روش‌های هک ولت و شیوه‌های مقابله با آنها
در دنیای پرسرعت ارزهای دیجیتال، ولت‌ها (کیف پولهای دیجیتالی) مانند گاوصندوق‌های شخصی ما عمل می‌کنند، اما همان‌طور که هر گاوصندوقی می‌تواند هدف دزدان قرار گیرد، ولت‌های دیجیتال نیز در معرض حملات هکری قرار دارند. هکرها با ترفندهای پیچیده و گاه بسیار ساده، به آسانی می‌توانند دارایی‌های دیجیتال شما را با هک ولت در کسری از ثانیه به سرقت ببرند. از حملات فیشینگ گرفته تا بدافزارهای مخصوص ارز دیجیتال، هر روش هک، داستانی متفاوت اما با یک پایان تلخ دارد: از دست دادن سرمایه!
با این اوصاف، جای نگرانی نیست؛ شناخت روش‌های متداول هک ولت و آشنایی با راهکارهای مقابله با آنها، گامی مهم برای حفاظت از دارایی‌های دیجیتال شماست. در این مقاله، نه تنها با اصلی‌ترین ترفندهای هکرها آشنا می‌شوید، بلکه یاد می‌گیرید چگونه با رعایت چند اصل ساده، امنیت کیف پول خود را به طرز قابل توجهی افزایش دهید.
آیا بلاکچین قابل هک شدن است؟
هک ولت چیست؟
انواع مختلف آسیب‌پذیری‌های کیف پول داغ
حملات کیف پول داغ مبتنی بر سخت‌افزار
حملات کیف پول داغ مبتنی بر نرم افزار
هک تراست ولت؛ به سادگی و به آسانی آب خوردن!
جلوگیری از هک تراست ولت
روش‌های هک ولت تون کیپر (Tonkeeper)
هک ولت‌های گمشده
استفاده از حملات Brute Force روی Seed Phrase
تجزیه و تحلیل فایل‌های پشتیبان قدیمی
فیشینگ با وعده‌ی بازیابی ولت گمشده
هک حافظه‌های قدیمی و دستگاه‌های ذخیره‌سازی
استفاده از اسکریپت‌های مخرب در نرم‌افزارهای بازیابی ولت
مقابله با هک ولت‌های دیجیتال: چطور می‌توان امنیت دارایی‌های خود را تضمین کرد؟
۱. استفاده از کیف پولهای سرد
۲. تقویت رمز عبور و استفاده از احراز هویت دو مرحلهای
۳. آگاهی از حملات فیشینگ
۴. نصب نرم‌افزارهای رسمی
۵. نظارت بر تراکنش‌ها
۶. آموزش به دیگران
آیا بلاکچین قابل هک شدن است؟
بلاکچین‌های ارز دیجیتال معمولا دفاتر عمومی هستند که همه تراکنش‌ها را در یک شبکه بلاکچین ثبت و تایید می‌کنند. همه می‌توانند تراکنش‌ها، آدرس‌های مستعار درگیر و مبلغ منتقل شده را ببینند. با این حال، این دفاتر عمومی اجازه نمی‌دهند که هیچ‌کس به آنها دسترسی پیدا کند و ورودی‌ها را ارسال یا تغییر دهد؛ این کار به طور خودکار توسط اسکریپت‌ها، برنامه‌نویسی، تکنیک‌های رمزنگاری و یک فرآیند تایید تراکنش خودکار انجام می‌شود.
امنیت در بلاکچین از طریق تکنیک‌های رمزنگاری و مکانیک‌های توافقی مورد توجه قرار می‌گیرد. بلاکچین‌ها از رمزنگاری برای کدگذاری اطلاعات تراکنش و شامل کردن داده‌های بلوک‌های قبلی در هر بلوک بعدی استفاده می‌کنند. کل دفتر از طریق داده‌های رمزگذاری شده زنجیر شده است. هر بلوک جدیدی که ایجاد می‌شود، آن را امن‌تر می‌کند. بنابراین، یک بلاکچین موجود به معنای سنتی نمی‌تواند هک شود، جایی که کدهای مخرب وارد زنجیره می‌شوند یا کسی با نیروی brute به شبکه حمله کرده و شروع به تغییرات یا ادعای کنترل کند.
