آیا Trust Wallet امن است؟ لغو مجوز توکن‌ها در TRON

آیا Trust Wallet همین حالا امن است؟

تا ۱۵ نوامبر ۲۰۲۶ هیچ حفره‌ای در برنامه Trust Wallet تأیید نشده است: Bitquery که موج اخیر دزدی USDT در TRON را ردیابی کرد، می‌گوید شاهدی برای آن پیدا نکرده، هرچند نمی‌تواند وجودش را هم رد کند ^[1]. گزارش آن، با ارقامی که در ۱۲ نوامبر راستی‌آزمایی شده‌اند، برداشت دست‌کم ۵٫۴۲ میلیون دلار USDT از ۴۵۴ کیف پول TRON را بین ۵ اکتبر و ۱۱ نوامبر می‌شمارد ^[1].

به توضیح Bitquery، نام Trust Wallet به این ماجرا گره خورده چون قربانیان می‌گویند از آن استفاده می‌کردند و چون کیت نفوذ iPhone که به برخی دزدی‌ها مربوط است به دنبال آن می‌گردد ^[1]. بلاک‌چین جابه‌جایی پول میان آدرس‌ها را نشان می‌دهد، نه گوشی یا برنامه پشت آن‌ها را؛ برای همین Bitquery فقط توانست یک دزدی را با روایت منتشرشده یک کاربر iPhone تطبیق دهد ^[1].

توصیه خود Trust Wallet به گوشی اشاره دارد، نه برنامه. این شرکت در مطلبی به تاریخ ۶ نوامبر گفت دو کیت نفوذ، Coruna و DarkSword، iPhoneهایی با نسخه‌های قدیمی iOS را هدف می‌گیرند؛ Coruna نسخه‌های iOS 13.0 تا 17.2.1 و DarkSword نسخه‌های iOS 18.4 تا 18.7 را، و «دستگاه‌هایی که آخرین نسخه iOS را دارند از آن‌ها آسیب نمی‌بینند» ^[2]. در ۱۱ نوامبر هم افزود که کاربران iOS آن از نفوذ جداگانه‌ای به نام worse_query آسیب نمی‌بینند و هرگز عبارت بازیابی یا کلید خصوصی را به‌صورت متن ساده ذخیره نمی‌کند ^[8].

پس پاسخ صادقانه این است: شکسته بودن خود برنامه ثابت نشده، اما امنیت هر کیف پول به اندازه امنیت دستگاه و عبارت بازیابی پشت آن است. برای روند کامل تخلیه‌ها، راهنمای Pouyam با عنوان Trust Wallet Hacked? How to Protect Your USDT on TRON را ببینید. این راهنما به پرسش بعدی بسیاری از خوانندگان می‌پردازد: آیا لغو مجوز توکن‌ها از آن‌ها محافظت می‌کند و چطور باید این کار را کرد.

مجوز توکن در TRON چیست؟

مجوز توکن اجازه‌ای است که امضا می‌کنید تا یک قرارداد هوشمند بتواند یک توکن TRC-20، مثل USDT، را تا سقفی مشخص و بدون پرسیدن دوباره از کیف پول شما خارج کند ^[4][6]. از نظر فنی، کیف پول شما تابع approve(spender, amount) را روی قرارداد توکن صدا می‌زند و قرارداد مجاز سپس می‌تواند با transferFrom توکن‌ها را در همان سقف بردارد ^[4].

مجوزها عادی‌اند. صرافی‌ها، برنامه‌های مبادله و وام‌دهی در TRON آن‌ها را درخواست می‌کنند تا هنگام معامله بتوانند توکن‌های شما را جابه‌جا کنند ^[5]. خطر اینجاست که مجوزها پس از ترک برنامه هم فعال می‌مانند. Trust Wallet یادآوری می‌کند که بیشتر کاربران نمی‌دانند مجوزها به‌طور نامحدود معتبر می‌مانند و اگر قراردادی «بعداً مخرب شود»، می‌تواند توکن‌ها را «بدون تأیید دوباره» خالی کند ^[3].

بسیاری از برنامه‌ها مقدار نامحدود درخواست می‌کنند تا لازم نباشد بعداً دوباره مجوز بدهید. مرکز پشتیبانی TronLink هشدار می‌دهد که چنین مجوزهایی به آدرس‌ها و قراردادهای دیگر اجازه می‌دهند دارایی‌ها را «بدون اطلاع قبلی» منتقل کنند و توصیه می‌کند پیش از دادن مجوز بررسی کنید که محصول متن‌باز و حسابرسی‌شده است یا نه ^[5]. TRON Guide مجوز نامحدود را مجوزی توصیف می‌کند که سقف آن روی بیشترین مقدار ممکن تنظیم شده است، و چنین مجوزهایی را بزرگ‌ترین سطح حمله در TRON می‌نامد ^[6].

