عبارت کلیدی چیست؟ چرا به اشتراک گذاری آن می تواند کل کیف پول ارز دیجیتال شما را از بین ببرد

عبارت کلیدی خطرناک به نظر نمی رسد. این فقط چند کلمه معمولی است که هنگام راه اندازی کیف پول نوشته می شود. هیچ شماره حسابی، هیچ کلید خصوصی، هیچ نشانه ای از اینکه آن کلمات ممکن است هزاران یا میلیون ها ارزش داشته باشند وجود ندارد.

اما برای یک کیف پول خود-سرپرست، آن عبارت بازیابی بدون شک حساس ترین اطلاعاتی است که تا به حال در اختیار خواهید داشت.

هر کسی که به آن دسترسی پیدا کند می تواند کیف پول شما را در دستگاه دیگری بازیابی کند و همه چیز را ببرد - بدون نیاز به تلفن، کیف پول سخت افزاری یا پین.

به همین دلیل است که قانون طلایی امنیت ارز دیجیتال تغییری نکرده است: هرگز عبارت کلیدی خود را به اشتراک نگذارید.

مشکل اینجاست که روش هایی که مهاجمان برای دستیابی به آن استفاده می کنند، تغییر کرده است. در سال ۲۰۲۶، این فقط ایمیل های فیشینگ نیست. برنامه های جعلی، کلاهبرداری های سفارشی شده برای افراد پس از نشت داده ها، خدمات بازیابی جعلی و حتی مواردی که خود تولید عبارت کلیدی معیوب بوده است، وجود دارد.

به خاطر سپردن قانون کافی نیست. درک اینکه آن عبارت کلیدی در واقع چه چیزی را باز می کند - این چیزی است که شما را از تبدیل شدن به تیتر بعدی باز می دارد.

عبارت کلیدی چیست؟

عبارت کلیدی، که به آن عبارت بازیابی، پشتیبان کیف پول یا عبارت یادآور نیز گفته می شود، دنباله ای از کلمات است که برای بازسازی کلیدهای رمزنگاری مرتبط با یک کیف پول خود-سرپرست استفاده می شود.

بسته به کیف پول، معمولاً شامل ۱۲ یا ۲۴ کلمه است. خود ارز دیجیتال در این کلمات ذخیره نمی شود. دارایی ها در بلاک چین های مربوطه ثبت می شوند.

آنچه عبارت کلیدی فراهم می کند، راهی برای بازسازی کلیدهایی است که به کاربر کنترل آن دارایی ها را می دهد.

این تمایز زمانی مهم می شود که تلفن گم شود یا کیف پول سخت افزاری از کار بیفتد. دستگاه فیزیکی اغلب قابل تعویض است. اگر مالک هنوز عبارت بازیابی صحیح را داشته باشد، معمولاً می توان کیف پول را در یک دستگاه سازگار بازیابی کرد.

این امر عبارت کلیدی را بسیار مفید می کند. همچنین آن را در دستان اشتباه بسیار خطرناک می کند.

عبارت کلیدی با رمز عبور یکسان نیست

یکی از رایج ترین اشتباهات امنیتی کیف پول، رفتار با عبارت بازیابی مانند یک رمز عبور ورود دیگر است.

آنها اهداف بسیار متفاوتی را انجام می دهند. رمز عبور یا پین کیف پول معمولاً از دسترسی به یک دستگاه خاص یا برنامه کیف پول محلی محافظت می کند. مهاجمی که رمز عبور را یاد می گیرد ممکن است هنوز به آن دستگاه نیاز داشته باشد. عبارت کلیدی قابل حمل است.

کسی که آن را به دست می آورد ممکن است بتواند کیف پول را در جای دیگری وارد کند بدون اینکه رمز عبور دستگاه اصلی را بداند.

به همین دلیل است که تغییر رمز عبور کیف پول، مشکل به خطر افتادن عبارت کلیدی را حل نمی کند. اگر مهاجم از قبل عبارت بازیابی را داشته باشد، راز اساسی تغییر نکرده است. راه مفید برای فکر کردن به آن این است: رمز عبور از یک رابط محافظت می کند. عبارت کلیدی می تواند مالکیت را بازیابی کند.

