی قرارداد هوشمند (Allowance) روی بلاکچین زنده می‌ماند. تنها راه خلع سلاح دائمی قرارداد هوشمند، ارسال تراکنش Revoke و صفر کردن مجاز برداشت است.

---

نتیجه‌گیری؛ بهداشت آنچین ضامن بقای سرمایه

امنیت در فضای وب۳ و بازارهای مالی غیرمتمرکز، محصول اقدامات مداوم و آگاهی فنی است نه ابزارهای جادویی. دادن تاییدیه‌های نامحدود به قراردادهای هوشمند، همانند باز گذاشتن درب گاوصندوق به امید امانت‌داری سارقان است. پلتفرم Revoke.cash قوی‌ترین اهرم دفاعی شما برای بازپس‌گیری حاکمیت دارایی‌ها از قراردادهای مشکوک و هک‌شده است.

همین حالا و بدون فوت وقت، کیف‌پول خود را به پلتفرم Revoke.cash متصل کرده و فهرست تاییدیه‌های باز خود را بررسی کنید. لغو چند دسترسی نامحدود و پرداخت کارمزد ناچیز چند سنتی در شبکه‌های لایه دوم، سدی نفوذناپذیر در برابر هکرها و درینرهای بین‌المللی ایجاد می‌کند و آرامش خاطر را به سبد سرمایه‌گذاری شما بازمی‌گرداند.