هر مجوز هم فقط به یک توکن مربوط است. لغو مجوز USDT برای یک برنامه، مجوزی را که برای توکن دیگری به همان برنامه داده‌اید لغو نمی‌کند؛ پس هر کدام جداگانه بررسی و لغو می‌شود ^[10].

آیا مجوزهای توکن باعث تخلیه‌های USDT در TRON شدند؟

هیچ شاهدی این را نشان نمی‌دهد: Bitquery می‌گوید دزدان موج اخیر TRON از قبل کلیدهای کیف پول‌ها را داشتند، که با سایت تخلیه‌گری که شما را فریب می‌دهد تا توکن‌هایتان را با امضا واگذار کنید فرق دارد ^[1]. همین تفاوت تعیین می‌کند چه چیزی از شما محافظت می‌کند.

Bitquery الگویی را که با آن قربانیان را پیدا کرد شرح می‌دهد. یک کیف پول کارمزد، یا جمع‌کننده‌ای که آن کیف پول تأمینش کرده بود، چند TRX برای پرداخت کارمزد شبکه به آدرس قربانی می‌فرستاد؛ چند ثانیه بعد کل موجودی USDT در یک پرداخت خارج می‌شد و سپس TRX باقی‌مانده هم می‌رفت ^[1]. در یک مورد در ۲۵ اکتبر، ۱۸ TRX رسید و ۱۸ ثانیه بعد ۵۱۹٬۰۹۳ USDT خارج شد ^[1]. Bitquery این توالی را کار کسی می‌داند که از پیش کلید خصوصی یا عبارت بازیابی را داشته است ^[1]. Coindaro در گزارش یافته‌های اولیه Bitquery یادآوری می‌کند که Bitquery تنها کیف پولی را قربانی شمرد که یک پرداخت واحد همه USDT آن را خالی کرده بود، یعنی «الگوی تخلیه به دست کسی که کلید خصوصی را در اختیار دارد» ^[7].

دزدی از راه مجوز شکل دیگری دارد: قرارداد مهاجم با transferFrom توکن‌ها را می‌کشد و کارمزدش را خودش می‌پردازد، پس کیف پول قربانی به TRX نیازی ندارد ^[4]. گزارش Bitquery صریح می‌گوید: «در اینجا دزد از قبل کلیدها را دارد» ^[1].

Bitquery نشان می‌دهد چرا این مهم است. یک کیف پول دو بار خالی شد: در ۲۶ اکتبر ۱۹٬۰۶۹ USDT از دست داد و پس از رسیدن پول تازه، در ۱۰ نوامبر ۴٬۱۴۰ USDT دیگر ^[1]. به گفته گزارش، «کیف پول تخلیه‌شده تا زمانی که عبارت بازیابی‌اش» در استفاده است، به روی دزدان باز می‌ماند ^[1]. لغو مجوزها این در را نمی‌بست. لغو مجوز همچنان کار درستی است و فهرست امنیتی خود Trust Wallet هم لغو مجوزهای ناآشنا را شامل می‌شود ^[9]، اما قدم دوم است، نه درمان کلید دزدیده‌شده.

چطور مجوز توکن‌ها را در Trust Wallet لغو کنم؟

آخرین نسخه Trust Wallet را باز کنید، زبانه Approvals را در بخش دارایی‌ها انتخاب کنید، فهرست را مرور کنید و کنار هر برنامه‌ای که دیگر به آن اعتماد ندارید روی Revoke بزنید ^[3]. Trust Wallet می‌گوید این قابلیت مجوزها را هنگام صدور ثبت می‌کند، نشان می‌دهد هر برنامه به کدام توکن‌ها و به چه میزان دسترسی دارد، قراردادهای مرتبط با کلاهبرداری‌های شناخته‌شده را علامت می‌زند و با لغو، مجوز را روی بلاک‌چین حذف می‌کند ^[3].

1. ابتدا Trust Wallet را از App Store یا Google Play به‌روز کنید؛ مراحل Trust Wallet آخرین نسخه را مشخص می‌کند ^[3].
2. در صفحه اصلی، زبانه Approvals را در بخش دارایی‌ها باز کنید ^[3].
3. هر مورد را بررسی کنید: توکن، برنامه یا قرارداد و سقف مجاز. بیشترین توجه را به USDT و مجوزهای نامحدود داشته باشید.
4. برای هر چیزی که نمی‌شناسید، دیگر از آن استفاده نمی‌کنید یا کیف پول آن را پرخطر نشان می‌دهد روی Revoke بزنید و تراکنش را تأیید کنید ^[3].
5. کمی TRX در کیف پول نگه دارید: در TRON لغو مجوز تراکنشی است که bandwidth و Energy مصرف می‌کند ^[4].

