کالبدشکافی درینرهای تلگرام و بات‌های کلاهبرداری شبکه TON؛ چگونه دارایی ما به سرقت می‌رود؟

ساعت ۲ بامداد، پیامکی با عنوان «واریز ۲۵۰ تون‌کوین پاداش استیکینگ نات‌کوین» در یک گروه تلگرامی منتشر می‌شود. علی، فعال بازار کریپتو در اصفهان، روی دکمه بات تلگرامی کلیک می‌کند. ظاهر مینی‌اپلیکیشن دقیقاً مشابه پلتفرم رسمی بنیاد TON طراحی شده است. ربات پیام «Connect Wallet» را نمایش می‌دهد و علی کیف‌پول تون‌کیپر خود را از طریق TonConnect متصل می‌کند. پنجره‌ای برای تأیید تراکنش با عنوان ساختگی «Verify Gas Fee: 0.005 TON» باز می‌شود. علی اثر انگشت خود را ثبت می‌کند؛ اما در کمتر از ۴ ثانیه، نه‌تنها پاداشی واریز نمی‌شود، بلکه ۱٬۸۵۰ تون‌کوین موجودی حساب به‌همراه ده‌ها میلیون توکن نات‌کوین به یک آدرس ناشناس منتقل می‌گردد.

فاجعه اصلی اما ۷۲ ساعت بعد رقم می‌خورد: حساب بانکی علی در بانک ملت به دستور شعبه دوم دادسرای جرایم رایانه‌ای مسدود می‌شود. سارقان برای تسویه ریالی، تون‌کوین‌های به سرقت رفته را از طریق یک حساب اجاره‌ای در بازار P2P فروخته و بخشی از وجوه سرقتی پرونده‌ای دیگر را به حساب قربانی واریز کرده بودند تا ردپای پولشویی کور شود. اکنون علی نه‌تنها مالباخته است، بلکه به‌عنوان متهم ردیف اول «کلاهبرداری مرتبط با رایانه» تحت ماده ۷۴۱ قانون جرایم رایانه‌ای احضار شده است.

این سناریو، واقعیت تلخ سال ۲۰۲۶ در بستر اکوسیستم تلگرام و شبکه TON برای کاربران ایرانی است. در این بررسی موشکافانه، ابعاد فنی درینرهای تلگرام را کالبدشکافی کرده و راهنمای کامل حقوقی جهت ارائه لایحه دفاعیه به پلیس فتا و دادسرا را ارائه می‌دهیم.

---

درینر تلگرام (Telegram Drainer) چیست و چگونه کار می‌کند؟

درینرها نسل تکامل‌یافته بدافزارهای وب ۳ هستند. در شبکه‌های سازگار با EVM مانند اتریوم، حملات معمولاً بر پایه صدور مجوز برداشت نامحدود (Approve) یا امضاهای مسموم Permit2 اجرا می‌شوند. اما در شبکه TON، ساختار قراردادهای هوشمند و پروتکل ارتباطی با اپلیکیشن‌ها کاملاً متفاوت است.

شبکه TON از معماری شاردینگ ناهمگام (Asynchronous Sharding) و زبان‌های FunC و Tact بهره می‌برد. تعامل برنامه‌های غیرمتمرکز (DApps) با کیف‌پول‌ها از طریق پروتکل TonConnect v2 انجام می‌شود. درینرهای تلگرام دقیقاً همین پل ارتباطی را هدف قرار می‌دهند.

