امنیت حساب و کیف پول ارز دیجیتال؛ ۵ لایه حفاظت برای مبتدی‌ها

مقدمه: چرا امنیت در ارز دیجیتال شخصی‌تر از همه‌جا است؟

در سیستم بانکی سنتی، اگر کسی به حساب شما دسترسی پیدا کند، معمولاً راه پیگیری و گاهی بازگشت وجه وجود دارد. در ارز دیجیتال، تراکنش‌ها اغلب برگشت‌پذیر نیستند و کسی که کلید خصوصی یا عبارت بازیابی را داشته باشد، عملاً دارایی را کنترل می‌کند. به همین دلیل بخش بزرگی از امنیت به رفتار خود کاربر وابسته است.

تصویر ۱: پنج لایه حفاظت از حساب و کیف پول

خبر خوب این است که با چند عادت ساده می‌توان ریسک را به‌طور محسوس کم کرد. در این مقاله پنج لایه حفاظت را بررسی می‌کنیم. همه عددها فرضی و آموزشی‌اند، هیچ کیف پول، صرافی یا سرویسی را معرفی یا رد نمی‌کنیم و این مقاله توصیه سرمایه‌گذاری نیست. ارز دیجیتال بسیار پرنوسان است و ممکن است بخشی یا همه سرمایه از بین برود. اگر با مفاهیم پایه آشنا نیستید، ابتدا مقاله ارز دیجیتال و بلاکچین چیست؟ را بخوانید.

اصل مهم: امنیت یعنی چند لایه، نه یک راه‌حل جادویی

هیچ ابزار یا عادتی امنیت صددرصد نمی‌دهد. رویکرد درست دفاع چندلایه است: اگر یک لایه شکست بخورد، لایه‌های دیگر هنوز مانع می‌شوند. در ادامه پنج لایه را به ترتیب می‌بینید و در پایان یک مثال عددی فرضی درباره پشتیبان‌گیری خواهیم زد.

لایه اول: رمز قوی و تأیید دومرحله‌ای

رمز یکتا برای هر حساب

بسیاری از نفوذها از رمزهای تکراری یا ضعیف شروع می‌شود. اگر در یک سایت رمز شما لو برود و همان رمز را جای دیگر هم استفاده کرده باشید، مهاجم آن را در بسترهای دیگر امتحان می‌کند. بنابراین برای هر حساب، به‌ویژه حساب‌های مالی و ایمیل مرتبط، رمز طولانی و یکتا بگذارید. برای مدیریت رمزها می‌توان از ابزارهای مدیریت رمز معتبر استفاده کرد؛ هر ابزاری را باید خودتان بررسی کنید و این مقاله هیچ محصولی را توصیه نمی‌کند.

تأیید دومرحله‌ای

تأیید دومرحله‌ای یعنی علاوه بر رمز، یک عامل دوم هم لازم باشد. معمولاً برنامه‌های تولید کد موقت یا کلید امنیتی فیزیکی، از پیامک ایمن‌تر در نظر گرفته می‌شوند، چون پیامک ممکن است از طریق ترفندهایی مثل انتقال شماره هدف قرار بگیرد. هر روشی که استفاده می‌کنید، کدهای پشتیبان را هم در جای امن نگه دارید.

ایمیل، حلقه ضعیف رایج

ایمیل شما معمولاً کلید بازیابی بقیه حساب‌هاست. اگر ایمیل هک شود، مهاجم می‌تواند رمز بسیاری از حساب‌ها را بازنشانی کند. پس ایمیل مرتبط با مسائل مالی را با رمز یکتا و تأیید دومرحله‌ای محافظت کنید.

لایه دوم: نگهداری عبارت بازیابی و پشتیبان‌گیری

عبارت بازیابی، کلید اصلی دسترسی به کیف پول شخصی است. هر کسی آن را داشته باشد دارایی را کنترل می‌کند و اگر آن را از دست بدهید و راه دیگری نداشته باشید، ممکن است دسترسی همیشه از دست برود. توصیه‌های رایج:

• هرگز عبارت بازیابی را به کسی ندهید؛ پشتیبان واقعی چنین چیزی نمی‌خواهد.
• عبارت را روی کاغذ یا بستر مقاوم آفلاین ثبت کنید، نه در عکس، یادداشت گوشی یا پیام‌رسان.
• جایی نگه دارید که در برابر آتش، آب و دسترسی افراد غیرمجاز مقاوم باشد.
• پیش از انتقال مبلغ زیاد، بازیابی را با مبلغ بسیار کوچک آزمایش کنید.

