האם Trust Wallet בטוח? איך מבטלים הרשאות טוקנים ב-TRON

האם Trust Wallet בטוח כרגע?

נכון ל-15 בנובמבר 2026 לא אושרה פרצה באפליקציית Trust Wallet: Bitquery, שעקבה אחר גל גניבות ה-USDT האחרון ב-TRON, אומרת שלא מצאה לכך ראיה, אף שאינה יכולה לשלול זאת ^[1]. הדוח שלה, שהנתונים בו אומתו ב-12 בנובמבר, מונה לפחות 5.42 מיליון דולר ב-USDT שנלקחו מ-454 ארנקי TRON בין 5 באוקטובר ל-11 בנובמבר ^[1].

שמו של Trust Wallet נקשר לפרשה כי קורבנות אומרים שהשתמשו בו, וכי ערכת הפריצה ל-iPhone הקשורה לחלק מהגניבות מחפשת אותו, מסבירה Bitquery ^[1]. הבלוקצ'יין מראה כסף שעובר בין כתובות, לא את הטלפון או האפליקציה שמאחוריהן, ולכן Bitquery הצליחה להתאים רק גניבה אחת לתיאור שפרסם בעל iPhone ^[1].

העצות של Trust Wallet עצמה מצביעות על הטלפון, לא על האפליקציה. בפוסט מ-6 בנובמבר נאמר ששתי ערכות פריצה, Coruna ו-DarkSword, תוקפות מכשירי iPhone עם גרסאות iOS ישנות, Coruna את iOS 13.0 עד 17.2.1 ו-DarkSword את iOS 18.4 עד 18.7, וכי "מכשירים עם גרסת iOS העדכנית ביותר אינם מושפעים מהן" ^[2]. ב-11 בנובמבר הוסיפה החברה שמשתמשי ה-iOS שלה אינם מושפעים מפרצה נפרדת בשם worse_query, ושהיא לעולם אינה שומרת ביטויי שחזור או מפתחות פרטיים כטקסט גלוי ^[8].

אז התשובה הכנה היא: לא הוכח שהאפליקציה עצמה נפרצה, אבל ארנק בטוח רק כמו המכשיר וביטוי השחזור שמאחוריו. לציר הזמן המלא של הגניבות, ראו את מדריך Pouyam בשם Trust Wallet Hacked? How to Protect Your USDT on TRON. המדריך הזה עוסק בשאלה הבאה שקוראים רבים שואלים: האם ביטול הרשאות טוקנים מגן עליהם, ואיך עושים זאת.

מהי הרשאת טוקן ב-TRON?

הרשאת טוקן היא היתר שאתם חותמים עליו, שמאפשר לחוזה חכם להוציא מהארנק שלכם טוקן TRC-20, כמו USDT, עד תקרה שנקבעה, בלי לשאול שוב ^[4][6]. מבחינה טכנית, הארנק קורא ל-approve(spender, amount) בחוזה הטוקן; החוזה המורשה יכול אחר כך לקרוא ל-transferFrom כדי לקחת טוקנים בתוך התקרה הזו ^[4].

הרשאות הן דבר רגיל. בורסות ואפליקציות החלפה והלוואות ב-TRON מבקשות אותן כדי להעביר את הטוקנים שלכם כשאתם סוחרים ^[5]. הסיכון הוא שההרשאות נשארות פעילות גם אחרי שעזבתם את האפליקציה. Trust Wallet מציינת שרוב המשתמשים לא מודעים לכך שהרשאות נשארות בתוקף ללא הגבלת זמן, ושחוזה ש"הופך זדוני בהמשך" יכול לרוקן טוקנים "בלי אישור נוסף" ^[3].

אפליקציות רבות מבקשות סכום בלתי מוגבל כדי לחסוך מכם אישור חוזר. מרכז התמיכה של TronLink מזהיר שהרשאות כאלה מאפשרות לכתובות וחוזים אחרים להעביר נכסים "ללא הודעה מוקדמת", וממליץ לבדוק לפני מתן הרשאה אם מוצר הוא קוד פתוח ועבר ביקורת ^[5]. TRON Guide מתאר הרשאה בלתי מוגבלת כהרשאה שבה התקרה נקבעת לערך המרבי האפשרי, וקורא להרשאות כאלה משטח התקיפה הגדול ביותר ב-TRON ^[6].

