لا تنطوي معظم سرقات العملات المشفرة على اختراق متطور لبلوكتشين أو منصة تداول. بل تنطوي على إقناع شخص ما، لبضع ثوانٍ فقط، بالنقر على رابط، أو كتابة عبارة، أو الموافقة على معاملة لم يفهمها تماماً. هذا هو التصيد الاحتيالي، وقد وجدت جهات الرصد في هذا القطاع باستمرار أنه السبب الأول لخسائر العملات المشفرة الفردية عاماً بعد عام، حتى مع تطور الحيل المحددة المستخدمة.
أفادت شركة الأمن المتخصصة في البلوكتشين Scam Sniffer بأن عمليات التصيد الاحتيالي القائمة على مُفرِّغات المحافظ تسببت في خسائر بلغت نحو 84 مليون دولار عبر أكثر من 106,000 محفظة في عام 2025، بانخفاض حاد عن 494 مليون دولار خسرتها أكثر من 332,000 محفظة في العام السابق. هذا الانخفاض في إجمالي الخسائر مشجّع، لكن بقاء عدد الحوادث المنفصلة مرتفعاً يروي قصة أكثر أهمية: فالأدوات التي تشغّل هجمات التصيد الاحتيالي أصبحت الآن رخيصة ومؤتمتة ومتاحة على نطاق واسع، مما دفع المهاجمين إلى التحول من الضربات الكبيرة العرضية نحو حملات أوسع نطاقاً تستهدف صغار المستثمرين العاديين. وبلغ متوسط الخسارة لكل ضحية في عام 2025 نحو 790 دولاراً، وهو رقم منخفض بما يكفي لعدم إبلاغ كثير من الضحايا عنه، مما يعني على الأرجح أن الأرقام الحقيقية أعلى من ذلك.
ماذا يعني التصيد الاحتيالي فعلياً في سياق العملات المشفرة
في الخدمات المصرفية التقليدية، يعني التصيد الاحتيالي عادة خداع شخص ما لكتابة كلمة مرور في صفحة تسجيل دخول مزيفة. ويستعير التصيد الاحتيالي في مجال العملات المشفرة الفكرة نفسها لكن بطرق تنفيذ أكثر، لأن محفظة العملات المشفرة يمكن اختراقها عبر كلمة مرور، أو عبارة استرداد، أو مفتاح خاص، أو توقيع خبيث واحد. وفهم أي من هذه العناصر يسعى المهاجم للحصول عليه يساعد في تفسير سبب ظهور الرسائل بالشكل الذي تظهر به.
تصيد بيانات الاعتماد وعبارة الاسترداد
أقدم شكل من أشكاله يطلب المعلومات ببساطة. فصفحة تسجيل دخول مزيفة لمنصة تداول، أو تطبيق محفظة مستنسخ، أو نموذج دعم يطلب منك كتابة عبارة استردادك للتحقق من هويتك، كلها تحاول دفعك لتسليم المفتاح الرئيسي لأموالك مباشرة. للاطلاع على شرح تفصيلي كامل لكيفية عمل هذه الآلية تحديداً، راجع دليلنا حول سرقة عبارة الاسترداد.
تصيد الموافقات الخبيثة
أما التقنية الأحدث والأكثر شيوعاً الآن فلا تطلب عبارة استردادك على الإطلاق. فبدلاً من ذلك، تطلب منك صفحة مطالبة بتوزيع مجاني مزيفة، أو أداة سك NFT، أو أداة مبادلة رموز، توصيل محفظتك والموافقة على معاملة. ويكمن داخل تلك المعاملة إذن عقد ذكي يمنح المهاجم حق نقل الرموز خارج محفظتك متى شاء، أحياناً فوراً، وأحياناً بعد أيام أو أسابيع عندما تكون قد نسيت أنك زرت الموقع أصلاً. ولأنك من الناحية التقنية وقّعت الموافقة بنفسك، يصعب عكس هذا النوع من السرقة أو ملاحقته قضائياً أكثر من سرقة كلمة مرور مباشرة. ويتناول دليلنا حول تصاريح الرموز الخبيثة هذه الآلية بمزيد من التفصيل.
لا يحتاج هجوم التصيد الاحتيالي دائماً إلى عبارة استردادك. فمعاملة واحدة تُوافَق عليها في موقع مزيف يمكن أن تمنح المهاجم إذناً قائماً لتفريغ محفظتك لاحقاً.
هجوم تصيد احتيالي من البداية إلى النهاية
من المفيد استعراض مثال واقعي بدلاً من التعامل مع التصيد الاحتيالي كفئة مجردة، لأن كل خطوة على حدة تبدو عادية تماماً بذاتها. فالتسلسل وحده هو ما يتحول إلى سرقة.