اگر کسی عبارت کلیدی شما را بگیرد چه اتفاقی می افتد؟

مهاجم ممکن است نیازی به "هک" هیچ چیز نداشته باشد. آنها می توانند نرم افزار کیف پول سازگار را باز کنند، گزینه بازیابی را انتخاب کنند، کلمات دزدیده شده را به ترتیب صحیح وارد کنند و کیف پول را بازسازی کنند.

هنگامی که کلیدها بازیابی شدند، ممکن است بتوانند دارایی ها را به آدرس هایی که کنترل می کنند منتقل کنند.

تراکنش های بلاک چین معمولاً پس از تایید، دشوار یا غیرممکن برای معکوس کردن هستند. هیچ بخش خدمات مشتری جهانی وجود ندارد که بتواند یک تراکنش بیت کوین یا اتریوم غیرمجاز را صرفاً به این دلیل که صاحب واقعی فریب خورده است، لغو کند.

این یک قانون امنیتی مهم ایجاد می کند: هنگامی که یک عبارت کلیدی به شخص دیگری فاش شد یا در یک سرویس غیرقابل اعتماد وارد شد، ایمن ترین فرض این است که کیف پول به خطر افتاده است.

اینکه هنوز هیچ وجهی منتقل نشده است، اثبات نمی کند که عبارت هنوز خصوصی است. مهاجم ممکن است صبر کند.

کلاهبرداری های عبارت کلیدی در حال متقاعد کننده تر شدن هستند

فیشینگ مدرن دیگر نیازی به آماتور بودن ندارد. مهاجمان می توانند نام واقعی شما، آدرس ایمیل، شماره تلفن، آدرس منزل یا حتی نام تجاری کیف پول سخت افزاری که خریداری کرده اید را بدانند.

یک حادثه اخیر مربوط به Trezor دلیل آن را نشان می دهد. در ۱۲ اوت ۲۰۲۶، Trezor فاش کرد که یکی از ارائه دهندگان حمل و نقل آن، ShipMonk، دچار دسترسی غیرمجاز شده است. Trezor گفت که اطلاعات ۱۱,۷۴۲ مشتری شامل نام، ایمیل، شماره تلفن و آدرس حمل و نقل فاش شده است، در حالی که اطلاعات محدودتری برای ۱۹۴۷ مشتری دیگر فاش شده است. Trezor تاکید کرد که کیف پول ها و سیستم های آن به خطر نیفتاده اند.

نگرانی امنیتی این است که چه اتفاقی ممکن است بعداً بیفتد.

مهاجمی که اطلاعات واقعی مشتری را دارد می تواند یک پیام فیشینگ بسیار قابل باورتر بسازد:

• “سفارش Trezor شما تحت تأثیر قرار گرفته است.”

• “ما یک مشکل امنیتی مرتبط با دستگاه شما شناسایی کرده ایم.”

• “بلافاصله از این پورتال بازیابی استفاده کنید.”

قربانی ممکن است به پیام اعتماد کند زیرا فرستنده جزئیاتی را می داند که به نظر خصوصی می رسند. اما داشتن اطلاعات شخصی شما اثبات نمی کند که فرستنده نماینده سازنده کیف پول است.

خطر جدید کیف پول در سال ۲۰۲۶: تولید عبارت کلیدی ضعیف

بیشتر آموزش های عبارت کلیدی بر آنچه پس از ایجاد کیف پول اتفاق می افتد تمرکز می کنند. یک حادثه امنیتی مهم در سال ۲۰۲۶ نشان داد که خود فرآیند ایجاد نیز مهم است.

در ۳۰ ژوئیه، سازنده Coldcard، Coinkite، یک مشکل تولید عبارت کلیدی را که بر نسخه های خاصی از سفت افزار تأثیر می گذارد، فاش کرد. Coinkite گفت که یک خطای ادغام باعث شده است که تولید کیف پول تحت تأثیر، از یک مولد عدد تصادفی نرم افزاری به جای مسیر تصادفی سخت افزاری مورد نظر استفاده کند.

مشکل این است که یک عبارت کلیدی که با تصادفی بودن رمزنگاری ناکافی تولید شده است، ممکن است قابل پیش بینی تر از آنچه باید باشد.

راهنمایی فعلی Coinkite بیان می کند که کاربران تحت تأثیر باید به یک عبارت کلیدی کاملاً جدید که با استفاده از سفت افزار اصلاح شده تولید شده است، مهاجرت کنند. مهمتر از آن، به روز رسانی سفت افزار به تنهایی یک عبارت کلیدی که از قبل تحت تأثیر قرار گرفته است را تعمیر نمی کند.