כל הרשאה גם קשורה לטוקן אחד. ביטול הרשאת ה-USDT שלכם לאפליקציה לא מבטל הרשאה שנתתם לאותה אפליקציה לטוקן אחר, ולכן כל אחת נבדקת ומבוטלת בנפרד ^[10].

האם הרשאות טוקנים גרמו לגניבות ה-USDT ב-TRON?

אין ראיה לכך: Bitquery אומרת שהגנבים בגל האחרון ב-TRON כבר החזיקו במפתחות הארנקים, וזה שונה מאתר drainer שמפתה אתכם למסור את הטוקנים בחתימה ^[1]. ההבדל הזה קובע מה מגן עליכם.

Bitquery מתארת את הדפוס שבעזרתו מצאה קורבנות. ארנק עמלות, או אוסף שהוא מימן, שלח לכתובת הקורבן כמה TRX לתשלום עמלת הרשת; שניות אחר כך יצאה כל יתרת ה-USDT בתשלום אחד, ואז הלך גם ה-TRX שנותר ^[1]. במקרה אחד ב-25 באוקטובר הגיעו 18 TRX, ו-18 שניות אחר כך יצאו 519,093 USDT ^[1]. Bitquery רואה ברצף הזה מעשה ידיו של מי שכבר החזיק במפתח הפרטי או בביטוי השחזור ^[1]. Coindaro, בדיווח על הממצאים הראשונים של Bitquery, מציינת ש-Bitquery ספרה ארנק כקורבן רק כשתשלום יחיד רוקן את כל ה-USDT שבו, "הדפוס של ריקון בידי מי שמחזיק במפתח הפרטי" ^[7].

גניבה דרך הרשאה נראית אחרת: החוזה של התוקף מושך את הטוקנים באמצעות transferFrom ומשלם בעצמו את העמלה, כך שארנק הקורבן לא צריך TRX ^[4]. הדוח של Bitquery אומר זאת במפורש: "כאן, הגנב כבר מחזיק במפתחות" ^[1].

Bitquery גם מראה למה זה חשוב. ארנק אחד רוקן פעמיים: הוא איבד 19,069 USDT ב-26 באוקטובר, ואחרי שהגיע כסף חדש, עוד 4,140 USDT ב-10 בנובמבר ^[1]. "ארנק שרוקן נשאר פתוח לגנבים כל עוד ביטוי השחזור שלו" בשימוש, נכתב בדוח ^[1]. ביטול הרשאות לא היה סוגר את הדלת הזו. הוא עדיין הרגל טוב, ורשימת האבטחה של Trust Wallet כוללת ביטול הרשאות לא מוכרות ^[9], אבל זה צעד שני, לא תרופה למפתח גנוב.

איך מבטלים הרשאות טוקנים ב-Trust Wallet?

פתחו את הגרסה האחרונה של Trust Wallet, בחרו בלשונית Approvals באזור הנכסים, עברו על הרשימה והקישו Revoke ליד כל אפליקציה שאתם כבר לא סומכים עליה ^[3]. לדברי Trust Wallet, התכונה רושמת הרשאות כשהן ניתנות, מראה לאילו טוקנים ובאיזה היקף יש לכל אפליקציה גישה, מסמנת חוזים הקשורים להונאות ידועות ומסירה את ההרשאה בבלוקצ'יין כשמבטלים אותה ^[3].

1. עדכנו קודם את Trust Wallet מ-App Store או מ-Google Play; השלבים של Trust Wallet קובעים את הגרסה האחרונה ^[3].
2. במסך הבית, פתחו את לשונית Approvals באזור הנכסים ^[3].
3. בדקו כל רשומה: הטוקן, האפליקציה או החוזה, והתקרה. שימו לב במיוחד ל-USDT ולהרשאות בלתי מוגבלות.
4. הקישו Revoke על כל מה שאינכם מזהים, כבר לא משתמשים בו או שהארנק מסמן כמסוכן, ואשרו את העסקה ^[3].
5. השאירו מעט TRX בארנק: ב-TRON ביטול הוא עסקה שצורכת bandwidth ו-Energy ^[4].