یک محدودیت: اطلاعیه Trust Wallet نمی‌گوید زبانه Approvals کدام بلاک‌چین‌ها را پوشش می‌دهد ^[3][10]. اگر مجوزهای TRON شما آنجا دیده نمی‌شوند یا نظر دوم می‌خواهید، از TronScan استفاده کنید که همه مجوزهای صادرشده یک آدرس را فهرست می‌کند و در بخش بعد توضیح داده شده است ^[4][6].

لغو فقط روی مجوزها کار می‌کند. نمی‌تواند انتقالی را که انجام شده برگرداند و نمی‌تواند از کیف پولی محافظت کند که کس دیگری عبارت بازیابی‌اش را می‌داند ^[10].

چطور مجوزهای TRC-20 را در TronScan لغو کنم؟

آدرس TRON خود را در TronScan جست‌وجو کنید، فهرست مجوزها را در صفحه حساب باز کنید، سپس هر مجوز ناخواسته را لغو و تراکنش را در کیف پول امضا کنید؛ این کار سقف مجاز را صفر می‌کند ^[4][6]. TronScan این قابلیت لغو را در ۱۴ مه ۲۰۲۱ اضافه کرد و تاریخچه تغییر مجوزها را هم نشان می‌دهد ^[4].

1. نشانی tronscan.org را خودتان در مرورگر تایپ کنید؛ روی لینکی از چت یا تبلیغ نزنید ^[10].
2. آدرس خود را که با T شروع می‌شود در نوار جست‌وجو بچسبانید ^[6].
3. در صفحه حساب، زبانه مجوزها را باز کنید که بسته به طراحی صفحه Approval یا List of Approval نام دارد ^[4][6].
4. برای هر مورد، توکن، قراردادی که مجوز گرفته و مقدار را ببینید. قراردادهای ناشناس یا تأییدنشده و مجوزهای نامحدود را در اولویت قرار دهید؛ TRON Guide توصیه می‌کند قراردادی را که با اطمینان نمی‌شناسید لغو کنید ^[6].
5. روی Cancel یا Revoke در همان ردیف بزنید و یک کیف پول سازگار، مثل TronLink، را برای همان آدرس وصل کنید ^[6].
6. صفحه امضا را بخوانید: باید تابع approve را روی قرارداد توکن با مقدار 0 صدا بزند. اگر چیز دیگری خواست، متوقف شوید ^[10].
7. پس از تأیید، فهرست را تازه کنید؛ در TRON این کار معمولاً چند ثانیه طول می‌کشد ^[6].

کاربران TronLink می‌توانند همین کار را داخل کیف پول انجام دهند: مرکز پشتیبانی TronLink برای دیدن یا لغو مجوزها مسیر Wallet Management و سپس Approval Management را معرفی می‌کند ^[5]. هر لغو، و هر مجوز دوباره در آینده، bandwidth و Energy مصرف می‌کند؛ اگر Energy خودتان را نداشته باشید، شبکه برای پرداخت آن TRX می‌سوزاند ^[4].

کدام مجوزهای توکن را باید لغو کنم؟

هر مجوزی را که نمی‌توانید توضیح دهید، هر مجوز نامحدود به برنامه‌ای که دیگر استفاده نمی‌کنید و هر چیزی را که به سایت ایردراپ، «تأیید» یا اجاره Energy داده شده لغو کنید ^[6][10]. فقط مجوز سرویس‌هایی را نگه دارید که از آن‌ها استفاده می‌کنید و به آن‌ها اعتماد دارید، و اگر به یکی برگشتید دوباره مجوز بدهید.

جدول زیر موارد رایج را خلاصه می‌کند. یک آزمون ساده کارساز است: اگر نمی‌دانید یک آدرس مجاز چیست، نباید بتواند USDT شما را خرج کند ^[10].

مراقب توکن‌های بدلی باشید. مجوز روی یک «USDT» جعلی که قرارداد واقعی Tether نیست نمی‌تواند به USDT واقعی شما دست بزند ^[10]. قرارداد واقعی USDT در TRON این است: TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t؛ پیش از هر اقدامی این آدرس را در صفحه توکن در TronScan بررسی کنید.

Bitquery در داده‌های دزدی ترفند مرتبطی هم پیدا کرد: بیش از نیمی از آدرس‌هایی که به یک جمع‌کننده پول فرستاده بودند ربات‌هایی بودند که از آدرس‌های شبیه، مقادیر ناچیز و توکن جعلی می‌فرستادند؛ روشی به نام مسموم‌سازی آدرس، به این امید که کسی بعداً آدرس اشتباه را کپی کند ^[1]. همیشه آدرس مقصد را از منبعی مطمئن کپی کنید، هرگز از تاریخچه تراکنش‌ها.