[کاربر در مینی‌اپ تلگرام]
         │
         ▼ (۱. درخواست اتصال کیف‌پول)
[پروتکل TonConnect v2]
         │
         ▼ (۲. ارسال پی‌لود باینری مخرب BoC)
[پاپ‌آپ کیف‌پول تون‌کیپر (ظاهر فریبنده: Gas 0.005 TON)]
         │
         ▼ (۳. امضای تراکنش توسط کاربر)
[قرارداد درینر در بلاکچین TON]
    ┌────┴──────────────────────────┐
    ▼                               ▼
[تخلیه آنی تون‌کوین]         [تخلیه تمام توکن‌های جتوت (Jettons)]
    │                               │
    └───────────────┬───────────────┘
                    ▼
       [میکسر یا استخر نقدینگی STON.fi]
                    ▼
       [تسویه ریالی از طریق حساب اجاره‌ای]

مراحل ۳ گانه اجرای درینر در مینی‌اپ‌ها

۱. جعل هویت و مهندسی اجتماعی (Social Engineering): مهاجمان با ایجاد بات‌های مشابه بات‌های رسمی ایردراپ‌ها یا پلتفرم‌های استیکینگ معتبر، لینک‌هایی با پسوند تأیید‌شده تلگرام (t.me/...) منتشر می‌کنند. در سال ۲۰۲۶، هکرها با خرید اشتراک‌های پرمیوم و اکانت‌های قدیمی تلگرام، اعتبار کاذب ایجاد می‌نمایند. برای مطالعه بیشتر درباره این روش‌ها، راهنمای تله‌های ایردراپ و بات‌های فیشینگ تلگرام را مطالعه کنید.

۲. تزریق پی‌لود باینری (Bag of Cells - BoC): هنگامی که کیف‌پول متصل می‌شود، درینر یک تراکنش چندگانه (Multi-call Transaction) آماده می‌کند. در ظاهر، در فیلد کامنت تراکنش عبارت‌های فریبنده‌ای نظیر Claim Reward یا Verification درج شده است. اما در ساختار سلولی داده‌ها (Cells)، دستور فراخوانی تابع انتقال توکن‌های جتوت (Jetton Transfer) و انتقال موجودی TON به والت تجمیعی مهاجم تعبیه شده است.

۳. امضا و اجرای بازگشت‌ناپذیر: به‌دلیل طراحی رابط کاربری کیف‌پول‌ها، بسیاری از کاربران قادر به رمزگشایی کدهای هگزادسیمال درون پی‌لود نیستند. با فشردن دکمه Confirm، تراکنش در یک بلوک قرار گرفته و در کسری از ثانیه موجودی کیف‌پول صفر می‌شود.

---

جدول مقایسه انواع درینرها و آسیب‌پذیری‌های شبکه TON

نوع درینر / تله	مکانیزم نفوذ فنی	دارایی هدف	سرعت تخلیه	ضریب کشف و پیگیری حقوقی
درینر TonConnect v2	تزریق BoC در پیام چندگانه	TON + کلیه توکن‌های Jetton	کمتر از ۳ ثانیه	متوسط (نیازمند ردیابی آدرس‌های واسطه)
بات فیشینگ Seed Phrase	فرم جعلی بازگردانی ولت	کل کیف‌پول و تمام کلیدها	۱ تا ۵ دقیقه	بالا (در صورت لاگ‌گیری از IP فیشینگ)
قرارداد مسموم ترید NFT	تراکنش انتقال تلگرام یوزرنیم	یوزرنیم‌های ناشناس و شماره‌های مجازی	آنی	پیچیده (به‌دلیل لایه‌های فرگمنت Fragment)
درینر تلگرام تحت وب (PWA)	سرقت سشن تلگرام و احراز دو مرحله‌ای	دسترسی به ربات‌های رسمی ولت	متغیر	بسیار بالا (وجود لاگ در سرورهای تلگرام)

---

کالبدشکافی ماده ۷۴۱ قانون جرایم رایانه‌ای و تبعات مسدودی حساب

بسیاری از کاربران تصور می‌کنند سرقت کریپتو تنها یک زیان مالی شخصی است؛ اما در ایران سال ۲۰۲۶، این حادثه معمولاً مقدمه یک بحران قضایی پیچیده است. هکرهای حرفه‌ای مبالغ سرقت‌شده را مستقیماً به صرافی‌های متمرکز نمی‌برند، بلکه از شبکه صرافی‌های P2P و حساب‌های واسطه اجاره‌ای استفاده می‌کنند.

