امنیت Trust Wallet: آیا هک شده؟ حفاظت از USDT در TRON

آیا Trust Wallet هک شده است؟

تا ۱۳ نوامبر ۲۰۲۶ هیچ هک Trust Wallet تأیید نشده است، اما کیف‌پول‌هایی تخلیه شده‌اند و علت دقیق ثابت نشده است ^[1]. شرکت تحلیل داده‌های روی زنجیره Bitquery سرقت‌ها را در شبکهٔ TRON دنبال کرد و گفت شواهدی از نقص در برنامهٔ Trust Wallet نیافته و نتیجه گرفت: «نمی‌توانیم بگوییم Trust Wallet هک شده است» ^[1].

دلیلش این است که بلاک‌چین حرکت پول میان نشانی‌ها را ثبت می‌کند، نه گوشی یا برنامه‌ای که پشت آن‌هاست. Bitquery فقط یک سرقت را به یک iPhone مرتبط کرد، چون آن قربانی جزئیاتش را منتشر کرده بود؛ برای بقیه نمی‌تواند بگوید کدام گوشی یا هک عبارت بازیابی را فاش کرده است ^[1]. گزارش آن همچنین می‌گوید نقص در Trust Wallet را نه می‌توان تأیید کرد نه رد ^[1].

Trust Wallet دربارهٔ یک تهدید مرتبط سخن گفته است. در ۱۱ نوامبر نوشت «کاربران iOS در Trust Wallet از بهره‌برداری worse_query تأثیر نمی‌پذیرند» و هرگز عبارت‌های بازیابی یا کلیدهای خصوصی را به‌صورت متن ساده ذخیره نمی‌کند و هر کیف پول را رمزگذاری‌شده روی دستگاه نگه می‌دارد ^[2]. Bitquery می‌گوید تا ۱۲ نوامبر هیچ اظهاری از Trust Wallet دربارهٔ سرقت‌های TRON نیافته است ^[1]. هر دو گفته می‌توانند درست باشند: یکی دربارهٔ یک بهره‌برداری مشخص در iOS است و دیگری دربارهٔ موج گسترده‌تر تخلیه‌ها.

این راهنما گام‌های امنیتی می‌دهد، نه توصیهٔ سرمایه‌گذاری.

چه مقدار USDT از کیف‌پول‌های TRON سرقت شده است؟

Bitquery دست‌کم ۵٫۴۲ میلیون دلار USDT را شمرد که میان ۵ اکتبر و ۱۱ نوامبر ۲۰۲۶ از ۴۵۴ کیف پول TRON برداشت شده است؛ ارقام در ۱۲ نوامبر راستی‌آزمایی شده‌اند ^[1]. ارقام زیر از همین یک بررسی روی زنجیره می‌آیند و به همین دلیل «دست‌کم» ذکر شده‌اند: ممکن است قربانیان بیشتری هنوز مرتبط نشده باشند.

• ۱٫۳۱ میلیون دلار در شش روز پس از نخستین گزارش Bitquery در ۵ نوامبر از ۷۸ کیف پول دیگر برداشت شد؛ پس سرقت‌ها پس از گزارش ادامه یافت ^[1].
• کیف پولی که از ۲۰۲۱ دست‌نخورده مانده بود در ۷ نوامبر ۶۰۱,۷۵۲ USDT از دست داد، دومین زیان تکی بزرگ در گزارش؛ بزرگ‌ترین حدود ۶۹۳ هزار دلار در ۲۵ اکتبر بود ^[1].
• همین سارقان ۶۵ کیف پول دیگر را روی هشت زنجیرهٔ دیگر، از Ethereum و BNB Chain تا Solana، دست‌کم به ارزش ۱۰۳ هزار دلار خالی کردند ^[1].
• ۴۵٪ از کیف‌پول‌های تخلیه‌شده بیش از یک سال در استفاده بودند، یعنی پیش از سرقت بیش از یک سال پول نگه می‌داشتند ^[1].
• یک کیف پول کارمزد، کارمزد شبکه را پرداخت و ۵۵ نشانی جمع‌کنندهٔ کوتاه‌عمر پول را دریافت کردند ^[1].

الگو در TRON ثابت بود: مقدار کمی TRX برای پرداخت کارمزد می‌رسد، سپس ثانیه‌ای بعد کل موجودی USDT به یک نشانی جمع‌کننده می‌رود ^[1]. در یک مورد در ۱۵ اکتبر که Bitquery آن را با روایت منتشرشدهٔ یک قربانی تطبیق داد، ۱۶,۴۲۸ USDT خارج شد و آخرین TRX ۱۲ ثانیه بعد دنبالش رفت ^[1].