الخطوة الأولى: تنبيه يبدو روتينياً
يتلقى الهدف رسالة بريد إلكتروني تبدو، للوهلة الأولى، مطابقة تماماً للإشعارات الأمنية التي ترسلها منصة تداوله الحقيقية بانتظام. يشير سطر الموضوع إلى تسجيل دخول من جهاز جديد من موقع غير مألوف، ويطابق اسم المرسل اسم المنصة، ويتضمن نص الرسالة شعار المنصة الحقيقي ونص التذييل المنسوخ مباشرة من رسالة أصلية. ويحمل زر نصاً مثل "تأمين حسابي" ويرتبط بنطاق يختلف عن النطاق الحقيقي بحرف واحد فقط، مثل حرف إضافي، أو امتداد نطاق مستبدَل، أو واصلة مُدرجة بين كلمتين.
الخطوة الثانية: صفحة تسجيل دخول تطلب أمراً إضافياً واحداً
تكون الصفحة المستنسخة مطابقة بصرياً لشاشة تسجيل الدخول الحقيقية، وغالباً ما تُبنى بنسخ الكود المصدري للصفحة الفعلية، بحيث لا يوجد ما يثير الشك عند النظر إليها. يُدخل الهدف بريده الإلكتروني وكلمة مروره كالمعتاد. ثم تطلب الصفحة المزيفة رمز التحقق بخطوتين، تماماً كما يفعل الموقع الحقيقي، وتُرسل بهدوء كلاً من كلمة المرور والرمز إلى جلسة المهاجم الخاصة مع المنصة الحقيقية في الوقت الفعلي، وهي تقنية تُعرف أحياناً بهجوم الخصم في المنتصف. ولأن الرمز يُستخدم خلال ثوانٍ، فإن نافذة الصلاحية القصيرة التي تحمي عادة التحقق بخطوتين لا توفر أي دفاع هنا.
الخطوة الثالثة: السحب الصامت
بامتلاك جلسة مصادَق عليها وفعّالة، يغيّر المهاجم عنوان السحب الخاص بالحساب، أو ببساطة يبدأ عملية سحب إلى محفظة يسيطر عليها إذا سمحت المنصة بذلك. أما في مسار محفظة الحفظ الذاتي، فالخطوة المكافئة هي طلب توقيع بدلاً من تسجيل دخول، حيث يُطلب من الهدف الموافقة على ما يبدو معاملة روتينية لكنها في الواقع موافقة على رمز أو تحويل متخفٍّ خلف اسم دالة مضلِّل. وفي كلتا الحالتين، بحلول الوقت الذي يلاحظ فيه الهدف أي أمر غير طبيعي، تكون الأموال قد غادرت الحساب فعلياً وبدأت التحرك عبر عدة محافظ وسيطة.
لا تبدو أي من هذه الخطوات الثلاث مثيرة عند النظر إليها بمعزل عن غيرها. رسالة بريد إلكتروني، صفحة تسجيل دخول، حقل إدخال رمز. وما يجعل التصيد الاحتيالي فعّالاً هو أن كل خطوة تعكس تفاعلاً عادياً تماماً أدّاه الهدف عشرات المرات من قبل، بحيث لا يثير أي شيء في التسلسل نوع التردد الذي قد يثيره طلب مريب بشكل واضح أكثر.
قنوات التوصيل التي يعتمد عليها المحتالون
آلية السرقة ليست سوى نصف القصة. أما النصف الآخر فهو كيفية وصول رابط التصيد الاحتيالي إليك أصلاً، وهنا أصبح المهاجمون أكثر إبداعاً بكثير.
- إعلانات محركات بحث تتصدر نتائج البحث عن اسم العلامة التجارية الحقيقي للمحفظة أو منصة التداول نفسها، مما يوجّه الباحثين إلى نسخة مطابقة تماماً
- إضافات متصفح مزيفة مُدرجة في متاجر تطبيقات رسمية، تحاكي محافظ معروفة
- رسائل مباشرة على X أو Telegram أو Discord من حسابات تنتحل صفة موظفي دعم أو فرق مشاريع
- حملات بريد إلكتروني تنتحل تنبيهات أمنية لمنصات التداول، تحذّر من محاولة تسجيل دخول تتطلب تحققاً فورياً
- حسابات تواصل اجتماعي حقيقية لمشاريع عملات مشفرة تم اختراقها أو استنساخها، تنشر روابط توزيع مجاني أو سك مزيفة
- رسائل نصية قصيرة تدّعي حظر عملية سحب وتطلب من المستلم تأكيد هويته عبر رابط
لماذا أصبحت محركات البحث قناة مفضّلة
يُعد الظهور المدفوع في نتائج البحث جذاباً لعمليات التصيد الاحتيالي لأنه لا يعتمد على خداع فلتر بريد مزعج أو تجاوز عملية التحقق من الحساب في منصة ما، بل يتطلب ببساطة دفع ثمن مساحة إعلانية. فبحث عن اسم محفظة معروفة قد يُظهر نتيجة برعاية تظهر فوق الموقع الحقيقي، ولأن الزائر كتب اسم العلامة التجارية بنفسه بدلاً من النقر على رابط غير مرغوب فيه، فإنه غالباً ما يفترض أن النتيجة الأولى لا بد أن تكون شرعية. تزيل منصات الإعلانات هذه القوائم فور الإبلاغ عنها، لكن قوائم جديدة تميل إلى الظهور من حسابات مختلفة خلال أيام، مما يعني أن هذه القناة تستمر في إنتاج ضحايا حتى مع إزالة الإعلانات الفردية.