⚖️ ماده ۷۴۱ قانون جرایم رایانه‌ای (کلاهبرداری مرتبط با رایانه):
«هر کس به‌طور غیرمجاز از سامانه‌های رایانه‌ای یا مخابراتی با ارتکاب اعمالی از قبیل وارد کردن، تغییر، محو، ایجاد یا متوقف کردن داده‌ها یا مختل کردن سامانه، وجه یا مال یا منفعت یا خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر ردّ مال به صاحب آن، به حبس از یک تا پنج سال یا جزای نقدی یا هر دو مجازات محکوم خواهد شد.»

هنگامی که حساب بانکی یک شهروند با دستور پلیس فتا مسدود می‌شود، سامانه سیاح (سامانه یکپارچه احکام قضایی) کلیه حساب‌های بانکی متصل به کد‌ملی را قفل می‌کند. بازپرس شعبه بر اساس گزارش اولیه، صاحب حساب را به‌عنوان مظنون کلاهبرداری تلقی می‌کند، مگر آنکه متهم بی‌گناهی و قربانی بودن خود را با اسناد فنی ثابت کند.

---

تجربه میدانی کوروکس (KouroX Field Test)

تیم امنیت سایبری کوروکس برای ارزیابی دقیق نحوه رفتار درینرهای فعال شبکه TON در سال ۲۰۲۶، یک سناریوی شبیه‌سازی‌شده در محیط کنترل‌شده آزمایشگاهی پیاده‌سازی کرد.

شرح سناریوی آزمایشی:

• محیط تست: یک ماشین مجازی ایزوله با سیستم‌عامل اندروید و نسخه به‌روز اپلیکیشن تون‌کیپر.
• کیف‌پول آزمایشی: والت تازه ایجادشده با موجودی ۵۰ واحد TON و ۳۰٬۰۰۰ توکن نات‌کوین تستی.
• تارگت: مینی‌اپ جعلی تلگرامی شناسایی‌شده در کانال‌های اسکام با عنوان «Notcoin Staking V3».

[لاگ زمان‌بندی آزمایشگاه کوروکس]
00:00.000 -> کاربر کلیک روی دکمه Connect Wallet را انجام داد.
00:01.120 -> پی‌لود باینری حاوی ۲ تراکنش هم‌زمان (TON + Jetton Transfer) دریافت شد.
00:02.400 -> تراکنش توسط شبیه‌ساز تأیید شد.
00:04.510 -> تراکنش در بلاکچین TON نهایی شد (TXID: 7f8a3c...b29e).
00:04.890 -> موجودی TON به والت واسطه ۱ منتقل شد.
00:05.100 -> نات‌کوین‌ها به والت واسطه ۲ منتقل و در STON.fi سواپ شدند.

یافته‌های کلیدی آزمایش کوروکس:

۱. عدم نمایش شفاف جزئیات در والت: کیف‌پول تون‌کیپر در نسخه‌های قدیمی‌تر تنها مقدار کارمزد گس (حدود ۰.۰۰۸ تون) را به کاربر نشان می‌داد و جزئیات تراکنش درونی مخرب در متن پیام پنهان بود.
۲. سرعت بی‌سابقه اکسپلویت: کل فرایند تخلیه و نقد کردن دارایی در صرافی غیرمتمرکز، تنها ۲.۷ ثانیه پس از نهایی‌سازی بلاک طول کشید. این امر هرگونه شانس لغو دستی تراکنش را ناممکن می‌سازد.
۳. تطبیق با صرافی‌های محلی: در ردیابی آدرس مقصد مشخص شد که وجوه پس از عبور از ۳ والت واسطه، به آدرس واریز ریالی یک صرافی P2P منتقل شده است.