این اصل شایسته یادآوری است: انتقال یک عبارت کلیدی ضعیف یا به خطر افتاده به یک دستگاه جدید، عبارت کلیدی را قوی تر نمی کند. ضعف متعلق به خود راز است.

تولید عبارت کلیدی ضعیف فقط مشکل کیف پول سخت افزاری نیست

گزارش امنیتی ارز دیجیتال MetaMask در ژوئیه ۲۰۲۶ نیز تحقیق "Ill Bloom" در مورد تولید عبارت کلیدی ضعیف کیف پول را برجسته کرد.

بر اساس خلاصه یافته های MetaMask، هزاران کیف پول به دلیل شیوه های تولید عبارت کلیدی ضعیف که عمدتاً با پیاده سازی های خاص کیف پول های قدیمی تر یا کمتر شناخته شده مرتبط بود، به طور بالقوه در معرض خطر قرار گرفتند. MetaMask تاکید کرد که یک عبارت کلیدی به خطر افتاده باید به عنوان یک مشکل در سطح عبارت کلیدی تلقی شود و راه حل موثر ایجاد یک کیف پول کاملاً جدید با تصادفی بودن امن و انتقال دارایی ها است.

این یک شرط مهم به قانون آشنا اضافه می کند: "هرگز عبارت کلیدی خود را به اشتراک نگذارید."

این قانون همچنان ضروری است، اما امنیت مدرن کیف پول همچنین نیازمند اطمینان از این است که عبارت کلیدی در وهله اول به درستی تولید شده است.

هوش مصنوعی جعل هویت را دشوارتر می کند

حتی تماس های ویدیویی نیز به عنوان اثبات هویت کمتر قابل اعتماد می شوند. در ژوئیه ۲۰۲۶، FBI در مورد کلاهبردارانی که خود را به عنوان پرسنل FBI و مرکز شکایت جرایم اینترنتی جا می زدند و افرادی را که قبلاً پول خود را از دست داده بودند هدف قرار می دادند، هشدار داد.

FBI گفت کلاهبرداران از سایت های جعلی و همچنین ویدیوهای تولید شده توسط هوش مصنوعی، از جمله مطالبی که برای شبیه سازی مدیران اجرایی، مقامات یا سایر چهره های مورد اعتماد طراحی شده بودند، استفاده می کردند.

این برای کاربران ارز دیجیتال مهم است زیرا "من شخص را در ویدیو دیدم" شواهد ضعیف تری می شود.

اگر کسی که ادعا می کند نماینده یک ارائه دهنده کیف پول، صرافی، سازمان اجرای قانون یا شرکت بازیابی است، اسرار کیف پول یا پرداخت را درخواست کرد، درخواست را از طریق یک کانال رسمی مستقل تأیید کنید.

شخص را با استفاده از شماره تلفن، لینک یا کد QR که همان شخص به شما داده است، تأیید نکنید.

اگر عبارت کلیدی شما فاش شد چه باید بکنید؟

اگر دلیل قوی دارید که معتقدید یک عبارت بازیابی فاش شده است، باید کیف پول اصلی به عنوان به خطر افتاده تلقی شود.

رویکرد ایمن تر معمولاً ایجاد یک کیف پول کاملاً جدید با یک عبارت بازیابی جدید با استفاده از نرم افزار یا سخت افزار کیف پول مورد اعتماد، تأیید دقیق پشتیبان جدید و انتقال دارایی ها به آدرس های تحت کنترل کلیدهای جدید است.

کاربرانی که با آسیب پذیری رسمی کیف پول سروکار دارند باید دستورالعمل های مهاجرت تأیید شده سازنده را دنبال کنند. پاسخ Coinkite به حادثه تولید عبارت کلیدی سال ۲۰۲۶ دقیقاً از این مدل پیروی می کند: نصب سفت افزار اصلاح شده، ایجاد یک عبارت کلیدی کاملاً جدید، تأیید پشتیبان و انتقال وجوه با دقت.

از جستجوی "ابزارهای مهاجرت کیف پول" تصادفی پس از یک حادثه امنیتی خودداری کنید. رویدادهای امنیتی بزرگ اغلب فرصت هایی برای کمپین های فیشینگ ثانویه ایجاد می کنند.

