کیفپول هک شد یا کلمات بازیابی لو رفت؛ اقدامات حیاتی در ۱۰ دقیقه اول
چک‌لیست واکنش سریع در ۱۰ دقیقه اول پس از هک کیفپول؛ مقابله با Sweeper Bot، لغو مجوزهای دسترسی با Revoke و نجات دارایی‌های باقیمانده.
تصور کنید در حال بررسی موجودی خود هستید و ناگهان متوجه انتقال بدون اجازه توکن‌هایتان می‌شوید، یا در بدترین سناریو، متوجه می‌شوید که عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای (Seed Phrase) شما به هر دلیلی در یک سایت فیشینگ وارد شده یا توسط بدافزارها به سرقت رفته است. در این لحظه، ضربان قلب بالا می‌رود و ترس فلج‌کننده حاکم می‌شود. اما در دنیای بلاکچین، ثانیه‌ها سرنوشت دارایی شما را تعیین می‌کنند. شما دقیقاً ۱۰ دقیقه فرصت دارید تا پیش از آنکه ربات‌های خودکار هکرها (Sweeper Bots) تمام دارایی‌های باقیمانده، استیک‌شده یا توکن‌های نقدینگی (LP) شما را تخلیه کنند، وارد عمل شوید.
این مقاله یک راهنمای تئوریک نیست؛ این یک پروتکل عملیاتی و اضطراری است که توسط تیم امنیتی کوروکس برای نجات دارایی‌های شما در شرایط بحرانی تدوین شده است. آرامش خود را حفظ کنید، این صفحه را نبندید و گام‌به‌گام با ما پیش بروید.
- اولین قدم، تشخیص نوع نفوذ است؛ لو رفتن کلید خصوصی (Seed Phrase) نیازمند انتقال فوری دارایی‌هاست، در حالی که امضای قرارداد مخرب با لغو مجوز (Revoke) حل می‌شود.
- در صورت فعال بودن ربات‌های اسویپر (Sweeper Bots)، هرگز به‌صورت دستی گاز فی (Gas) واریز نکنید؛ زیرا بلافاصله سرقت می‌شود. باید از تراکنش‌های باندل‌شده (Flashbots) استفاده کنید.
- امن‌ترین و سریع‌ترین مقصد برای انتقال دارایی‌های نجات‌یافته، یک کیفپول سختافزاری آفلاین و کاملاً جدید است.
جدول ارزیابی سناریوهای نفوذ و سرعت واکنش مورد نیاز
پیش از هر اقدامی، باید بدانید دقیقاً با چه نوع هکی مواجه هستید تا ابزار و استراتژی مناسب را انتخاب کنید. جدول زیر راهنمای سریع شماست:
| سناریوی نفوذ | سطح ریسک | سرعت واکنش مورد نیاز | ابزار کلیدی نجات | اقدام اولویت‌دار فوری |
|---|---|---|---|---|
| لو رفتن عبارت بازیابی (Seed Phrase) | بحرانی (Critical) | زیر ۵ دقیقه | کیفپول جدید + Flashbots | انتقال فوری کل موجودی به آدرس امن جدید |
| امضای تراکنش مخرب (Unlimited Allowance) | بالا (High) | زیر ۱۰ دقیقه | Revoke.cash / Rabby Wallet | لغو فوری مجوز دسترسی توکن آسیب‌دیده |
| هک شدن سیستم یا گوشی (بدافزار) | بسیار بالا (Very High) | زیر ۱۵ دقیقه | دستگاه پاک ثانویه + والت سختافزاری | خاموش کردن اینترنت دستگاه آلوده و بازیابی در دستگاه امن |
| نشت کلید خصوصی تک‌آدرس (Private Key) | بحرانی (Critical) | زیر ۵ دقیقه | ربات‌های انتقال سریع (MEV) | تخلیه دارایی‌های شبکه مربوطه به آدرس جدید |
آناتومی حمله: در ثانیه‌های اول چه اتفاقی رخ می‌دهد؟
هنگامی که یک هکر به عبارت بازیابی شما دسترسی پیدا می‌کند، معمولاً به‌صورت دستی اقدام به تخلیه نمی‌کند. هکرهای حرفه‌ای از ربات‌های اسویپر (Sweeper Bots) استفاده می‌کنند. این ربات‌ها به‌صورت ۲۴ ساعته مم‌پول (Mempool) شبکه‌های مختلف را رصد می‌کنند.
