هل Trust Wallet آمنة؟ كيف تلغي موافقات الرموز على TRON

هل Trust Wallet آمنة الآن؟

حتى 15 نوفمبر 2026 لم تتأكد أي ثغرة في تطبيق Trust Wallet: تقول Bitquery، التي تتبعت الموجة الأخيرة من سرقات USDT على TRON، إنها لم تجد دليلًا على ثغرة، وإن كانت لا تستطيع نفيها ^[1]. ويحصي تقريرها، بأرقام جرى التحقق منها في 12 نوفمبر، سحب ما لا يقل عن 5.42 مليون دولار من USDT من 454 محفظة على TRON بين 5 أكتوبر و11 نوفمبر ^[1].

ارتبط اسم Trust Wallet بالقصة لأن الضحايا يقولون إنهم استخدموها، ولأن أداة اختراق iPhone المرتبطة ببعض السرقات تبحث عنها، كما توضح Bitquery ^[1]. تُظهر سلسلة الكتل انتقال الأموال بين العناوين، لا الهاتف أو التطبيق وراءها، لذلك لم تستطع Bitquery مطابقة سوى سرقة واحدة مع رواية منشورة لمالك iPhone ^[1].

تشير نصيحة Trust Wallet نفسها إلى الهاتف لا إلى التطبيق. ففي منشور بتاريخ 6 نوفمبر قالت إن أداتي اختراق، Coruna وDarkSword، تستهدفان أجهزة iPhone ذات إصدارات iOS القديمة، Coruna على iOS 13.0 حتى 17.2.1 وDarkSword على iOS 18.4 حتى 18.7، وإن «الأجهزة التي تعمل بأحدث إصدار من iOS لا تتأثر بهما» ^[2]. وفي 11 نوفمبر أضافت أن مستخدمي iOS لديها لا يتأثرون بثغرة منفصلة تُدعى worse_query، وأنها لا تخزن عبارات الاسترداد أو المفاتيح الخاصة كنص عادي أبدًا ^[8].

إذن الجواب الصادق هو: لم يثبت أن التطبيق نفسه مخترق، لكن أمان أي محفظة لا يتجاوز أمان الجهاز وعبارة الاسترداد اللذين وراءها. للاطلاع على التسلسل الكامل للسرقات، راجع دليل Pouyam بعنوان Trust Wallet Hacked? How to Protect Your USDT on TRON. يتناول هذا الدليل السؤال التالي الذي يطرحه كثير من القراء: هل يحميهم إلغاء موافقات الرموز، وكيف يفعلون ذلك.

ما موافقة الرمز على TRON؟

موافقة الرمز إذن توقّعه يسمح لعقد ذكي بنقل رمز TRC-20، مثل USDT، من محفظتك حتى حد معين دون أن يسألك مجددًا ^[4][6]. من الناحية التقنية، تستدعي محفظتك approve(spender, amount) على عقد الرمز، ثم يستطيع العقد المأذون له استدعاء transferFrom لأخذ الرموز ضمن ذلك الحد ^[4].

الموافقات أمر طبيعي. تطلبها المنصات وتطبيقات المبادلة والإقراض على TRON لتتمكن من نقل رموزك عند التداول ^[5]. الخطر أن الموافقات تبقى سارية بعد مغادرتك التطبيق. تلفت Trust Wallet إلى أن معظم المستخدمين لا يدركون أن الموافقات تبقى نافذة إلى أجل غير مسمى، وأن العقد إذا «أصبح خبيثًا لاحقًا» يمكنه سحب الرموز «دون تأكيد آخر» ^[3].

تطلب تطبيقات كثيرة كمية غير محدودة لتوفر عليك الموافقة مرة أخرى لاحقًا. ويحذر مركز دعم TronLink من أن هذه الموافقات تتيح لعناوين وعقود أخرى نقل الأصول «دون إشعار مسبق»، وينصح بالتحقق من أن المنتج مفتوح المصدر ومدقق قبل منح الموافقة ^[5]. ويصف TRON Guide الموافقة غير المحدودة بأنها التي يُضبط فيها الحد على أقصى قيمة ممكنة، ويعدّ هذه الموافقات أكبر سطح للهجوم على TRON ^[6].