عبارت کلیدی در مقابل امنیت حساب صرافی

کیف پول های خود-سرپرست و حساب های صرافی متمرکز از مدل های امنیتی متفاوتی استفاده می کنند.

یک حساب صرافی استاندارد معمولاً با اعتبار حساب، کنترل های هویتی و مکانیزم های احراز هویت محافظت می شود تا یک عبارت کلیدی کیف پول که کاربر مستقیماً مدیریت می کند.

به عنوان مثال، Tapbit فعال کردن احراز هویت دو عاملی مبتنی بر Google Authenticator را برای اقدامات حساب از جمله ورود، برداشت و تغییرات در تنظیمات امنیتی توصیه می کند. Tapbit همچنین بیان می کند که کارکنان آن از کاربران نمی خواهند که رمزهای عبور حساب یا کدهای تأیید احراز هویت را فاش کنند.

این تمایز مهم است زیرا کلاهبرداران اغلب اصطلاحات را عمداً مخلوط می کنند. یک فرآیند پشتیبانی صرافی قانونی نباید ناگهان از کاربر بخواهد که عبارت کلیدی یک کیف پول خود-سرپرست نامرتبط را ارائه دهد.

کاربرانی که به حساب صرافی خود دسترسی دارند همچنین باید اطمینان حاصل کنند که از دامنه رسمی استفاده می کنند. Tapbit به کاربران در مورد وب سایت های جعلی هشدار می دهد و بیان می کند که tapbit.com دامنه پلت فرم رسمی آن است.

کاربران می توانند به وب سایت رسمی Tapbit دسترسی پیدا کنند، از صفحه ورود Tapbit برای حساب موجود استفاده کنند، یا یک حساب Tapbit ثبت نام کنند.

نکات نهایی

عبارت کلیدی صرفاً یک رمز عبور کیف پول نیست. این یک مکانیزم بازیابی است که قادر به بازسازی کلیدهایی است که یک کیف پول خود-سرپرست را کنترل می کنند.

به همین دلیل است که به اشتراک گذاری آن می تواند بسیار پرهزینه باشد.

سارقی که عبارت را به دست می آورد ممکن است به کیف پول سخت افزاری، تلفن، پین یا رمز عبور شما نیازی نداشته باشد. اگر کیف پول را بتوان در جای دیگری بازیابی کرد، مهاجم می تواند سعی کند دارایی ها را از جایی دیگر منتقل کند.

محیط امنیتی نیز پیچیده تر شده است. پیام های فیشینگ می توانند حاوی اطلاعات واقعی مشتری باشند. برنامه های کیف پول جعلی می توانند در بازارهای معتبر ظاهر شوند. هوش مصنوعی می تواند جعل هویت را متقاعد کننده تر کند. و همانطور که حوادث اخیر تولید عبارت کلیدی نشان می دهد، کاربران همچنین نیاز به اطمینان دارند که کیف پول آنها عبارت کلیدی را در وهله اول به طور ایمن تولید کرده است.

قانون همچنان ساده است: عبارت بازیابی خود را به اشتراک نگذارید، آن را در نرم افزار غیرقابل اعتماد وارد نکنید و یک مورد به خطر افتاده شناخته شده را دلیلی برای انتقال به کلیدهای کاملاً جدید بدانید.

در خود-سرپرستی، محافظت از عبارت بازیابی فقط محافظت از دسترسی به کیف پول نیست. این محافظت از مالکیت است.

سوالات متداول

عبارت کلیدی در ارز دیجیتال چیست؟

عبارت کلیدی دنباله ای از کلمات است که برای بازیابی کلیدهای رمزنگاری مرتبط با یک کیف پول خود-سرپرست ارز دیجیتال استفاده می شود. همچنین معمولاً عبارت بازیابی یا پشتیبان کیف پول نامیده می شود.

آیا عبارت کلیدی همان کلید خصوصی است؟

دقیقاً نه. یک کلید خصوصی یک حساب یا آدرس بلاک چین خاص را کنترل می کند. یک عبارت کلیدی می تواند توسط کیف پول های سازگار برای استخراج چندین کلید خصوصی و بازیابی کل ساختار کیف پول استفاده شود.

آیا عبارت کلیدی همان رمز عبور کیف پول است؟

نه. رمز عبور یا پین کیف پول معمولاً از دسترسی به یک برنامه یا دستگاه خاص محافظت می کند. عبارت کلیدی می تواند برای بازسازی کیف پول در جای دیگر استفاده شود.