به‌محض اینکه شما یا هر شخص دیگری کوینی (مانند ETH، BNB یا MATIC) را برای پرداخت کارمزد انتقال (Gas Fee) به کیفپول هک‌شده واریز کنید، ربات اسویپر در کسری از ثانیه آن را شناسایی کرده و تراکنشی با کارمزد بالاتر (Gas Price بیشتر) ارسال می‌کند تا کارمزد واریز شده را به آدرس هکر منتقل کند یا توکن‌های باارزش شما را تخلیه کند. اینجاست که انتقال دستی داراییها عملاً غیرممکن می‌شود.
تفاوت کلیدی: هک کلید خصوصی در مقابل امضای قرارداد مخرب
بسیاری از کاربران این دو مفهوم را اشتباه می‌گیرند و اقدامات نادرستی انجام می‌دهند:
- امضای قرارداد مخرب (Malicious Smart Contract Approval): در این حالت، کلید خصوصی شما امن است. شما فقط به یک سایت یا پروژه اجازه داده‌اید تا سقف نامحدودی از یک توکن خاص (مثلاً USDT) را از کیفپول شما برداشت کند. هکر نمی‌تواند کوین‌های بومی (مانند ETH یا BNB) شما را سرقت کند یا توکن‌های دیگر را بردارد. راهکار این سناریو، انتقال دارایی نیست، بلکه استفاده از ابزارهای لغو دسترسی است. برای درک بهتر نحوه تعامل با قراردادها، راهنمای بررسی امنیتی قراردادها را مطالعه کنید.
- لو رفتن عبارت بازیابی (Seed Phrase Compromise): هکر مالک تام‌الاختیار کیفپول شماست. او میتواند تمام توکن‌ها را در تمامی شبکه‌ها جابه‌جا کند. در این سناریو، لغو مجوزها هیچ کمکی نمی‌کند؛ زیرا هکر میتواند مستقیماً تراکنش انتقال را امضا کند. تنها راهکار، مهاجرت کامل به یک آدرس جدید است.
ورود با آی‌پی ایران یا فیلترشکن‌های رایگان با نشت DNS به حساب کیف‌پول‌های نرم‌افزاری متصل به اینترنت (Hot Wallets) موجب فعال‌سازی سامانه‌های کنترل ریسک و فریز موجودی می‌شود. در صورت بروز این وضعیت، درخواست احراز هویت با مدارک هویتی غیرایرانی اجباری خواهد بود.
تجربه میدانی کوروکس (KouroX Field Test)
تیم امنیتی کوروکس یک سناریوی واقعی را شبیه‌سازی کرد: یک کیفپول نرم‌افزاری با موجودی ۵، ۰۰۰ تتر (USDT) روی شبکه بایننس اسمارت چین (BSC) که عبارت بازیابی آن لو رفته و تحت نظارت یک ربات اسویپر فعال قرار گرفته بود.
تلاش‌های اولیه ما برای واریز دستی BNB جهت پرداخت کارمزد و انتقال تترها با شکست مواجه شد؛ زیرا ربات در کمتر از ۳ ثانیه، BNB واریز شده را تخلیه می‌کرد.
راهکار موفقیت‌آمیز ما: ما از یک سرویس تراکنش خصوصی (Private RPC) و ابزار باندلینگ استفاده کردیم. ما تراکنش واریز BNB و تراکنش انتقال تتر به آدرس جدید را در قالب یک «باندل تراکنش» به ولیدیتورهای شبکه ارسال کردیم. از آنجا که این تراکنش‌ها وارد مم‌پول عمومی نشدند، ربات اسویپر قادر به دیدن و پیش‌دستی (Frontrunning) آن‌ها نشد و موفق شدیم ۸۵ درصد از دارایی‌های تحت ریسک را نجات دهیم.