كما أن كل موافقة مرتبطة برمز واحد. فإلغاء موافقة USDT لتطبيق ما لا يلغي موافقة منحتها للتطبيق نفسه على رمز آخر، لذا تُفحص كل واحدة وتُلغى على حدة ^[10].

هل تسببت موافقات الرموز في سرقات USDT على TRON؟

لا يشير أي دليل إلى ذلك: تقول Bitquery إن لصوص الموجة الأخيرة على TRON كانوا يملكون مفاتيح المحافظ مسبقًا، وهذا يختلف عن موقع سحب يخدعك لتوقيع التنازل عن رموزك ^[1]. وهذا الفرق هو ما يحدد ما يحميك.

تصف Bitquery النمط الذي استخدمته للعثور على الضحايا. كانت محفظة رسوم، أو جامع مولته، ترسل إلى عنوان الضحية بضع وحدات TRX لدفع رسوم الشبكة؛ وبعد ثوانٍ يخرج رصيد USDT كاملًا في دفعة واحدة، ثم يذهب ما تبقى من TRX أيضًا ^[1]. في حالة واحدة يوم 25 أكتوبر وصلت 18 وحدة TRX وخرجت 519,093 USDT بعد 18 ثانية ^[1]. وترى Bitquery أن هذا التسلسل من عمل شخص كان يملك المفتاح الخاص أو عبارة الاسترداد مسبقًا ^[1]. وتلفت Coindaro، في تغطيتها لنتائج Bitquery الأولى، إلى أن Bitquery لم تحتسب محفظة ضحية إلا إذا أفرغت دفعة واحدة كل ما فيها من USDT، وهو «نمط السحب على يد شخص يملك المفتاح الخاص» ^[7].

تبدو سرقة الموافقات مختلفة: يسحب عقد المهاجم الرموز عبر transferFrom ويدفع رسومه بنفسه، فلا تحتاج محفظة الضحية إلى TRX ^[4]. ويقول تقرير Bitquery بوضوح: «هنا، اللص يملك المفاتيح أصلًا» ^[1].

وتبين Bitquery أيضًا لماذا يهم ذلك. أُفرغت محفظة واحدة مرتين: خسرت 19,069 USDT في 26 أكتوبر، ثم بعد وصول أموال جديدة خسرت 4,140 USDT أخرى في 10 نوفمبر ^[1]. ويقول التقرير إن «المحفظة المسحوبة تبقى مفتوحة أمام اللصوص طالما بقيت عبارة استردادها» قيد الاستخدام ^[1]. لم يكن إلغاء الموافقات ليغلق هذا الباب. يبقى الإلغاء ممارسة سليمة، وقائمة الأمان الخاصة بـ Trust Wallet تتضمن إلغاء الموافقات غير المألوفة ^[9]، لكنه خطوة ثانية لا علاج لمفتاح مسروق.

كيف ألغي موافقات الرموز في Trust Wallet؟

افتح أحدث إصدار من Trust Wallet، واختر تبويب Approvals في قسم الأصول، وراجع القائمة، ثم اضغط Revoke بجانب أي تطبيق لم تعد تثق به ^[3]. تقول Trust Wallet إن الميزة تسجل الموافقات عند منحها، وتعرض الرموز التي يمكن لكل تطبيق الوصول إليها ومقدارها، وتنبه إلى العقود المرتبطة بعمليات احتيال معروفة، وتزيل الموافقة من سلسلة الكتل عند إلغائها ^[3].

1. حدّث Trust Wallet أولًا من App Store أو Google Play؛ تحدد خطوات Trust Wallet أحدث إصدار ^[3].
2. في الشاشة الرئيسية افتح تبويب Approvals في قسم الأصول ^[3].
3. افحص كل عنصر: الرمز، والتطبيق أو العقد، والحد المسموح. أولِ أكبر اهتمام لـ USDT وللموافقات غير المحدودة.
4. اضغط Revoke لكل ما لا تعرفه أو لم تعد تستخدمه أو تصنفه المحفظة خطرًا، ثم أكد المعاملة ^[3].
5. احتفظ بقليل من TRX في المحفظة: على TRON يُعد الإلغاء معاملة تستهلك bandwidth وEnergy ^[4].