برای پیشگیری از این حوادث، رعایت نکات امنیتی اساسی در ابزارهای مدیریت دارایی ضروری است؛ مطالعه مقاله اقدامات امنیتی در کیف‌پول تون‌کیپر را به‌شدت توصیه می‌کنیم.

---

اقدامات اضطراری در ۴۸ ساعت اول پس از سرقت

اگر قربانی درینر تلگرام شده‌اید، هر دقیقه اهمیت حیاتی دارد. این پروتکل عملیاتی را مو به مو اجرا کنید:

گام اول: لغو فوری نشست‌ها و قطع ارتباط با اپلیکیشن‌ها

• در تلگرام به مسیر Settings > Devices بروید و روی گزینه Terminate all other sessions بزنید.
• در کیف‌پول تون‌کیپر وارد Settings > Connected Apps شوید و تمام اتصالات را بدون درنگ حذف کنید.
• اگر کلمات بازیابی را در رباتی وارد کرده‌اید، بلافاصله مابقی توکن‌ها را به آدرس جدید انتقال دهید.

گام دوم: استخراج ادله دیجیتال (Digital Forensics)

• وارد سایت‌های جستجوگر شبکه TON مانند Tonviewer یا Tonscan شوید.
• آدرس کیف‌پول خود را وارد کرده و هش تراکنش سرقت (Transaction Hash / TXID) را استخراج کنید.
• صفحه کامل تراکنش، آدرس کیف‌پول مقصد، ساعت دقیق تراکنش (به وقت UTC و تهران) را اسکرین‌شات گرفته و فایل JSON خام تراکنش را ذخیره نمایید.

گام سوم: ثبت شکایت در سامانه ثنا و دادسرای جرایم رایانه‌ای

• به یکی از دفاتر خدمات الکترونیک قضایی مراجعه کنید.
• شکواییه‌ای با موضوع «کلاهبرداری رایانه‌ای از طریق نفوذ غیرمجاز و سرقت داده‌های رمزارزی (ماده ۷۴۱ قانون جرایم رایانه‌ای)» ثبت نمایید.
• فایل‌های پرینت‌شده هش تراکنش و توضیحات فنی را ضمیمه پرونده کنید.

---

نمونه متن لایحه دفاعیه برای ارائه به بازپرسی دادسرا

در صورتی که حساب‌های بانکی شما مسدود‌شده یا به‌عنوان متهم در دادسرای جرایم رایانه‌ای احضار شده‌اید، ارائه این لایحه مستند با پیوست‌های فنی ضروری است:

📄 نمونه لایحه دفاعیه مالباخته در پرونده ماده ۷۴۱:
بسمه تعالی
ریاست محترم شعبه … دادسرای عمومی و انقلاب ناحیه ۳۱ (جرایم رایانه‌ای)
موضوع: لایحه دفاعیه در کلاسه پرونده …

با سلام و احترام،
اینجانب … پیرو مسدودی حساب‌های بانکی و اتهام انتسابی دایر بر کلاهبرداری رایانه‌ای، مراتب زیر را جهت تنویر ذهن دادگاه محترم به استحضار می‌رساند:
۱. اینجانب هیچ‌گونه سوءنیتی در فرآیند انتقال وجوه نداشته و خود قربانی حمله سایبری موسوم به «درینر قرارداد هوشمند» در بستر پیام‌رسان تلگرام شده‌ام.
۲. مطابق اسناد پیوست (شناسه تراکنش آنچین TXID به شماره ... در بلاکچین TON)، در تاریخ ... ساعت ... تمام دارایی رمزارزی اینجانب به آدرس کیف‌پول ناشناس ... منتقل شده است.
۳. واریز وجه ریالی به حساب بانکی اینجانب، ناشی از معامله یا دخالت مستقیم نبوده، بلکه سارقان سایبری با بهره‌گیری از تکنیک‌های پولشویی و شبکه‌های P2P، از حساب اینجانب به‌عنوان مسیر انحرافی سوءاستفاده کرده‌اند.
۴. با استناد به ماده ۷۴۱ قانون جرایم رایانه‌ای و فقدان رکن معنوی جرم، تقاضای استعلام ردپای IP نفوذگر از پلیس محترم فتا، رفع انسداد از حساب‌های بانکی و تغییر عنوان اینجانب از متهم به شاکی و مالباخته را استدعا دارم.
با احترام، [نام و نام خانوادگی] - [امضا و اثر انگشت]