۱۰ دقیقه طلایی: راهنمای گام‌به‌گام نجات داراییها
اگر همین حالا متوجه هک شده‌اید، بدون فوت وقت مراحل زیر را به ترتیب اجرا کنید:
گام ۱: قرنطینه و قطع دسترسی (دقیقه ۱ تا ۲)
اگر مشکوک هستید که هک از طریق بدافزار روی کامپیوتر یا گوشی شما رخ داده است:
- اینترنت دستگاه آلوده را فوراً قطع کنید (وای‌فای را خاموش کرده و سیم‌کارت را خارج کنید).
- یک دستگاه کاملاً پاک (گوشی دیگر یا سیستم عامل لایو لینوکس) را برای مراحل بعدی آماده کنید.
- هرگز کیفپول جدید خود را روی دستگاهی که احتمال می‌دهید آلوده است، نسازید.
گام ۲: بررسی وضعیت مجوزها (دقیقه ۲ تا ۴)
اگر هکر هنوز دارایی‌های شما را لمس نکرده اما تراکنش‌های مشکوکی می‌بینید، احتمالاً مشکل از مجوز قراردادهای هوشمند است.
- به سایت Revoke.cash یا بخش Approvals در مرورگرهای بلاکچینی (مانند Etherscan یا BscScan) مراجعه کنید.
- کیفپول خود را متصل کنید.
- تمام دسترسی‌های نامحدود (Unlimited Allowances) به خصوص آن‌هایی که مربوط به پلتفرم‌های ناشناخته هستند را لغو (Revoke) کنید.
گام ۳: ایجاد آدرس مقصد امن (دقیقه ۴ تا ۶)
شما به یک پناهگاه امن برای دارایی‌های نجات‌یافته نیاز دارید.
- یک کیفپول کاملاً جدید روی یک دستگاه امن ایجاد کنید.
- بهترین گزینه، استفاده از کیف‌پول‌های سختافزاری آفلاین است که کلیدهای خصوصی را به‌صورت کاملاً ایزوله و بدون اتصال به اینترنت نگهداری می‌کنند. برندهایی مانند سیفپال (SafePal) به‌دلیل امنیت بالا و قیمت مناسب، گزینه‌ای ایده‌آل برای این شرایط اضطراری هستند.
۱۰۰٪ آفلاین و بدون ثبت نام؛ تولید کلید تصادفی با ژنراتور آنالوگ.
گام ۴: انتقال داراییها بر اساس اولویت ارزش (دقیقه ۶ تا ۸)
اگر ربات اسویپر فعال نیست، داراییها را به ترتیب ارزش انتقال دهید:
- ابتدا توکن‌های با نقدینگی بالا و ارزش دلاری بیشتر (مانند BTC, ETH, USDT, USDC).
- سپس توکن‌های فرعی و NFTها.
- در نهایت، در صورت امکان، دارایی‌های استیک‌شده را غیرفعال (Unstake) کرده و منتقل کنید (توجه داشته باشید که دوره Unbonding ممکن است چند روز طول بکشد و در این مدت هکر نیز میتواند آن‌ها را رصد کند).
گام ۵: مقابله با ربات اسویپر در صورت فعال بودن (دقیقه ۸ تا ۱۰)
اگر متوجه شدید که به‌محض واریز کوین بومی، پول شما سرقت می‌شود:
- از کیف‌پول‌های پیشرفته مانند Rabby Wallet استفاده کنید که دارای شبیه‌ساز تراکنش و امکان ارسال تراکنش‌های خصوصی از طریق Flashbots هستند.
- از ابزارهای تخصصی مانند Flashbots Protect RPC در شبکه اتریوم استفاده کنید تا تراکنش شما مستقیماً به ولیدیتورها ارسال شود و از دید ربات‌های اسویپر پنهان بماند.
راهنمای اورژانسی برای جلوگیری از توقیف دارایی و مسدودی کد ملی
- مراجعه سریع به شعبه بانک: علت مسدودی، شماره نامه قضایی / کلاسه پرونده و نام دادسرای صادرکننده دستور را کتباً دریافت کنید.
- استخراج و ذخیره هش بلاکچین (TXID): اسکرین‌شات از چت معامله P2P، هش تراکنش شبکه (TXID) و رسید واریزی را جمع‌آوری و چاپ نمایید.