هناك حد واحد: إعلان Trust Wallet لا يذكر سلاسل الكتل التي يغطيها تبويب Approvals ^[3][10]. إذا لم تظهر موافقات TRON لديك هناك، أو أردت رأيًا ثانيًا، فاستخدم TronScan الذي يعرض كل موافقة منحها العنوان، كما يوضح القسم التالي ^[4][6].

الإلغاء يعمل على الموافقات فقط. لا يمكنه عكس تحويل تم بالفعل، ولا حماية محفظة يعرف شخص آخر عبارة استردادها ^[10].

كيف ألغي موافقات TRC-20 على TronScan؟

ابحث عن عنوانك على TRON في TronScan، وافتح قائمة الموافقات في صفحة الحساب، ثم ألغِ كل موافقة غير مرغوبة ووقّع المعاملة في محفظتك؛ فيصبح الحد المسموح صفرًا ^[4][6]. أضاف TronScan ميزة الإلغاء هذه في 14 مايو 2021، ويعرض أيضًا سجل تغييرات الموافقات ^[4].

1. اكتب tronscan.org في المتصفح بنفسك؛ لا تتبع رابطًا من محادثة أو إعلان ^[10].
2. الصق عنوانك الذي يبدأ بحرف T في شريط البحث ^[6].
3. في صفحة الحساب افتح تبويب الموافقات، واسمه Approval أو List of Approval بحسب التصميم ^[4][6].
4. انظر في كل عنصر إلى الرمز والعقد الذي حصل على الموافقة والمقدار. أعطِ الأولوية للعقود المجهولة أو غير الموثقة وللموافقات غير المحدودة؛ وينصح TRON Guide بإلغاء أي عقد لا تستطيع تحديد هويته بثقة ^[6].
5. اضغط Cancel أو Revoke في الصف وصِل محفظة متوافقة، مثل TronLink، لذلك العنوان ^[6].
6. اقرأ شاشة التوقيع: يجب أن تستدعي approve على عقد الرمز بمقدار 0. إذا طلبت أي شيء آخر فتوقف ^[10].
7. حدّث القائمة بعد التأكيد؛ على TRON يستغرق ذلك عادة بضع ثوانٍ ^[6].

يمكن لمستخدمي TronLink فعل الشيء نفسه داخل المحفظة: يشير مركز دعم TronLink إلى Wallet Management ثم Approval Management لعرض الموافقات أو إلغائها ^[5]. كل إلغاء، وأي موافقة لاحقة، يستهلك bandwidth وEnergy؛ وإن لم يكن لديك Energy خاص بك، تحرق الشبكة TRX لدفع ثمنه ^[4].

ما موافقات الرموز التي يجب أن ألغيها؟

ألغِ أي موافقة لا تستطيع تفسيرها، وأي موافقة غير محدودة لتطبيق توقفت عن استخدامه، وكل ما مُنح لموقع إسقاط جوي أو «تحقق» أو تأجير Energy ^[6][10]. احتفظ فقط بموافقات الخدمات التي تستخدمها وتثق بها، وامنح الموافقة من جديد إن عدت إلى إحداها.

يلخص الجدول أدناه الحالات الشائعة. والاختبار بسيط: إن لم تستطع تحديد هوية عنوان مأذون له، فلا ينبغي أن يتمكن من إنفاق USDT الخاص بك ^[10].

احذر الرموز المقلدة. الموافقات على «USDT» مزيف ليس عقد Tether الحقيقي لا تستطيع المساس بـ USDT الحقيقي لديك ^[10]. عقد USDT الحقيقي على TRON هو TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t؛ تحقق من هذا العنوان في صفحة الرمز على TronScan قبل أي إجراء.

وجدت Bitquery حيلة ذات صلة في بيانات السرقة: أكثر من نصف العناوين التي دفعت لأحد الجامعين كانت روبوتات ترسل مبالغ ضئيلة ورموزًا مزيفة من عناوين متشابهة، وهي طريقة تسمى تسميم العناوين، أملًا في أن ينسخ أحدهم العنوان الخطأ لاحقًا ^[1]. انسخ عنوان الوجهة دائمًا من مصدر موثوق، لا من سجل معاملاتك أبدًا.