مثال عددی فرضی: چند نسخه پشتیبان کافی است؟

بیایید یک بده‌بستان را با عدد ببینیم. فرض کنید احتمال از بین رفتن یا غیرقابل‌استفاده شدن هر نسخه پشتیبان در یک بازه مشخص ۱۰ درصد و احتمال افشا یا دسترسی غیرمجاز به هر نسخه ۱ درصد باشد، و فرض کنید نسخه‌ها از هم مستقل‌اند. آنگاه:

• با یک نسخه: ریسک گم‌شدن ۱۰ درصد و ریسک افشا ۱ درصد است.
• با دو نسخه: ریسک گم‌شدن هر دو ۱ درصد (۰٫۱ ضرب در ۰٫۱) و ریسک افشای دست‌کم یکی حدود ۱٫۹۹ درصد است.
• با سه نسخه: ریسک گم‌شدن ۰٫۱ درصد و ریسک افشا حدود ۲٫۹۷ درصد.
• با چهار نسخه: ریسک گم‌شدن ۰٫۰۱ درصد و ریسک افشا حدود ۳٫۹۴ درصد.

یعنی افزایش تعداد نسخه‌ها احتمال گم‌شدن را به‌سرعت کم می‌کند، اما احتمال افشا را کم‌کم بالا می‌برد. برای همین «هرچه نسخه بیشتر بهتر» درست نیست؛ باید بین دو ریسک تعادل برقرار کرد. نمودار دوم این مقاله همین را نشان می‌دهد. این عددها کاملاً فرضی‌اند و برای نشان دادن منطق بده‌بستان هستند، نه توصیه یک تعداد مشخص.

تصویر ۲: تعداد نسخه پشتیبان؛ بده‌بستان ریسک گم‌شدن و افشا (فرضی)

لایه سوم: امنیت دستگاه

حتی بهترین رمز هم روی دستگاه آلوده مؤثر نیست. چند اصل ساده:

• سیستم‌عامل و برنامه‌ها را به‌روز نگه دارید.
• نرم‌افزار را فقط از منبع رسمی نصب کنید و از فایل‌های کرک‌شده و افزونه‌های ناشناس دوری کنید.
• پیوست‌ها و لینک‌های ناخواسته را باز نکنید.
• قفل صفحه و رمزگذاری دستگاه را فعال کنید.
• برای نگهداری مبلغ قابل‌توجه، استفاده از کیف پول سخت‌افزاری مطرح است؛ هر محصولی را خودتان بررسی کنید، چون هیچ دستگاهی بی‌خطر نیست و فقط ریسک را تغییر می‌دهد.
• از شبکه‌های عمومی و ناامن برای عملیات مالی پرهیز کنید.

لایه چهارم: احتیاط هنگام تعامل

فیشینگ و سایت جعلی

مهاجمان صفحه‌ای شبیه سایت اصلی می‌سازند و از شما می‌خواهند اطلاعات یا عبارت بازیابی را وارد کنید. آدرس را از منبع رسمی بررسی کنید و از لینک‌های پیام ناخواسته استفاده نکنید. برای آشنایی با روش‌های رایج کلاهبرداری، مقاله کلاهبرداری در ارز دیجیتال؛ ۵ روش رایج را بخوانید.

مجوز تراکنش

در برنامه‌های غیرمتمرکز ممکن است از شما مجوزی خواسته شود که به یک قرارداد اجازه برداشت از دارایی شما را بدهد. تأیید بی‌دقت چنین مجوزی می‌تواند خطرناک باشد. پیش از تأیید بخوانید که دقیقاً به چه چیزی اجازه می‌دهید و مجوزهای قدیمی غیرضروری را مرور کنید.

مهندسی اجتماعی

مهاجم ممکن است وانمود کند پشتیبان، مشاور یا دوست است. فشار زمانی، وعده سود و درخواست اطلاعات محرمانه نشانه‌های رایج‌اند. اگر پیامی شما را عجول می‌کند، مکث کنید.