لماذا يظل Telegram وDiscord قابلَين للاستغلال بشكل خاص
تتركز مجتمعات العملات المشفرة على Telegram وDiscord بشكل غير متناسب مقارنة بمعظم الصناعات الأخرى، وتجعل كلتا المنصتين من السهل جداً إنشاء حساب باسم عرض وصورة شخصية تحاكي عن قرب فريق دعم مشروع حقيقي. يمكن لمحتال الانضمام إلى خادم عام، ومراقبة القناة بحثاً عن أي شخص يصف مشكلة، وإرسال رسالة مباشرة خلال ثوانٍ، كل ذلك دون الحاجة إلى اختراق أي شيء. ولأن الخوادم نفسها رسمية ومليئة بمشاركين حقيقيين، فإن هذا السياق يمنح المنتحل شكلاً من أشكال المصداقية المستعارة لا تحصل عليها رسالة بريد إلكتروني باردة أبداً.
رصد الباحثون أيضاً ارتفاعاً حاداً في محتوى التصيد الاحتيالي المُولَّد بالذكاء الاصطناعي، إذ وجد تحليل أُجري عام 2025 زيادة بنحو 70 بالمئة في رسائل التصيد الاحتيالي المكتوبة بالذكاء الاصطناعي، والتي تُقرأ بشكل أكثر طبيعية ويصعب على فلاتر البريد المزعج والقراء البشريين على حد سواء رصدها مقارنة بالرسائل الأكثر ركاكة والمليئة بالأخطاء الإملائية قبل بضع سنوات. كما جعلت أدوات الذكاء الاصطناعي إنتاج مواقع مستنسخة مقنعة، وحملات تصيد احتيالي مترجمة تستهدف مستخدمين لا يتحدثون الإنجليزية، ورسائل مخصصة تشير إلى نشاط حقيقي للهدف، مثل عملية شراء NFT حديثة أو حيازة رمز معين مستخرجة من بيانات بلوكتشين عامة، أرخص بكثير.
لماذا لا يزال التصيد الاحتيالي ناجحاً مع المستخدمين ذوي الخبرة
من المغري افتراض أن التصيد الاحتيالي يوقع بالمبتدئين فقط، لكن هذا ليس ما تُظهره البيانات. فقد خسر متداولون محنّكون مبالغ بست وسبع خانات بسبب موافقة واحدة خاطئة بالنقر، غالباً لأن ضغط إطلاق رمز مباشر أو نافذة توزيع مجاني محدودة المدة يدفع الناس إلى التصرف قبل القراءة بعناية. ويصطنع المحتالون الإلحاح عمداً، عداد تنازلي، أو ادعاء بأن أول ألف محفظة فقط مؤهلة، أو تحذير بأن حسابك سيُعلَّق خلال 24 ساعة، لأن الإلحاح يعطّل الحذر الذي كان سيلتقط عادة اسم نطاق غير مألوف أو طلب إذن غير معتاد.
الدعم الفني المزيف نسخة فعّالة بشكل خاص من هذا النمط، إذ يستغل لحظة يكون فيها الضحية قلقاً بالفعل بشأن أمواله وباحثاً بنشاط عن المساعدة. هذا الأسلوب شائع بما يكفي ليستحق شرحاً خاصاً به، نتناوله في مقالنا حول احتيال الدعم الفني المزيف.