ماذا أفعل إذا كانت عبارة الاسترداد قد انكشفت؟

اعتبر المحفظة مخترقة: أنشئ محفظة جديدة بعبارة استرداد جديدة على جهاز محدّث ونظيف، وانقل ما تبقى، وتوقف عن استخدام القديمة ^[1][10]. تقول Bitquery إن من يملك عبارة الاسترداد يملك المال، ولا يحتاج إلى كلمة مرور ولا إلى الوصول إلى الهاتف ^[1].

1. حدّث الهاتف أولًا. تطلب Trust Wallet من مستخدمي iPhone تثبيت أحدث إصدار متاح من iOS لأجهزتهم، وتشغيل Lockdown Mode إذا تعذر التحديث فورًا ^[2].
2. أنشئ المحفظة الجديدة واكتب عبارة الاسترداد الجديدة على الورق. لا تحفظها في الصور أو لقطات الشاشة أو الملاحظات، التي تبحث فيها أداتا Coruna وDarkSword، كما تقول Trust Wallet ^[2].
3. أرسل مبلغًا تجريبيًا صغيرًا إلى العنوان الجديد، ثم انقل الباقي. احتفظ بما يكفي من TRX للرسوم.
4. اترك المحفظة القديمة فارغة. إذا وصلتها أموال جديدة يمكن للصوص أخذها مجددًا، كما حدث لمحفظة تتبعتها Bitquery ^[1].
5. إذا بدا شيء غير طبيعي، فتواصل مع دعم Trust Wallet مع عنوان المحفظة ورمز المعاملة؛ وتقول Trust Wallet إنها لن تطلب عبارة استردادك أبدًا ولن تراسلك أولًا ^[2].

فكّر في محفظة عتادية للأرصدة الكبيرة، تشتريها مباشرة من الشركة المصنعة. إذا سُرقت أموال بالفعل، فأبلغ Tether وأي منصة وصلت إليها الأموال بسرعة، لأن Bitquery تشير إلى أن تجميد USDT ممكن فقط قبل أن ينتقل مجددًا ^[1]. تجاهل كل من يعرض خدمات استرداد مدفوعة. هذا إرشاد أمني عام وليس نصيحة مالية.

كيف أكتشف أداة مزيفة لفحص الموافقات؟

استخدم TronScan أو TronLink أو تبويب Approvals في محفظتك فقط، واكتب العنوان بنفسك، لأن مواقع «فحص الموافقات» المزيفة حيلة تصيد معروفة يوقّع فيها زر Revoke موافقة جديدة ^[10]. الإلغاء الحقيقي يجعل المقدار صفرًا دائمًا.

• لا تطلب أي أداة إلغاء حقيقية عبارة استردادك أو مفتاحك الخاص أبدًا. لا تلصقهما أبدًا في أي موقع «إلغاء الكل».
• قبل التوقيع اقرأ الدالة والمقدار: approve بقيمة 0 إلغاء؛ أما approve برقم كبير أو تحويل أو تغيير صلاحيات فليس إلغاءً ^[10].
• كن حذرًا من مواقع تأجير «Energy الرخيصة» والإسقاط الجوي: تقول TronTransfer إن بعضها يطلب منك تفويض تأجير يكون توقيعه في الحقيقة موافقة غير محدودة على USDT ^[10].
• افحص صلاحيات الحساب على TronScan أيضًا: بعض عمليات الاحتيال على TRON تغيّر من يتحكم في العنوان، وإلغاء الموافقات لا يعكس ذلك ^[10].
• تجاهل الرسائل المباشرة من أي شخص يدعي أنه دعم Trust Wallet؛ تقول Trust Wallet إنها لا تراسل أولًا أبدًا ^[2].

إذا خسرت أموالًا لصالح دعم مزيف أو خدمة استرداد، فأبلغ الشرطة أو وحدة الجرائم الإلكترونية في بلدك واحتفظ بنسخة من البلاغ. وللسياق الأوسع لأمان iPhone، راجع دليل What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer الذي يشرح لماذا صار أمان الهاتف يحمي أكثر من حساب واحد.