البته یک حمله کننده – یا گروهی از حمله کنندگان – می‌تواند با کنترل اکثریت قدرت محاسباتی بلاکچین، که به آن نرخ هش گفته می‌شود، یک بلاکچین را به تصاحب خود درآورد. اگر آنها بیش از ۵۰ درصد نرخ هش را در اختیار داشته باشند، می‌توانند یک بلاکچین تغییر یافته را در آنچه که به آن حمله ۵۱ درصدی گفته می‌شود، معرفی کنند. این رویه به آنها این امکان را می‌دهد که تغییراتی را در تراکنش‌هایی که قبل از تصاحب آنها توسط بلاکچین تایید نشده‌اند، ایجاد کنند. تراکنش‌ها – حداقل روی بلاکچین بیتکوین – به طور کلی پس از یک تایید ایمن هستند. با این حال، تا زمانی که شش تایید انجام نشده باشد، به طور کامل تایید نشده و غیرقابل تغییر در نظر گرفته نمی‌شوند.
به عنوان مثال، اگر شما ۱ واحد بیتکوین به یک دوست منتقل کنید، تراکنش در یک بلاک ضبط و تایید می‌شود (این اولین تایید است. داده‌های آن بلاک در بلاک بعدی ضبط شده، تایید می‌شود و بلاک بسته می‌شود و این دومین تأیید است). این پروسه باید چهار بار دیگر اتفاق بیفتد تا یک تراکنش به عنوان غیرقابل تغییر در نظر گرفته شود (در بلاکچین بیتکوین). تراکنش‌هایی که پردازش نشده‌اند می‌توانند در یک حمله ۵۱ درصدی معکوس شوند.
مهاجمان سپس آزاد خواهند بود تا از توکن‌هایی که در تراکنش‌هایی که شبکه تایید نکرده استفاده می‌شود، بهره‌برداری کنند. آنها می‌توانند ارزهای دیجیتال را به آدرس‌های ناشناخته منتقل کنند و بلاکچین تغییر یافته به هر نحوی که آنها برنامه‌ریزی کرده‌اند عمل خواهد کرد.
هک ولت چیست؟
کلیدهای خصوصی و نحوه‌ی ذخیره آنها دو تا از نقاط ضعف اصلی در ارزهای دیجیتال و بلاکچین هستند. در صنعت ارز دیجیتال یک جمله وجود دارد مبنی بر این که کلیدهای شما، ارزهای شما نیستند.
این جمله به این معناست که مهم نیست چه شرایطی وجود دارد، اگر شما کنترل کلیدهای ارز دیجیتال خود را نداشته باشید، نمی‌توانید بر آنچه بر آن می‌گذرد کنترل داشته باشید. اجازه دادن به شخص دیگری برای ذخیره کلیدهای شما، که به آن رابطه‌ی نگهداری بین صاحب کلید و دارنده کلید گفته می‌شود، به آن نهاد، یا هر کسی که ممکن است کلیدها را داشته باشد، کنترل ارز دیجیتال شما را می‌دهد.
همه کلیدهای خصوصی در کیف پول‌ها ذخیره می‌شوند، که برنامه‌های نرم‌افزاری هستند که روی دستگاه‌های موبایل و کامپیوترها نصب می‌شوند. الزاما هم نیاز نیست تا با هک گوشی به ولت دسترسی پیدا کرد و تنها با هک کردن ولت می‌توان به دارایی‌های دیجیتالی دسترسی پیدا کرد.
نسخه‌های الکترونیکی و نرم‌افزاری تعبیه شده روی کیف پول‌ها یا به اینترنت متصل هستند (Hot) یا متصل نیستند (Cold). صرافی‌های ارز دیجیتال عموما روش‌های ذخیره‌سازی داغ و سرد را برای کاربران خود ارائه می‌دهند. صرافی‌ها در واقع کلیدهای خصوصی شما را برایتان نگه می‌دارند. از همین رو، اگر صرافی هک شود، احتمال از دست رفتن دارایی‌های شما نیز وجود دارد.
