استغلال الموافقة على الرموز: كيف يستنزف المحتالون محافظ الويب 3
استغلال الموافقة على الرموز هو عملية احتيال متقدمة في عالم الويب 3 حيث يقوم المهاجمون بخداع المستخدمين لتوقيع معاملة عقد ذكي تمنح إذنًا غير محدود لنقل رموز معينة من محافظهم. على عكس الاختراقات التقليدية، يتطلب هذا الهجوم موافقة صريحة من المستخدم—لكن الضحايا لا يفهمون ما الذي يوافقون عليه فعليًا. بمجرد الموافقة، ينفذ المحتالون معاملات استنزاف تنقل الرموز إلى عناوين يسيطرون عليها، غالبًا خلال ساعات. أصبح هذا الهجوم أكثر شيوعًا مع نمو التمويل اللامركزي (DeFi)؛ حيث أبلغت شركة تحليلات البلوكشين Chainalysis عن زيادة بنسبة 400% في سرقات الموافقة بين 2022 و2023، مع خسائر تجاوزت 280 مليون دولار سنويًا. يستغل هذا الأسلوب مبدأ تصميم أساسي في الويب 3: تحتاج العقود الذكية إلى أذونات موافقة للتفاعل مع رموز المستخدمين. يستغل المحتالون هذا عبر إخفاء طلبات الموافقة كمعاملات شرعية (يدعون أنها سك NFTs، تبادل رموز، أو تصويتات حوكمة) بينما يمنحون في الواقع حقوق نقل غير محدودة. ما يجعل هذا الهجوم خطيرًا هو التأخير الزمني—قد لا يدرك الضحايا أن محافظهم تعرضت للاختراق إلا بعد أيام أو أسابيع، وعندها تكون الرموز قد نُقلت بالفعل إلى خدمات الخلط والبورصات، مما يجعل الاسترداد شبه مستحيل.
الأساليب الشائعة
- •التصيد عبر واجهات تطبيقات لامركزية مزيفة: ينشئ المحتالون تطبيقات لامركزية مزيفة تحاكي منصات شرعية (مثل OpenSea، Uniswap، Aave)، لكنهم يعيدون توجيه المستخدمين إلى عقود ذكية خبيثة تطلب موافقات على الرموز بدلاً من تنفيذ الوظيفة المزعومة.
- •الهندسة الاجتماعية عبر Discord/Telegram: ينشر المهاجمون روابط مزيفة في خوادم مجتمعات الويب 3، مدعين وجود إسقاطات NFT حصرية، أو إسقاطات حوكمة، أو فرص زراعة عوائد تتطلب ربط المحفظة والموافقة على الرموز.
- •امتدادات متصفحات محافظ مخترقة: تتنكر امتدادات خبيثة لمتصفحات Chrome أو Firefox كأدوات MetaMask أو إدارة المحافظ، وتحقن طلبات موافقة مزيفة في تفاعلات التطبيقات اللامركزية الشرعية دون علم المستخدم.
- •استغلال ارتباك المستخدمين حول آليات الموافقة: يستغل المحتالون أن معظم المستخدمين لا يفهمون الفرق بين الموافقة على معاملة (توقيع إجراء واحد) والموافقة على رمز (منح وصول غير محدود مستقبلي)، ويستخدمون لغة تقنية تبدو حقيقية في طلباتهم.
- •حملات صيد ندرة NFT: ينشئ المهاجمون منصات تداول NFT مزيفة أو منصات إطلاق تقدم مجموعات نادرة، تطلب من المستخدمين الموافقة على الرموز للمطالبة أو المزايدة، ثم يستنزفون المحافظ فور الموافقة.
- •التلاعب المضلل في واجهة المستخدم/تجربة المستخدم: تعرض تطبيقات الاحتيال أوصاف معاملات غامضة ('تأكيد التبادل'، 'تمكين التداول') مع إخفاء كمية الموافقة الفعلية، وغالبًا ما تضبط سماحًا غير محدود (type(uint256).max) في الكود.
كيف تتعرّف عليه
- يُطلب منك الموافقة على رمز معين بينما يدعي التطبيق اللامركزي تقديم خدمة غير ذات صلة (مثل سك NFT يطلب الموافقة على رمز حوكمة لا تملكه).
- يُظهر طلب الموافقة مقدار سماح غير معتاد أو 'غير محدود' (يُعرض كرقم كبير جدًا أو MAX في تفاصيل المعاملة).
- رابط المعاملة أو نطاق التطبيق اللامركزي يحتوي على خطأ إملائي بسيط مقارنة بالإصدار الشرعي (مثل 'uniswapp.org' بدلًا من 'uniswap.org').
- تتلقى شاشة تأكيد معاملة لا توضح بوضوح ما توافق عليه أو لا تتطابق مع الإجراء الذي كنت تنوي تنفيذه.
- ينخفض رصيد محفظتك فجأة لرموز لم تقم بنقلها صراحةً، وغالبًا ما تلاحظ ذلك عند مراجعة سجل المحفظة ورؤية معاملات لم تقم بها.
- يطلب منك تطبيق لامركزي أو محفظة شرعية إعادة الموافقة على نفس الرمز مرارًا، وهو أمر يجب أن يكون ضروريًا مرة واحدة فقط إلا إذا استُهلك السماح بالكامل.