מגבלה אחת: ההודעה של Trust Wallet לא אומרת באילו בלוקצ'יינים לשונית Approvals תומכת ^[3][10]. אם הרשאות ה-TRON שלכם לא מופיעות שם, או שאתם רוצים מבט שני, השתמשו ב-TronScan, שמציג כל הרשאה שכתובת נתנה, כמתואר בסעיף הבא ^[4][6].

ביטול פועל רק על הרשאות. הוא לא יכול להחזיר העברה שכבר בוצעה, ולא יכול להגן על ארנק שמישהו אחר מכיר את ביטוי השחזור שלו ^[10].

איך מבטלים הרשאות TRC-20 ב-TronScan?

חפשו את כתובת ה-TRON שלכם ב-TronScan, פתחו את רשימת ההרשאות בדף החשבון, בטלו כל הרשאה לא רצויה וחתמו על העסקה בארנק; כך התקרה מתאפסת ^[4][6]. TronScan הוסיף את תכונת הביטול ב-14 במאי 2021 ומציג גם היסטוריית שינויי הרשאות ^[4].

1. הקלידו בעצמכם tronscan.org בדפדפן; אל תלחצו על קישור מצ'אט או ממודעה ^[10].
2. הדביקו את הכתובת שלכם, שמתחילה ב-T, בשורת החיפוש ^[6].
3. בדף החשבון, פתחו את לשונית ההרשאות, שנקראת Approval או List of Approval לפי העיצוב ^[4][6].
4. בכל רשומה בדקו את הטוקן, את החוזה שקיבל את ההרשאה ואת הסכום. תנו עדיפות לחוזים לא מוכרים או לא מאומתים ולהרשאות בלתי מוגבלות; TRON Guide ממליץ לבטל חוזה שאינכם יכולים לזהות בביטחון ^[6].
5. לחצו Cancel או Revoke בשורה וחברו ארנק תואם, כמו TronLink, עבור אותה כתובת ^[6].
6. קראו את מסך החתימה: הוא צריך לקרוא ל-approve בחוזה הטוקן עם סכום 0. אם הוא מבקש משהו אחר, עצרו ^[10].
7. רעננו את הרשימה אחרי האישור; ב-TRON זה בדרך כלל לוקח כמה שניות ^[6].

משתמשי TronLink יכולים לעשות את אותו הדבר בתוך הארנק: מרכז התמיכה של TronLink מפנה ל-Wallet Management ואז ל-Approval Management כדי לראות או לבטל הרשאות ^[5]. כל ביטול, וכל הרשאה חוזרת בהמשך, צורכים bandwidth ו-Energy; בלי Energy משלכם, הרשת שורפת TRX כדי לשלם ^[4].

אילו הרשאות טוקנים כדאי לבטל?

בטלו כל הרשאה שאינכם יכולים להסביר, כל הרשאה בלתי מוגבלת לאפליקציה שהפסקתם להשתמש בה, וכל מה שניתן לאתר airdrop, "אימות" או השכרת Energy ^[6][10]. השאירו רק הרשאות לשירותים שאתם משתמשים בהם וסומכים עליהם, ותנו הרשאה מחדש אם תחזרו לאחד מהם.

הטבלה שלמטה מסכמת את המקרים הנפוצים. מבחן פשוט עוזר: אם אינכם יודעים מהי כתובת מורשית, היא לא אמורה להיות מסוגלת להוציא את ה-USDT שלכם ^[10].

היזהרו מטוקנים מחקים. הרשאות על "USDT" מזויף שאינו החוזה האמיתי של Tether לא יכולות לגעת ב-USDT האמיתי שלכם ^[10]. חוזה ה-USDT האמיתי ב-TRON הוא TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t; בדקו את הכתובת הזו בדף הטוקן ב-TronScan לפני שאתם פועלים.

Bitquery מצאה בנתוני הגניבות תרגיל קשור: יותר ממחצית הכתובות ששילמו לאוסף אחד היו בוטים ששלחו סכומים זעירים וטוקנים מזויפים מכתובות דומות, שיטה שנקראת הרעלת כתובות, בתקווה שמישהו יעתיק בהמשך את הכתובת השגויה ^[1]. העתיקו תמיד כתובת יעד ממקור מהימן, לעולם לא מהיסטוריית העסקאות שלכם.