از طرفی دیگر، برنامه‌ها (نرم‌افزار) و دستگاه‌ها هم می‌توانند هک شوند؛ چرا که کلیدهای خصوصی در برنامه‌ها و کیف پولهای دستگاه ذخیره می‌شوند، هکرها می‌توانند به آنها دسترسی پیدا کرده و ارز دیجیتال شما را سرقت کنند.
این موارد را توضیح داده‌ایم تا به این نقطه برسیم که در تمامی سناریوها امکان هک کردن ولت شما وجود دارد. هر چند، امن‌ترین وسیله‌ی ممکن برای نگهداری و ذخیره‌ی ارزهای دیجیتال استفاده از کیف پولهای سرد محسوب می‌شود.
انواع مختلف آسیب‌پذیری‌های کیف پول داغ
کیف پولهای داغ به دلیل اتصال به اینترنت به طور ذاتی آسیب‌پذیری بیشتری نسبت به کیف پولهای سرد دارند. حمله‌کنندگان می‌توانند از آسیب‌پذیری‌های مختلف بهره‌برداری کنند تا به صورت غیر مجاز به اطلاعات دسترسی پیدا کرده و وجوه را سرقت کنند. در ادامه، برخی از رایج‌ترین وکتورهای حمله کیف پول داغ که منجر به خسارات قابل‌توجه می‌شود، توضیح می‌دهیم:
حملات کیف پول داغ مبتنی بر سخت‌افزار
فرض کنید کیف پول داغ شما یک کیف پول سخت‌افزاری است که به صورت ابری (Cloud) جداسازی نشده است. این مدل شامل دسترسی فیزیکی کامل یک حمله‌کننده به اجزای سخت‌افزاری دستگاه، مانند RAM و دیسک برای دسترسی به داده‌هایی مانند کلید خصوصی یا عبارت بازیابی از سیستم‌عامل است. این حملات به طور معمول از طریق تلاش‌های فیشینگ انجام می‌شوند که در آن حمله‌کنندگان به دستگاه یک قربانی دسترسی پیدا کرده و داده‌های محرمانه را استخراج می‌کنند.
حملات کیف پول داغ به روش USB Debugging
فرض کنید داده‌های محرمانه شما روی یک دستگاه ذخیره شده است. در این سناریو، حمله‌کننده می‌تواند یک تجزیه و تحلیل اثر انجام دهد که شامل اسکن حافظه یک دستگاه برای جستجوی اطلاعات حساس است. این فرایند به حمله‌کننده اجازه می‌دهد تا داده‌های حیاتی ذخیره‌شده در حافظه‌ی دستگاه مانند رمزهای عبور، اعتبارنامه‌های ورود، کلیدهای خصوصی یا هر گونه اطلاعات محرمانه دیگری که ممکن است در حین کار دستگاه قابل دسترسی باشد، شناسایی و استخراج کند. با انجام این تجزیه و تحلیل اثر، حمله‌کننده هدفش بهره‌برداری از هر گونه آسیب‌پذیری یا نقاط ضعفی در امنیت دستگاه به منظور دستیابی غیرمجاز و احتمالا به خطر انداختن داده‌های حساس یا دارایی‌های دیجیتال کاربر است.
حملات کیف پول داغ مبتنی بر نرم افزار
برنامه‌های کیف پول دیجیتالی از جنبه‌ی نرم‌افزاری هم مستعد آسیب‌پذیری هستند:
- بهره‌برداری از کتابخانه‌های آسیب‌پذیر: در این مدل، مهاجمان از آسیب‌پذیری‌های موجود در کتابخانه‌های نرم‌افزاری که توسط کیف پول رمزنگاری استفاده می‌شوند بهره‌برداری می‌کنند. این نقص‌ها یک نقطه‌ی ورود برای دسترسی غیرمجاز و دستکاری عملکردهای کیف پول فراهم می‌کنند که ممکن است به سرقت ارزهای دیجیتال منجر شود.