- پرهیز از استرداد خودسرانه وجه: تا قبل از حضور در شعبه دادیاری و تنظیم صورت‌جلسه رسمی، هرگز پول را به حساب شخص شاکی واریز نکنید.
اقدامات پس از بحران: چگونه امنیت خود را بازسازی کنیم؟
پس از عبور از ۱۰ دقیقه اول و نجات دارایی‌های ممکن، نوبت به پاکسازی و جلوگیری از تکرار حادثه می‌رسد:
- فرمت و بازنشانی کارخانهای (Factory Reset): تمام دستگاه‌هایی را که کیفپول هک‌شده روی آن‌ها نصب بود، کاملاً فرمت کنید. بدافزارهای مدرن (مانند RedLine Stealer) می‌توانند به راحتی اطلاعات مرورگر و کلیدهای خصوصی شما را استخراج کنند.
- تغییر تمامی رمزهای عبور: هکرها معمولاً پس از دسترسی به سیستم، به سراغ ایمیل‌ها، اکانت‌های صرافی‌های متمرکز و شبکه‌های اجتماعی می‌روند. رمزعبور تمام حساب‌های حساس خود را تغییر داده و تأیید دو مرحله‌ای (2FA) مبتنی بر اپلیکیشن (مانند Google Authenticator) را فعال کنید.
- مهاجرت دائمی به کیفپول سختافزاری: دیگر هرگز مبالغ بالا را در کیف‌پول‌های نرم‌افزاری (Hot Wallets) نگهداری نکنید. یک بار برای همیشه با تهیه یک کیفپول سختافزاری مانند SafePal S1، امنیت دارایی‌های خود را تضمین کنید.
سؤالات متداول (FAQ)
اگر ربات اسویپر (Sweeper Bot) روی کیفپول فعال باشد، چگونه گاز فی (Gas Fee) واریز کنیم؟
در صورت فعال بودن ربات اسویپر، هرگونه واریز کوین بومی (مانند ETH یا BNB) برای کارمزد تراکنش بلافاصله از سوی ربات سرقت می‌شود. راهکار تخصصی، استفاده از تراکنش‌های باندل‌شده (Bundle) از طریق Flashbots (در شبکه اتریوم) یا استفاده از ابزارهایی مانند Taichi Network است که تراکنش واریز گاز و انتقال توکن را در یک بلاک و بدون ورود به مم‌پول عمومی اجرا می‌کنند.
تفاوت بین لغو مجوز (Revoke) و انتقال دارایی چیست و کدام اولویت دارد؟
اگر فقط یک قرارداد هوشمند مخرب را امضا کرده باشید (Approve)، کلید خصوصی شما امن است و فقط باید مجوز آن توکن خاص را از طریق Revoke.cash لغو کنید. اما اگر عبارت بازیابی (Seed Phrase) لو رفته باشد، لغو مجوز بی‌فایده است؛ زیرا هکر کنترل کامل کیفپول را دارد و باید فوراً تمام داراییها را به یک آدرس کاملاً جدید منتقل کنید.
آیا هک شدن یک حساب در کیفپول سیفپال یا متامسک به معنای هک شدن کل گوشی است؟
لزوماً خیر. هک میتواند ناشی از فیشینگ، تأیید قرارداد مخرب یا یادداشت کردن کلمات در نوتبوک گوشی باشد. با این حال، برای امنیت کامل، فرض را بر آلوده بودن دستگاه بگذارید. داراییها را با یک دستگاه پاک و امن دیگر منتقل کنید و سپس گوشی قبلی را بازنشانی کارخانهای (Factory Reset) نمایید.
چگونه میتوان از امنیت آدرس جدید مطمئن شد تا دوباره هک نشویم؟
آدرس جدید باید روی یک دستگاه کاملاً پاک یا ترجیحاً یک کیفپول سختافزاری آفلاین مانند سیفپال S1 ایجاد شود. هرگز کلمات بازیابی را در فایلهای متنی، ایمیل یا پیامرسانها ذخیره نکنید و از اتصال کیفپول جدید به سایتهای ناشناخته خودداری کنید.
