التصيد الجليدي: زر 'تسجيل الدخول' الذي يفرغ محفظتك

ملخص: التصيد الجليدي لا يسرق كلمة مرورك؛ بل يسرق إذنك. من خلال خداعك للتوقيع على موافقة رمز مميز (Token Approval) ضارة، يمكن للمتسللين استنزاف أصولك متى شاؤوا. تشرح هذه المقالة وظيفة 'Approve' وكيفية استخدام Revoke.cash.

---

---

1. المفهوم: الموافقة (Approve) مقابل التحويل (Transfer)

في الإيثريوم/EVM، لا يمكن للعقد الذكي (مثل Uniswap) لمس رموزك المميزة ما لم تمنحه الإذن.

هناك طريقتان للتفاعل:

1. التحويل (Transfer): "أرسل 10 USDT إلى بوب". (إجراء لمرة واحدة).
2. الموافقة (Approve): "السماح لـ Uniswap بإنفاق ما يصل إلى 1,000 USDT من محفظتي". (إذن دائم).

الثغرة: تطلب معظم التطبيقات اللامركزية (dApps) "موافقة غير محدودة" من أجل الراحة، حتى لا تضطر إلى التوقيع على كل معاملة. المحتالون يسيئون استخدام هذا.

2. الهجوم: "تحديث الأمان"

تتلقى بريداً إلكترونياً أو ترى رابطاً على تويتر: "تحديث أمان OpenSea: تحقق من محفظتك لمنع فقدان الأصول."

تنقر على الرابط. يبدو تماماً مثل OpenSea.

تضغط على "تحقق" (Verify).

تظهر محفظتك طلب معاملة.

• لا تقول "Send ETH".
• تقول "SetApprovalForAll" أو "Approve WETH".
• عنوان المنفق (Spender Address) هو عقد المتسلل.

الفخ: تعتقد أنك "تسجل الدخول" أو "تتحقق". في الواقع، لقد وقعت للتو على وثيقة قانونية تقول: "أنا أسمح لهذا المتسلل بنقل جميع NFTs و WETH الخاصة بي متى أراد."

لا يسرقون الأموال على الفور. ينتظرون حتى تقوم بإيداع المزيد، ثم يستنزفون كل شيء دفعة واحدة.

3. كيفية قراءة المعاملة

قبل الضغط على "تأكيد" (Confirm)، انظر إلى علامة التبويب البيانات (Data) أو محاكاة المعاملة.

العلامات الحمراء 🚩

1. الوظيفة: SetApprovalForAll (هذا يعطي سيطرة بنسبة 100% على مجموعة NFT الخاصة بك).
2. الوظيفة: Approve (مع رقم ضخم مثل 1.1579e+59).
3. المنفق (Spender): عقد المجهول (تحقق على Etherscan - هل تم التحقق منه؟ هل يحمل اسم "Uniswap Router"؟).

4. العلاج: Revoke.cash

إذا كنت تشك في أنك وقعت على موافقة سيئة:

1. اذهب إلى Revoke.cash.
2. قم بتوصيل محفظتك (في وضع القراءة فقط أولاً).
3. قم بالفحص بحثاً عن "أذونات غير محدودة" (Unlimited Allowances) لعقود غير معروفة.
4. قم بإلغائها (Revoke) فوراً. يكلف هذا رسوم غاز صغيرة ولكنه يقطع الاتصال بالمتسلل.

تعلم المزيد: للتعمق في كيفية إغلاق هذه "الأبواب الخلفية"، اقرأ دليلنا حول الباب الخلفي المخفي. احذر أيضاً من تسميم العناوين، والذي يخدعك لإرسال الأموال طواعية.

الخاتمة

عبارة الاسترداد الخاصة بك هي مفتاح الخزنة. "الموافقات" هي للموقعين المعتمدين. لن تعطي توكيلاً رسمياً لحسابك المصرفي لشخص غريب - لا تعطي SetApprovalForAll لمواقع عشوائية.