کیف‌پول‌های رمزارز در iPhone چگونه تخلیه می‌شوند؟

توضیح کاری Bitquery بدافزاری است که iPhone را در اختیار می‌گیرد و عبارت‌های بازیابی کیف پول را می‌دزدد، اما فقط توانست یک سرقت را به یک iPhone مرتبط کند و نمی‌تواند علت را ثابت کند ^[1]. Bitquery به گزارشی استناد می‌کند که در آن قربانی در Safari ویدیویی باز کرد، روی تبلیغی ضربه زد و به صفحه‌ای دیگر هدایت شد؛ گزارش به یک ابزار هک مانند DarkSword مشکوک بود که می‌تواند از راه یک صفحهٔ وب iPhone را در اختیار بگیرد ^[1].

Apple پیش‌تر وصله‌ها را منتشر کرده است. Bitquery می‌گوید یادداشت‌های Apple برای iOS 18.7.7 از DarkSword نام می‌برند و به گفتهٔ Macworld، گوشی‌های دارای iOS 26.3 یا بالاتر از آن در امان‌اند؛ گوشی‌ای که این به‌روزرسانی‌ها را نگرفته ممکن است هنوز آسیب‌پذیر باشد.

تهدید دوم iOS تازه‌تر است. در ۱۰ نوامبر شرکت امنیتی SlowMist هشدار داد که یک اثبات مفهوم عمومی به نام worse_query، یک فرار از سندباکس برای iOS 26.0 تا 26.7.2 و iOS 27.2، افشا شده است ^[3]. فرار از سندباکس می‌تواند به یک برنامهٔ مخرب اجازه دهد به داده‌های برنامه‌های دیگر دسترسی یابد. نوشتهٔ SlowMist آن را فرار از سندباکس کانتینر، نه جیلبریک، توصیف می‌کند و توصیه می‌کند از برنامه‌های نامعتبر دوری شود و هنگام انتشار وصله از سوی Apple، iOS به‌روز شود ^[3]. Trust Wallet می‌گوید کاربران iOS آن از این بهره‌برداری تأثیر نمی‌پذیرند ^[2]. راهنمای خود Trust Wallet از ۵ نوامبر به‌روزرسانی iOS و برنامه و، برای دارایی‌های ارزشمند، در نظر گرفتن Lockdown Mode بوده است ^[4].

همین حالا چگونه از USDT خود در TRON محافظت کنم؟

گوشی را به‌روز کنید، عبارت بازیابی را آفلاین نگه دارید و موجودی‌های بزرگ را به کیف پولی منتقل کنید که عبارت بازیابی‌اش هرگز روی دستگاه متصل به اینترنت نبوده است ^[1][4].

1. iOS را به‌روز کنید تا آخرین نسخه‌ای که Apple برای گوشی شما عرضه می‌کند. Bitquery می‌گوید وصله‌های DarkSword در Apple در iOS 18.7.7 و iOS 26.3 قرار دارند ^[1].
2. برنامهٔ کیف پول را به‌روز کنید فقط از فهرست رسمی App Store یا Google Play؛ Trust Wallet توصیه می‌کند هم iOS و هم برنامه روی آخرین نسخه باشند ^[4].
3. Lockdown Mode را در نظر بگیرید اگر مبالغ بزرگی روی گوشی دارید، چنان‌که Trust Wallet پیشنهاد می‌کند ^[4]. Apple آن را حفاظتی اختیاری و فوق‌العاده توصیف می‌کند که برای شمار اندکی از کسانی طراحی شده که ممکن است هدف حمله‌های پیچیده قرار گیرند؛ پس برای همه نیست ^[7].
4. عبارت بازیابی را از گوشی دور نگه دارید: بدون عکس صفحه، یادداشت، عکس یا نسخهٔ ابری، چنان‌که Trust Wallet توصیه می‌کند ^[4].
5. مجوزهای توکن را که نمی‌شناسید لغو کنید ^[4].
6. در مرورگر احتیاط کنید: از ضربه زدن روی تبلیغ‌ها و پنجره‌های بازشو در صفحه‌های ویدیو و پخش زنده دوری کنید، مسیری که در مورد تطبیق‌شده توصیف شد ^[1].
7. وجوه را تقسیم کنید: فقط پول خرج‌کردنی را در کیف پول گوشی نگه دارید و بقیه را در ذخیره‌سازی سرد.

اگر گوشی شما در اکتبر و نوامبر نسخهٔ قدیمی iOS داشت و مبلغ بزرگی دارید، گام محتاطانه ساختن یک کیف پول کاملاً تازه با عبارت بازیابی جدید روی دستگاهی به‌روز و انتقال وجوه به آن است. بدافزاری که پیش‌تر عبارت بازیابی را کپی کرده با به‌روزرسانی خنثی نمی‌شود ^[1].

آیا کیف‌پول‌های سخت‌افزاری Trezor پس از گزارش ایمپلنت امن هستند؟

Trezor می‌گوید ایمپلنت‌هایی که یافته به سه دستگاه Safe 5 خریداری‌شده از یک فروشندهٔ واسطه، CryptoBilis، محدود است و در مدل‌های دیگر Trezor یا دستگاه‌های سایر فروشندگانش چیزی نیافته است ^[5]. Trezor در ۱۲ نوامبر گفت سه دستگاه Safe 5 که میان ۲۰ اوت و ۲۳ سپتامبر ۲۰۲۶ از فروشگاه‌های Tokopedia و Shopee متعلق به CryptoBilis و مستقیم از خود CryptoBilis خریداری شده بودند ایمپلنتی پنهان داشتند ^[5].