---

پرسش‌های متداول (FAQ)

آیا کیف‌پول‌های سخت‌افزاری در برابر درینرهای تلگرام ایمن هستند؟

بله، تا حد بسیار زیادی. کیف‌پول‌های سخت‌افزاری (مانند SafePal یا Ledger) تراکنش را به‌صورت آفلاین اعتبارسنجی می‌کنند. صفحه نمایش مستقل ولت سخت‌افزاری مقصد واقعی و میزان دارایی انتقالی را نشان می‌دهد. با این حال، اگر کاربر بدون مطالعه صفحه نمایش دستگاه، تراکنش مخرب را به‌صورت دستی با فشردن دکمه فیزیکی تأیید کند، دارایی منتقل خواهد شد.

آیا امکان برگشت تراکنش در شبکه TON از طریق پشتیبانی تلگرام وجود دارد؟

خیر. بلاکچین TON یک شبکه غیرمتمرکز، توزیع‌شده و تغییرناپذیر است. تیم مدیریت تلگرام یا بنیاد TON هیچ‌گونه دسترسی فنی به دفتر کل یا کلیدهای خصوصی ندارند و تراکنش تأییدشده به هیچ عنوان قابل بازگشت نیست.

در صورت خالی شدن ولت، آیا باید کلمات بازیابی را دور انداخت؟

قطعاً بله. اگر کیف‌پول شما هدف حمله قرار گرفته، این احتمال وجود دارد که کلید خصوصی یا عبارت ۱۲/۲۴ کلمه‌ای نیز فاش شده باشد. هرگز مجدداً به آن کیف‌پول پول واریز نکنید. یک والت کاملاً جدید ایجاد نموده و کلمات بازیابی را فقط روی کاغذ فیزیکی یادداشت کنید.

تفاوت درینر با حمله داستینگ در تلگرام چیست؟

در حمله داستینگ، مقادیر بسیار اندکی از یک توکن ناشناس برای ردیابی هویت به آدرس شما واریز می‌شود. اما در حمله درینر، مهاجم با استفاده از امضای تعاملی کاربر، تمام دارایی‌های باارزش موجود در کیف‌پول را به سرقت می‌برد.

خرید و فروش امن تتر و تون‌کوین در صرافی قانونی بدون خطر فیشینگ ←

---

جمع‌بندی و نتیجه‌گیری نهایی

اکوسیستم پرشتاب شبکه TON و ادغام آن با پیام‌رسان تلگرام، همان‌قدر که فرصت‌های مالی بی‌نظیری ایجاد کرده، به میدان مین برای معامله‌گران کم‌تجربه بدل شده است. درینرهای تلگرامی با سوءاستفاده از خلاء دانش فنی و طمع دستیابی به ایردراپ‌های رایگان، سرمایه‌های کاربران را هدف می‌گیرند و پیامدهای سنگین قضایی نظیر مسدودی حساب بانکی و اتهام کلاهبرداری رایانه‌ای را بر جا می‌گذارند.

حفظ امنیت در سال ۲۰۲۶ مستلزم پایبندی به دو اصل طلایی است: «عدم اتصال کیف‌پول اصلی به مینی‌اپ‌ها» و «ثبت مستندات فنی و حقوقی در لحظات اولیه حادثه». با تفکیک دارایی‌ها، استفاده از کیف‌پول‌های مطمئن و پیگیری نظام‌مند پرونده در پلیس فتا، می‌توان خطرات ناشی از کلاهبرداری‌های سایبری در اکوسیستم تلگرام را به حداقل رساند.