מה לעשות אם ביטוי השחזור שלי אולי נחשף?

התייחסו לארנק כפרוץ: צרו ארנק חדש עם ביטוי שחזור חדש במכשיר מעודכן ונקי, העבירו את מה שנשאר והפסיקו להשתמש בישן ^[1][10]. לדברי Bitquery, מי שמחזיק בביטוי השחזור מחזיק בכסף ואינו צריך סיסמה או גישה לטלפון ^[1].

1. עדכנו קודם את הטלפון. Trust Wallet מנחה משתמשי iPhone להתקין את גרסת iOS העדכנית ביותר הזמינה למכשירם, ולהפעיל Lockdown Mode אם אי אפשר לעדכן מיד ^[2].
2. צרו את הארנק החדש וכתבו את ביטוי השחזור החדש על נייר. אל תשמרו אותו בתמונות, צילומי מסך או פתקים, שבהם מחפשות ערכות Coruna ו-DarkSword, לדברי Trust Wallet ^[2].
3. שלחו סכום ניסיון קטן לכתובת החדשה, ואז העבירו את השאר. השאירו מספיק TRX לעמלות.
4. השאירו את הארנק הישן ריק. אם יגיע אליו כסף חדש, הגנבים יכולים לקחת אותו שוב, כפי שקרה לארנק אחד ש-Bitquery עקבה אחריו ^[1].
5. אם משהו נראה חשוד, פנו לתמיכה של Trust Wallet עם כתובת הארנק ומזהה העסקה; Trust Wallet אומרת שלעולם לא תבקש את ביטוי השחזור שלכם ולעולם לא תפנה ראשונה ^[2].

שקלו ארנק חומרה ליתרות גדולות, שנקנה ישירות מהיצרן. אם כספים כבר נגנבו, דווחו מהר ל-Tether ולכל בורסה שהכסף הגיע אליה, כי Bitquery מציינת שאפשר להקפיא USDT רק לפני שהוא זז הלאה ^[1]. התעלמו מכל מי שמציע שירותי שחזור בתשלום. זו הנחיית אבטחה כללית ולא ייעוץ פיננסי.

איך מזהים כלי מזויף לבדיקת הרשאות?

השתמשו רק ב-TronScan, ב-TronLink או בלשונית Approvals של הארנק שלכם, והקלידו את הכתובת בעצמכם, כי אתרי "בדיקת הרשאות" מזויפים הם תרגיל פישינג מוכר שבו כפתור Revoke חותם על הרשאה חדשה ^[10]. ביטול אמיתי תמיד מאפס את הסכום.

• שום כלי ביטול אמיתי לא מבקש את ביטוי השחזור או המפתח הפרטי שלכם. לעולם אל תדביקו אותם באתר "בטל הכול".
• לפני החתימה קראו את הפונקציה ואת הסכום: approve עם 0 הוא ביטול; approve עם מספר גדול, העברה או שינוי הרשאות חשבון אינם ביטול ^[10].
• חשדו באתרי השכרת "Energy זול" ובאתרי airdrop: לדברי TronTransfer, חלקם מבקשים לאשר השכרה שהחתימה עליה היא למעשה הרשאת USDT בלתי מוגבלת ^[10].
• בדקו גם את הרשאות החשבון ב-TronScan: חלק מההונאות ב-TRON משנות מי שולט בכתובת, וביטול הרשאות טוקנים לא מבטל זאת ^[10].
• התעלמו מהודעות ישירות של מי שמציג את עצמו כתמיכה של Trust Wallet; Trust Wallet אומרת שהיא לעולם לא פונה ראשונה ^[2].

אם הפסדתם כסף לנציג תמיכה מזויף או לשירות שחזור, דווחו למשטרה או ליחידה לפשעי סייבר במדינתכם ושמרו עותק. להקשר הרחב של אבטחת iPhone, ראו את What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer, שמסביר למה אבטחת הטלפון מגינה היום על יותר מחשבון אחד.