- تکنیک‌های جعل هویت: این مدل حمله بر جعل هویت کاربر تمرکز دارد، یا به طور مستقیم در مواردی که کیف پول از تماس‌های رویه‌ای از راه دور (RPC) استفاده می‌کند یا به طور غیر مستقیم با جعل هویت سرور در ابتدا. رویکرد دوم شامل جلوگیری از شروع سرور بی‌خطر است، که به مهاجم اجازه می‌دهد کنترل دارایی‌های دیجیتال کاربر را به دست گیرد.
برای محافظت در برابر این مدل‌های متنوع حمله، اجرای تدابیر امنیتی سختگیرانه، انجام ارزیابی‌های منظم آسیب‌پذیری و حفظ کانال‌های ارتباطی قوی با پایگاه کاربری برای رسیدگی به تهدیدات بالقوه به موقع ضروری به حساب می‌آید.
هک تراست ولت؛ به سادگی و به آسانی آب خوردن!
تراست ولت (Trust Wallet) یکی از پرکاربردترین کیف پولهای غیرمتمرکز ارز دیجیتال به شمار می‌رود که به دلیل رابط کاربری ساده، پشتیبانی از ارزهای متعدد و امنیت بالا مورد استقبال میلیون‌ها کاربر قرار گرفته است. با این حال، گزارش‌های متعددی از هک شدن دارایی‌های کاربران در این کیف پول منتشر شده است. نکته مهم اینجاست که در اکثر موارد، مشکل از خود تراست ولت نیست، بلکه از سهل‌انگاری کاربران ناشی می‌شود.
هک تراست ولت معمولا از طریق روش‌هایی مانند فیشینگ، بدافزار، اپلیکیشن‌های جعلی یا سایت‌های تقلبی انجام می‌شود. هکرها تلاش می‌کنند عبارت بازیابی (Recovery Phrase) یا کلید خصوصی کاربر را به دست آورند. به محض این که این اطلاعات فاش شود، تمام دارایی‌های موجود در ولت در خطر سرقت قرار می‌گیرد. متاسفانه بسیاری از کاربران، ناآگاهانه این اطلاعات را در اختیار دیگران قرار می‌دهند یا در مکان‌های ناامن ذخیره می‌کنند.
جلوگیری از هک تراست ولت
به منظور جلوگیری از هک شدن تراست ولت می‌توان از نکات زیر کمک گرفت:
- عبارت بازیابی را فقط روی کاغذ بنویسید و در مکانی امن نگهداری کنید؛ هرگز آن را در گوشی، لپ‌تاپ یا فضای مجازی به خصوص Saved Messages تلگرام ذخیره نکنید.
- تراست ولت را فقط از سایت رسمی یا مارکت‌های معتبر مثل گوگل پلی یا اپ استور دانلود و نصب کنید.
- روی لینک‌هایی که از طریق ایمیل، پیام‌رسان یا شبکه‌های اجتماعی برایتان ارسال می‌شود، کلیک نکنید مگر از منبع آن مطمئن باشید.
- از شرکت در ایردراپ‌هایی که نیاز به وارد کردن عبارت بازیابی دارند، اکیدا خودداری کنید.
- از قفل بیومتریک (اثر انگشت یا تشخیص چهره) در اپلیکیشن تراست ولت استفاده کنید.
- سیستم عامل گوشی و اپلیکیشن‌ها را همیشه به‌روز نگه دارید تا از آسیب‌پذیری‌های شناخته‌شده جلوگیری شود.
- اگر ولت‌های بزرگی را نگهداری می‌کنید، بهتر است از ولت‌های سخت‌افزاری برای افزایش امنیت استفاده کنید. هر چند، ولت‌های سخت افزاری معمولا قیمت زیادی دارند، اما از ولت‌های نرم افزاری مثل تراست ولت می‌توان به طور رایگان استفاده کرد.