ایمپلنت عبارت بازیابی و گذرواژهٔ اضافی (passphrase) نمایش‌داده‌شده روی صفحه را ضبط می‌کند و از راه شبکهٔ موبایل به سروری زیر کنترل مهاجمان می‌فرستد؛ Trezor می‌گوید این همان شیوه‌ای است که ایمپلنت‌های یافت‌شده در دستگاه‌های Ledger کار می‌کنند ^[5]. Trezor می‌گوید هیچ مشتری از دست دادن وجوه را گزارش نکرده و تاکنون ۴۸ مشتری برای بررسی مراجعه کرده‌اند ^[5].

پاسخ Trezor: میان‌افزار 2.13.1 که در ۱۱ نوامبر منتشر شد مانع از ضبط هر چیزی توسط ایمپلنت‌های شناخته‌شده می‌شود؛ شبکهٔ فروشندگان واسطه حدود ۸۰٪ کوچک شده؛ و هر کس از مارس ۲۰۲۶ به بعد از CryptoBilis خرید کرده واجد دریافت جایگزین است ^[5]. BleepingComputer در ۱۳ نوامبر همین روایت از یافته‌ها و اصلاح را گزارش کرد ^[6].

اگر از CryptoBilis خرید کرده‌اید، توصیهٔ Trezor این است که وجوه خود را به کیف پولی جدید با عبارت بازیابی جدید منتقل کنید ^[5]. میان‌افزار نمی‌تواند از عبارتی که پیش‌تر ضبط شده محافظت کند.

چگونه کیف پول سخت‌افزاری را با امنیت بخرم؟

کیف‌پول‌های سخت‌افزاری را مستقیم از فروشگاه رسمی سازنده بخرید؛ توصیهٔ Trezor پس از ماجرای CryptoBilis خرید مستقیم از trezor.io است ^[5]. صفحهٔ پشتیبانی Trezor می‌گوید دستگاهی از فروشگاه خودش یا فروشندهٔ مجاز «به احتمال زیاد برای استفاده امن است» و هشدار می‌دهد: «هرگز Trezor را از شخص ثالث غیرمجاز نخرید» ^[8].

• از آگهی‌های بازارچه‌ها، دستگاه‌های دست‌دوم و پیشنهادهای غیرعادی ارزان دوری کنید.
• بررسی کنید بسته کامل و مهر هولوگرامی روی درگاه سالم باشد؛ Trezor می‌گوید دستگاهی که از قبل میان‌افزار نصب دارد نباید استفاده شود ^[8].
• عبارت بازیابی را هنگام راه‌اندازی روی خود دستگاه تولید کنید و خودتان روی کاغذ بنویسید.
• میان‌افزار را فقط از برنامهٔ رسمی سازنده نصب کنید؛ برای Trezor به 2.13.1 یا بالاتر به‌روز کنید ^[5].
• هرگز عبارت بازیابی را در گوشی، رایانه یا وب‌سایت تایپ نکنید؛ Trezor می‌گوید هرگز عبارت بازیابی نمی‌خواهد ^[5].

اگر گمان می‌کنید دستگاهی دست‌کاری شده، توصیهٔ Trezor این است که آن را نگه دارید و تا زمانی که پشتیبانی Trezor بگوید چه کنید راه‌اندازی یا استفاده‌اش نکنید ^[5].

اگر USDT من سرقت شد چه کنم؟

سریع عمل کنید: سرقت را به Tether و هر صرافی‌ای که وجوه به آن رفته گزارش دهید، چون USDT فقط در صورتی قابل بازیابی است که پیش از جابه‌جایی بعدی مسدود شود ^[1]. Bitquery یادآوری می‌کند Tether می‌تواند USDT را در TRON مسدود کند و صرافی‌ها می‌توانند واریزها را نگه دارند، اما هر دو به گزارش سریع نیاز دارند ^[1].

1. نشانی کیف پول، شناسهٔ تراکنش‌ها و زمان سرقت‌ها را یادداشت کنید.
2. وجوه باقی‌ماندهٔ روی زنجیره‌های دیگر را به کیف پولی جدید با عبارت بازیابی جدید که روی دستگاهی پاک و به‌روز ساخته شده منتقل کنید.
3. فقط از راه کانال‌های پشتیبانی رسمی با Tether و صرافی‌های درگیر تماس بگیرید.
4. به پلیس یا یگان جرایم سایبری کشور خود گزارش بدهید و نسخه‌ای از آن را نگه دارید.
5. هر کسی را که در ازای پول پیشنهاد بازیابی رمزارز می‌دهد نادیده بگیرید. Bitquery آن را «یک کلاهبرداری ثانویهٔ رایج» می‌نامد ^[1].