كيف تحمي نفسك
- تحقق دائمًا من نطاقات التطبيقات اللامركزية بكتابتها مباشرة في متصفحك بدلًا من النقر على روابط من وسائل التواصل الاجتماعي أو Discord أو البريد الإلكتروني—استخدم أداة تحقق من نطاقات البلوكشين مثل Revoke.cash للتأكد من صحة الروابط.
- استخدم خدمة مراقبة موافقات الرموز مثل Revoke.cash أو علامة التبويب Approvals في Etherscan لتدقيق جميع موافقات الرموز النشطة في محفظتك بانتظام وإلغاء الأذونات للخدمات التي لم تعد تستخدمها.
- وافق فقط على المبلغ المحدد الذي تحتاجه لمعاملة واحدة بدلاً من السماح غير المحدود؛ معظم التطبيقات اللامركزية الشرعية تتيح للمستخدمين إدخال مبالغ موافقة مخصصة.
- فعّل أدوات محاكاة المعاملات مثل Tenderly أو ميزة المحاكاة في Etherscan قبل توقيع أي معاملة لترى بالضبط ما سيحدث (أي الرموز التي ستتحرك وإلى أين).
- احتفظ بالرموز التي لا تتداولها نشطًا في محافظ تخزين باردة منفصلة (محافظ أجهزة مثل Ledger أو Trezor) لا تتصل أبدًا بالتطبيقات اللامركزية، لعزل تعرض الأصول ذات القيمة العالية.
- مارس استراتيجية 'المحفظة متعددة الطبقات': استخدم محفظة واحدة بمبالغ صغيرة للتفاعل مع التطبيقات اللامركزية والاختبار، واحتفظ بمحفظة آمنة منفصلة لحفظ الأصول طويلة الأمد، مما يقلل من الخسائر المحتملة في حال تعرض عنوان للاختراق.
أمثلة حقيقية
يرى مستخدم منشورًا على تويتر يروّج لإسقاط حصري على شبكة Ethereum L2 مع مكافآت مضمونة. ينقر على الرابط، ويربط محفظة MetaMask، ويرى زرًا بعنوان 'المطالبة بالإسقاط'. قبل المعالجة، يطلب التطبيق اللامركزي إذنًا لنقل رموز USDC الخاصة به (يعتقد أنها ضرورية للمطالبة). يوافق المستخدم على السماح غير المحدود. خلال 6 ساعات، يُنقل كامل رصيد USDC البالغ 18,000 دولار إلى عنوان المهاجم. كان الإسقاط مزيفًا؛ طلب الموافقة كان الهجوم الحقيقي.
يشارك مشرف Discord في مجتمع NFT شهير رابطًا إلى سوق NFT 'موثوق' يقدم وصولًا مبكرًا إلى مجموعة مرموقة. يُطلب من المستخدمين الذين يربطون محافظهم الموافقة على ETH للتداول. تعرض واجهة المستخدم معاملة واحدة، لكن مخفيًا في كود العقد موافقة غير محدودة على رمز مختلف (غالبًا رمز حوكمة ثمين يحمله الأعضاء). بعد يومين، يكتشف الضحايا أن رموز الحوكمة الخاصة بـ Uniswap قد استُنزفت، بإجمالي 25,000 دولار عبر المجموعة المتأثرة.
يتلقى مستثمر بريدًا إلكترونيًا تصيديًا يدعي أن مركز الإقراض الخاص به في Aave يتطلب إجراءً فوريًا بسبب 'تعديلات السيولة'. يربط البريد إلى واجهة Aave الحقيقية تقريبًا (خطأ إملائي بسيط في النطاق). عند تسجيل الدخول و'تأكيد' التعديل، يُفعّل طلب موافقة على الرموز يظن المستخدمون أنه صيانة روتينية. بعد ذلك، يستنزف المهاجم الرموز المعتمدة بصمت خلال الأسبوع التالي، وعندما يتوقف الضحية عن مراقبة المحفظة، يكتشف خسارة 34,000 دولار فقط خلال مراجعة محفظته الفصلية.
الأسئلة الشائعة
كيف يمكنني التمييز بين الموافقة الشرعية على التوكن وطلب الموافقة الاحتيالي؟
ماذا يجب أن أفعل فورًا إذا كنت قد وقعت بالفعل على موافقة توكن تبدو مشبوهة؟
كيف يجد المحتالون محفظتي ويقومون بتفريغها بعد أن أوافق لهم؟
ما هي الممارسات الأكثر أمانًا لربط محفظتي بالتطبيقات اللامركزية دون المخاطرة باستغلال الموافقات؟
هل يمكنني استرداد توكناتي إذا تم تحويلها بالفعل إلى محفظة المهاجم؟
أين تبلّغ — الدول العربية
القنوات الرسمية في منطقتك للإبلاغ عن هذا الاحتيال.
هيئة تنظيم الاتصالات السعودية
إبلاغبلاغات الاتصالات والاحتيال الرقمي في المملكة العربية السعودية.
مصر - الإدارة العامة لمكافحة جرائم الإنترنت
الجرائم الإلكترونيةالإدارة العامة لمكافحة جرائم الحاسبات والشبكات بوزارة الداخلية المصرية.
هل تعتقد أنك واجهت هذا الاحتيال؟
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), استغلال الموافقة على الرموز: كيف يستنزف المحتالون محافظ الويب 3 is described at https://scamlens.org/ar/encyclopedia/token-approval-exploit.