روش‌های هک ولت تون کیپر (Tonkeeper)
ولت تون کیپر، یکی از محبوب‌ترین کیف پولهای مخصوص بلاکچین تون (TON) و توکن‌های مرتبط با شبکه‌ی تلگرام مثل تون کوین محسوب می‌شود. با رشد سریع اکوسیستم تون، این ولت نیز به شدت مورد توجه هکرها و کلاهبرداران قرار گرفته است. برخلاف تراست ولت که چندزنجیره‌ای و عمومی‌تر به شمار می‌رود، تون‌کیپر بیشتر در اکوسیستم تون متمرکز بوده و روش‌های هک آن نیز با توجه به همین ساختار کمی متفاوت هستند. در ادامه، مهم‌ترین روش‌های هک ولت تون‌کیپر را مرور می‌کنیم:
- فیشینگ از طریق ربات‌های تلگرام: چون اکوسیستم تون پیوند نزدیکی با تلگرام دارد، بسیاری از حملات فیشینگ از طریق ربات‌ها یا کانال‌های جعلی تلگرامی انجام می‌شود. کاربران با وعده‌ی ایردراپ رایگان یا سرمایه‌گذاری پر سود، به ربات‌هایی هدایت می‌شوند که از آنها درخواست ورود عبارت بازیابی یا امضای تراکنش می‌کند.
- جعل اپلیکیشن‌های تون کیپر: نسخه‌های تقلبی از تون‌کیپر با نام‌ها و آیکون‌های مشابه در برخی مارکت‌های ناشناس منتشر شده‌اند. نصب این نسخه‌ها می‌تواند باعث انتقال خودکار اطلاعات حساس شما به هکرها شود.
- امضای قراردادهای هوشمند مشکوک (Smart Contract Exploits): برخی کاربران بدون اطلاع دقیق، با برنامه‌های غیرمتمرکز (DApps) ناسالم یا قراردادهای هوشمند آلوده تعامل می‌کنند. این تعامل ممکن است مجوز انتقال تمام موجودی تون‌کوین یا NFTهای مرتبط را صادر کند.
- آسیب‌پذیری‌های تون اسپیس (Ton Space): تون اسپیس قابلیتی است که امکان تعامل با برنامه‌های غیرمتمرکز را از طریق کیف پول درون تلگرام فراهم می‌کند. اگر اتصال بین کیف پول و dApp به درستی کنترل نشود، امکان سو استفاده و دسترسی غیرمجاز به دارایی‌ها وجود دارد.
- بدافزارهای مخصوص اکوسیستم تون: بدافزارها و افزونه‌های مرورگر با هدف سرقت کلیدهای خصوصی یا دستکاری آدرس‌های تون‌کوین طراحی شده‌اند. این بدافزارها معمولا هنگام تعامل با سایت‌های مربوط به تون یا دانلود ابزارهای مربوط به ولت‌ها روی دستگاه کاربر فعال می‌شوند.
هک ولت‌های گمشده
ولت‌های گمشده، کیف پول‌هایی هستند که کاربران آنها بنا به دلایل مختلف نمی‌توانند کلید خصوصی خود را پیدا کرده و به ولت‌های خود دسترسی پیدا کنند. هکرها برای یافتن این ولت‌های متروکه و بلا استفاده دست به اقداماتی می‌زنند که شامل موارد زیر است:
استفاده از حملات Brute Force روی Seed Phrase
حملات از این قبیل یک نوع تلاش برای حدس‌زدن عبارات بازیابی (۱۲ یا ۲۴ کلمه‌ای) با استفاده از قدرت پردازش بالا محسوب می‌شود. این روش بسیار زمان‌بر و در اغلب موارد بی‌نتیجه بوده، اما برای ولت‌هایی که از کلمات ساده یا الگوریتم‌های تکراری استفاده کرده‌اند، ممکن است جواب بدهد.
تجزیه و تحلیل فایل‌های پشتیبان قدیمی
برخی افراد فایل‌های بک‌آپ ولت را روی هارد دیسک یا فضای ابری ذخیره می‌کنند. هکرها با دسترسی به این منابع و تحلیل داده‌های رمزگذاری‌شده سعی در بازیابی کلید خصوصی دارند.
فیشینگ با وعده‌ی بازیابی ولت گمشده
صفحات جعلی یا افراد مدعی بازیابی ولت، از کاربران می‌خواهند اطلاعات ولت یا عبارت بازیابی را وارد کنند تا ولت را بازگردانند، اما هکرها در واقع دارایی را سرقت می‌کنند.