جمع‌بندی و توصیه نهایی کوروکس
هک شدن کیفپول یک تجربه تلخ و استرس‌زا است، اما واکنش سریع، منطقی و بدون احساسات میتواند مرز بین از دست رفتن کل دارایی یا نجات بخش عمده‌ای از آن باشد. در حوزه کریپتو، امنیت یک محصول نیست، بلکه یک فرآیند مستمر است.
اشتباهات گذشته را به‌عنوان یک درس گران‌بها بپذیرید و از همین امروز با انتقال دارایی‌های خود به کیف‌پول‌های سختافزاری آفلاین، دیواری نفوذناپذیر در برابر هکرها بسازید. تیم امنیتی کوروکس همواره در کنار شماست تا با ارائه راهکارهای نوین، تجربه‌ای امن و آرام در بازار ارزهای دیجیتال داشته باشید.
پرسش‌های متداول کاربران
اگر ربات اسویپر (Sweeper Bot) روی کیفپول فعال باشد، چگونه گاز فی (Gas Fee) واریز کنیم؟
در صورت فعال بودن ربات اسویپر، هرگونه واریز کوین بومی (مانند ETH یا BNB) برای کارمزد تراکنش بلافاصله از سوی ربات سرقت می‌شود. راهکار تخصصی، استفاده از تراکنش‌های باندل‌شده (Bundle) از طریق Flashbots (در شبکه اتریوم) یا استفاده از ابزارهایی مانند Taichi Network است که تراکنش واریز گاز و انتقال توکن را در یک بلاک و بدون ورود به مم‌پول عمومی اجرا می‌کنند.
تفاوت بین لغو مجوز (Revoke) و انتقال دارایی چیست و کدام اولویت دارد؟
اگر فقط یک قرارداد هوشمند مخرب را امضا کرده باشید (Approve)، کلید خصوصی شما امن است و فقط باید مجوز آن توکن خاص را از طریق Revoke.cash لغو کنید. اما اگر عبارت بازیابی (Seed Phrase) لو رفته باشد، لغو مجوز بی‌فایده است؛ زیرا هکر کنترل کامل کیفپول را دارد و باید فوراً تمام داراییها را به یک آدرس کاملاً جدید منتقل کنید.
آیا هک شدن یک حساب در کیفپول سیفپال یا متامسک به معنای هک شدن کل گوشی است؟
لزوماً خیر. هک میتواند ناشی از فیشینگ، تأیید قرارداد مخرب یا یادداشت کردن کلمات در نوتبوک گوشی باشد. با این حال، برای امنیت کامل، فرض را بر آلوده بودن دستگاه بگذارید. داراییها را با یک دستگاه پاک و امن دیگر منتقل کنید و سپس گوشی قبلی را بازنشانی کارخانهای (Factory Reset) نمایید.
چگونه میتوان از امنیت آدرس جدید مطمئن شد تا دوباره هک نشویم؟
آدرس جدید باید روی یک دستگاه کاملاً پاک یا ترجیحاً یک کیفپول سختافزاری آفلاین مانند سیفپال S1 ایجاد شود. هرگز کلمات بازیابی را در فایلهای متنی، ایمیل یا پیامرسانها ذخیره نکنید و از اتصال کیفپول جدید به سایتهای ناشناخته خودداری کنید.
منابع و اسناد استنادی (Primary Sources & Regulatory References)
مطالب و تحلیل‌های این راهنما با استناد مستقیم به اسناد فنی، قوانین رسمی و مفاد مراجع زیر تدوین شده‌اند:
- Bitcoin BIP-39 & BIP-44 Derivation Path Standardاستاندارد رمزارز مشاهده منبع ↗
- SafePal Official Hardware Architecture & Air-Gapped Verificationمستندات سخت‌افزار مشاهده منبع ↗
- Ledger Donjon Security Research Lab & Vulnerability Reportsآزمایشگاه امنیت مشاهده منبع ↗
این راهنما بر اساس استانداردهای دقیق پژوهشی، تحلیل داده‌های روی‌زنجیره (On-chain) و رصد تغییرات قوانین سایبری توسط تیم پژوهش KouroX تهیه و اعتبارسنجی شده است. کلیه ارزیابی‌ها فاقد جانبداری تجاری بوده و به‌صورت دوره‌ای بازبینی می‌شوند.