تفاوت صرافی و کیف پول شخصی

در صرافی، حساب شما با رمز و تأیید دومرحله‌ای محافظت می‌شود و دارایی نزد شرکت است؛ در کیف پول شخصی، کنترل کلید با خودتان است. این تفاوت را در مقاله صرافی متمرکز و غیرمتمرکز چه تفاوتی دارند؟ ۴ تفاوت کلیدی و ریسک هر کدام ببینید و برای شناخت کیف پول، کیف پول ارز دیجیتال چیست؟ را بخوانید.

لایه پنجم: تفکیک و برنامه بازیابی

تفکیک دارایی

همه چیز را در یک جا نگه نداشتن، اصلی آشناست. می‌توان مبلغ مورد نیاز برای تعامل‌های روزمره را جدا از مبلغی که بلندمدت نگه داشته می‌شود مدیریت کرد. هر کدام ریسک و قواعد نگهداری خود را دارد. این تنها یک اصل مدیریت ریسک است و توصیه سرمایه‌گذاری نیست.

مبلغ آزمایشی

پیش از ارسال مبلغ بزرگ به هر آدرس یا سرویس جدید، یک مبلغ بسیار کوچک بفرستید و دریافت آن را بررسی کنید.

برنامه بازیابی اضطراری

یک برنامه ساده بنویسید: اگر گوشی گم شود چه می‌کنم؟ اگر به حساب نفوذ شود به کجا مراجعه می‌کنم؟ پشتیبان کجاست و چه کسی (در صورت لزوم) از وجود آن خبر دارد؟ این برنامه را دوره‌ای مرور کنید. در فایل اکسل، برگه‌ای برای ثبت موارد و یادآوری بازبینی دوره‌ای آماده شده است.

اگر مشکوک شدم حساب یا کیف پول در خطر است، چه کنم؟

• با آرامش و سریع عمل کنید. از دستگاه امن استفاده کنید.
• رمز و تأیید دومرحله‌ای حساب‌های مرتبط را تغییر دهید و نشست‌های فعال را ببندید.
• اگر کیف پول در خطر است و دارایی باقی مانده، در صورت امکان آن را به کیف پول جدید و امن منتقل کنید. اگر عبارت بازیابی لو رفته، کیف پول قدیمی را دیگر امن ندانید.
• به پشتیبانی رسمی سرویس از مسیر رسمی خودش اطلاع دهید، نه از لینک‌های پیام ناخواسته.
• در صورت قربانی شدن، به مراجع رسمی و قانونی کشور خود مراجعه کنید. بازگشت دارایی معمولاً تضمین‌شده نیست.

دانلود فایل اکسل کاربردی این مقاله

برای ارزیابی وضعیت امنیتی خودتان، یک فایل اکسل شش‌برگه‌ای آماده کرده‌ایم: فایل اکسل این مقاله. برگه‌های آن راهنما، امتیاز امنیت، پشتیبان‌گیری، برنامه بازیابی، چک‌لیست و نمودار هستند.

دانلود فایل اکسل این مقاله (رایگان)

• در برگه «امتیاز امنیت» به پرسش‌های بله و خیر پاسخ می‌دهید و امتیاز وزنی و مهم‌ترین نقاط ضعف را می‌بینید.
• در برگه «پشتیبان‌گیری» ریسک گم‌شدن و افشا را با احتمال‌های دلخواه برای تعداد مختلف نسخه محاسبه می‌کنید.
• در برگه «برنامه بازیابی» موارد مهم، فاصله بازبینی و ماه‌های گذشته از آخرین بررسی را وارد می‌کنید تا نیاز به بازبینی مشخص شود.
• چک‌لیست و نمودار هم برای مرور و تصویرسازی‌اند.

سلول‌های زرد ورودی‌اند. عددهای نمونه فرضی‌اند و فایل ضمانتی برای امنیت ایجاد نمی‌کند.