هک حافظه‌های قدیمی و دستگاه‌های ذخیره‌سازی
اگر کسی ولتش را روی یک سیستم یا فلش ذخیره کرده باشد، هکرها ممکن است با ریکاوری اطلاعات پاک‌شده از آن دیسک‌ها به کلید خصوصی برسند.
استفاده از اسکریپت‌های مخرب در نرم‌افزارهای بازیابی ولت
برخی ابزارهای بازیابی ولت که در اینترنت عرضه می‌شوند، خودشان بدافزار هستند و در پشت صحنه اطلاعات سیستم قربانی را جمع‌آوری می‌کنند.
مقابله با هک ولت‌های دیجیتال: چطور می‌توان امنیت دارایی‌های خود را تضمین کرد؟
در دنیای ارزهای دیجیتال، هک ولت‌ها به یکی از تهدیدات اصلی برای سرمایه‌گذاران تبدیل شده است، اما خوشبختانه، با آگاهی از روش‌های هک و رعایت تدابیر امنیتی، می‌توان از دارایی‌های دیجیتال خود محافظت کرد. در این بخش، به بررسی برخی از شیوه‌های مقابله با حملات هکری می‌پردازیم:
۱. استفاده از کیف پولهای سرد
کیف پولهای سرد (Cold Wallets) به دلیل عدم اتصال به اینترنت، امن‌ترین گزینه برای نگهداری ارزهای دیجیتال محسوب می‌شوند. این کیف پول‌ها از طریق ذخیره‌سازی آفلاین کلیدهای خصوصی، امکان دسترسی هکرها به دارایی‌های شما را به شدت کاهش می‌دهند.
۲. تقویت رمز عبور و استفاده از احراز هویت دو مرحلهای
استفاده از رمز عبور پیچیده و فعال‌سازی احراز هویت دو مرحلهای (2FA) یکی از راه‌های ساده اما موثر برای افزایش امنیت کیف پول به شمار می‌رود. در این روش، حتی اگر هکرها به رمز عبور شما دسترسی پیدا کنند، برای آنها ورود به کیف پول را دشوار می‌کند؛ چرا که یک قدم دیگر هم باید سپری کرده تا وارد ولت شما شوند.
۳. آگاهی از حملات فیشینگ
یکی از رایج‌ترین روش‌های هک، حملات فیشینگ به حساب می‌آید. در این حملات، هکرها تلاش می‌کنند شما را فریب دهند تا اطلاعات حساس مانند عبارت بازیابی یا کلید خصوصی خود را فاش کنید. برای جلوگیری از این حملات، هیچ‌گاه به لینک‌های مشکوک در ایمیل‌ها یا پیام‌ها اعتماد نکنید و همواره از سایت‌های معتبر برای ورود به حساب‌های خود استفاده کنید.
۴. نصب نرم‌افزارهای رسمی
برای حفظ امنیت کیف پول دیجیتال، همیشه از منابع رسمی مانند گوگل پلی یا اپ استور برای دانلود اپلیکیشن‌ها استفاده کنید. از نصب نرم‌افزارهای ناشناخته یا غیررسمی خودداری کنید، چرا که این برنامه‌ها ممکن است حاوی بدافزار باشند.
۵. نظارت بر تراکنش‌ها
همیشه تراکنش‌های خود را بررسی کنید و در صورت مشاهده هرگونه فعالیت مشکوک، هر چه سریع‌تر اقدامات لازم را انجام دهید. مراقب باشید که هرگز به صورت خودکار به تراکنش‌هایی که نمی‌شناسید، پاسخ ندهید.
۶. آموزش به دیگران
آگاهی از روش‌های هک و نحوه‌ی محافظت از کیف پولهای دیجیتال نه تنها برای خود شما، بلکه برای اطرافیانتان نیز اهمیت دارد. به اشتراک گذاشتن این اطلاعات می‌تواند از سرقت‌های احتمالی جلوگیری کند.
با رعایت این اصول، می‌توانید امنیت دارایی‌های دیجیتال خود را به طرز چشمگیری افزایش دهید و از تهدیدات هکری در دنیای ارزهای دیجیتال جلوگیری کنید.
منبع: دیجی‌کالا