اگر ممکن است عبارت بازیابی‌ام لو رفته باشد چه کنم؟

کیف پول را لو‌رفته فرض کنید: روی دستگاهی به‌روز و پاک یک کیف پول تازه با عبارت بازیابی تازه بسازید، باقی دارایی را منتقل کنید و دیگر از کیف پول قبلی استفاده نکنید ^[1][10]. Bitquery می‌گوید هر کس عبارت بازیابی را داشته باشد پول را دارد و به رمز عبور یا دسترسی به گوشی نیازی ندارد ^[1].

1. اول گوشی را به‌روز کنید. Trust Wallet به کاربران iPhone می‌گوید آخرین نسخه iOS موجود برای دستگاهشان را نصب کنند و اگر فعلاً به‌روزرسانی ممکن نیست، Lockdown Mode را روشن کنند ^[2].
2. کیف پول تازه را بسازید و عبارت بازیابی جدید را روی کاغذ بنویسید. به گفته Trust Wallet آن را در عکس، اسکرین‌شات یا یادداشت نگه ندارید، چون کیت‌های Coruna و DarkSword این‌ها را جست‌وجو می‌کنند ^[2].
3. یک مبلغ کوچک آزمایشی به آدرس جدید بفرستید و سپس بقیه را منتقل کنید. TRX کافی برای کارمزدها نگه دارید.
4. کیف پول قدیمی را خالی رها کنید. اگر پول تازه‌ای به آن برسد، دزدان می‌توانند دوباره آن را بردارند؛ همان اتفاقی که برای یکی از کیف پول‌های ردیابی‌شده Bitquery افتاد ^[1].
5. اگر چیزی غیرعادی به نظر می‌رسد، با آدرس کیف پول و هش تراکنش با پشتیبانی Trust Wallet تماس بگیرید؛ Trust Wallet می‌گوید هرگز عبارت بازیابی شما را نمی‌خواهد و هرگز اول پیام نمی‌دهد ^[2].

برای موجودی‌های بزرگ‌تر کیف پول سخت‌افزاری را در نظر بگیرید و آن را مستقیم از سازنده بخرید. اگر پولی دزدیده شده، سریع به Tether و هر صرافی‌ای که پول به آن رسیده گزارش دهید، چون Bitquery یادآوری می‌کند USDT فقط پیش از جابه‌جایی بعدی قابل مسدودسازی است ^[1]. به هر کسی که خدمات بازیابی پولی پیشنهاد می‌دهد اعتنا نکنید. این یک راهنمای امنیتی عمومی است، نه توصیه مالی.

چطور یک ابزار جعلی بررسی مجوز را تشخیص دهم؟

فقط از TronScan، TronLink یا زبانه Approvals خود کیف پول استفاده کنید و نشانی را خودتان تایپ کنید، چون سایت‌های جعلی «بررسی مجوز» ترفند فیشینگ شناخته‌شده‌ای هستند که در آن دکمه Revoke در واقع مجوز تازه‌ای امضا می‌کند ^[10]. لغو واقعی همیشه مقدار را صفر می‌کند.

• هیچ ابزار واقعی لغو مجوز هرگز عبارت بازیابی یا کلید خصوصی شما را نمی‌خواهد. هرگز آن‌ها را در هیچ سایت «لغو همه» نچسبانید.
• پیش از امضا، تابع و مقدار را بخوانید: approve با 0 یعنی لغو؛ approve با عددی بزرگ، یک انتقال یا تغییر دسترسی، لغو نیست ^[10].
• به سایت‌های اجاره «Energy ارزان» و ایردراپ مشکوک باشید: به گفته TronTransfer برخی از شما می‌خواهند اجاره‌ای را تأیید کنید که امضایش در واقع یک مجوز نامحدود USDT است ^[10].
• دسترسی‌های حساب را هم در TronScan بررسی کنید: برخی کلاهبرداری‌های TRON کنترل آدرس را تغییر می‌دهند و لغو مجوزها این را برنمی‌گرداند ^[10].
• به پیام مستقیم هر کسی که خود را پشتیبانی Trust Wallet معرفی می‌کند اعتنا نکنید؛ Trust Wallet می‌گوید هرگز اول پیام نمی‌دهد ^[2].

اگر به یک پشتیبان جعلی یا سرویس بازیابی پول باخته‌اید، موضوع را به پلیس یا واحد جرایم سایبری کشورتان گزارش دهید و یک نسخه از گزارش را نگه دارید. برای زمینه گسترده‌تر امنیت iPhone، راهنمای What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer را ببینید که توضیح می‌دهد چرا امنیت گوشی حالا از بیش از یک حساب محافظت می‌کند.