اشتباهات رایج مبتدی‌ها

• استفاده از رمز تکراری یا ضعیف.
• ذخیره عبارت بازیابی در عکس، پیام یا یادداشت آنلاین.
• تکیه بر پیامک به‌عنوان تنها تأیید دومرحله‌ای.
• باز کردن لینک پیام ناخواسته و نصب نرم‌افزار ناشناس.
• تأیید مجوزهای تراکنش بدون خواندن.
• ارسال مبلغ بزرگ بدون آزمایش مبلغ کوچک.
• نداشتن برنامه بازیابی: تا وقتی مشکل پیش نیاید، پشتیبان‌گیری فراموش می‌شود.
• باور اینکه یک ابزار گران‌قیمت همه ریسک‌ها را حذف می‌کند.

سؤالات متداول

مهم‌ترین اصل امنیت کیف پول چیست؟

هرگز عبارت بازیابی یا کلید خصوصی را به کسی ندهید و آن را آفلاین و امن نگه دارید.

تأیید دومرحله‌ای چرا مهم است؟

چون حتی اگر رمز لو برود، مهاجم بدون عامل دوم نمی‌تواند وارد شود.

آیا پیامک برای تأیید دومرحله‌ای کافی است؟

بهتر از نداشتن است، ولی معمولاً برنامه‌های تولید کد یا کلید امنیتی فیزیکی ایمن‌تر در نظر گرفته می‌شوند.

چند نسخه پشتیبان باید داشته باشم؟

مقدار واحدی وجود ندارد. تعداد بیشتر ریسک گم‌شدن را کم و ریسک افشا را زیاد می‌کند؛ باید بده‌بستان را بسنجید.

کیف پول سخت‌افزاری کاملاً امن است؟

هیچ دستگاهی کاملاً امن نیست؛ ریسک را تغییر می‌دهد. هر محصول را مستقل بررسی کنید.

فیشینگ چیست؟

تلاش برای فریب شما با صفحه یا پیام جعلی برای گرفتن اطلاعات یا مجوز.

اگر عبارت بازیابی لو رفت چه کنم؟

کیف پول قدیمی را ناامن بدانید و در صورت امکان دارایی را به کیف پول جدید منتقل کنید؛ بازگشت دارایی تضمینی نیست.

فایل اکسل را چگونه استفاده کنم؟

فقط سلول‌های زرد را تغییر دهید. فایل برای ارزیابی ساده و یادآوری است، نه ضمانت امنیت.

جمع‌بندی

پنج لایه حفاظت عبارت‌اند از: رمز قوی و تأیید دومرحله‌ای، نگهداری و پشتیبان‌گیری عبارت بازیابی، امنیت دستگاه، احتیاط هنگام تعامل، و تفکیک و برنامه بازیابی. هیچ لایه‌ای به‌تنهایی کافی نیست و امنیت صددرصد وجود ندارد؛ ترکیب لایه‌ها ریسک را کاهش می‌دهد. مهم‌ترین قانون این است: عبارت بازیابی را به کسی ندهید. عادت‌های ساده را حفظ کنید، با مبلغ کوچک آزمایش کنید و قوانین کشور خود را از منابع رسمی بررسی کنید.

برای ادامه یادگیری، مقاله‌های ارز دیجیتال و بلاکچین چیست؟، کیف پول ارز دیجیتال چیست؟، صرافی متمرکز و غیرمتمرکز چه تفاوتی دارند؟ ۴ تفاوت کلیدی و ریسک هر کدام و کلاهبرداری در ارز دیجیتال؛ ۵ روش رایج را بخوانید و فایل اکسل را دانلود کنید.

فراموش نکنید فایل اکسل رایگان این مقاله را دانلود کنید.

سلب مسئولیت: این مقاله صرفاً آموزشی است و توصیه سرمایه‌گذاری، خرید یا فروش نیست و هیچ کیف پول، صرافی، دستگاه، ابزار یا پروژه‌ای را معرفی یا رد نمی‌کند. هیچ روش امنیتی ضمانت صددرصدی ندارد. بازار ارز دیجیتال بسیار پرنوسان و پرریسک است و ممکن است بخشی یا همه سرمایه از بین برود. قوانین مربوط به ارز دیجیتال در کشورها متفاوت و در حال تغییر است؛ آن‌ها را از منابع رسمی بررسی کنید. عددها و احتمال‌ها فرضی‌اند. پیش از هر تصمیم با مشاور مالی مجاز مشورت کنید و در صورت قربانی شدن به مراجع رسمی و قانونی کشور خود مراجعه کنید.