كيف أصبح التصيد الاحتيالي عملاً مُصنَّعاً
جزء مهم من سبب بقاء حجم التصيد الاحتيالي مرتفعاً حتى مع انخفاض الخسائر الفردية هو أن تشغيل حملة تصيد احتيالي لم يعد يتطلب مهارة تقنية تُذكر. فما يُسمى بحقائب التصيد الاحتيالي وحقائب تفريغ المحافظ تُباع أو تُؤجَّر في منتديات سرية كحزم جاهزة، تتضمن قوالب مواقع مستنسخة، وعقوداً ذكية مكتوبة مسبقاً مصمَّمة لطلب أوسع الموافقات الممكنة، ولوحات تحكم تتيح للمشتري تتبّع عدد المحافظ التي اتصلت وحجم ما تم تفريغه. وتعمل بعض هذه الحقائب وفق نموذج تسويق بالعمولة، حيث يحصل المطوّر الأصلي للحقيبة على حصة، غالباً ما بين 10 و20 بالمئة، من كل ما يسرقه الزبون باستخدام الأداة، وهو نموذج مشابه في بنيته لأعمال البرمجيات كخدمة الشرعية.
- مواقع مستنسخة جاهزة لمنصات تداول ومحافظ شهيرة، لا تتطلب من المشتري سوى إدخال عنوان محفظة لتلقي الأموال المسروقة
- عقود ذكية للتفريغ مصمَّمة لطلب أوسع موافقة إنفاق ممكنة افتراضياً، لتعظيم ما يمكن أخذه من توقيع واحد
- روبوتات Telegram آلية تُنبِّه المشغّل في اللحظة التي تتصل فيها محفظة جديدة، بحيث يمكن أن يحدث التفريغ الحساس للوقت بسرعة
- قنوات على غرار الدعم الفني داخل السوق الإجرامي نفسه، حيث يمكن لمشتري الحقائب الحصول على مساعدة في إعداد صفحات احتيالهم
يفسّر هذا التصنيع نمطاً قد يبدو محيّراً لولا ذلك، وهو استمرار ظهور صفحات تصيد احتيالي تستهدف علامات محافظ نفسها خلال أيام من إزالتها. فمشتري الحقيبة لم يبنِ الصفحة من الصفر ولا يحتاج إلى معرفة تقنية عميقة لإعادة إطلاقها على نطاق جديد بعد إدراج النطاق القديم في القائمة السوداء.
طرق عملية لتقليل تعرّضك للخطر
- احفظ الروابط الحقيقية لمنصات التداول والمحافظ التي تستخدمها كإشارات مرجعية، ولا تصل إليها أبداً عبر نتيجة بحث أو رابط في رسالة
- تعامل مع كل طلب اتصال بمحفظة كقرار يستحق التوقف، خصوصاً أي شيء ينطوي على موافقة بدلاً من تحويل بسيط
- استخدم واجهة محفظة أو إضافة متصفح تفكّ تشفير المعاملة وتعرض ما تفعله فعلياً قبل توقيعها
- راجع دورياً وألغِ تصاريح الرموز القديمة باستخدام أداة إلغاء موثوقة، فالأذونات المنسية نقطة دخول شائعة
- تعامل مع الرسائل المباشرة غير المرغوب فيها من حسابات دعم كعلامة تحذير افتراضياً، ففرق الدعم الشرعية لا تبادر عادة بالتواصل
- استخدم محفظة أجهزة لأي حيازات تتجاوز ما تحتاجه للتداول النشط، فالجهاز المادي يفرض خطوة تأكيد فعلية لا يمكن لمهاجم عن بُعد تكرارها
- تحقق من تفاصيل الشهادة ومن التهجئة الدقيقة للنطاق حرفاً بحرف قبل إدخال أي بيانات اعتماد، خصوصاً إذا وصلت إلى الصفحة عبر رابط بدلاً من كتابته بنفسك
قائمة تحقق سريعة قبل توصيل محفظة
قبل توصيل محفظة بأي موقع، يستحق الأمر المرور بقائمة تحقق ذهنية سريعة: هل وصلت إلى هذه الصفحة بكتابة العنوان بنفسك أو عبر إشارة مرجعية، لا عبر رابط؟ هل يطابق النطاق النطاق الرسمي تماماً، دون أحرف إضافية أو مستبدَلة؟ هل يُمارَس أي إلحاح، عداد تنازلي، أو ادعاء بتوافر محدود، أو تحذير بنفاد الوقت؟ إذا ظهر طلب توقيع، هل تعرض واجهة محفظتك وصفاً بلغة بسيطة لما يفعله، وهل يطابق ذلك الوصف ما كنت تتوقع حدوثه؟ فشل أي واحد من هذه الفحوصات سبب كافٍ للتوقف والتحقق بشكل مستقل قبل المتابعة.
إذا سبق أن وافقت على معاملة تندم عليها، فإن دليلنا حول إلغاء تصاريح الرموز يشرح كيفية مراجعة الأذونات القائمة وإلغائها قبل أن يمكن استخدامها ضدك.
إذا كنت تعتقد أنك تعرضت للتصيد الاحتيالي
السرعة مهمة. إذا اشتبهت في اختراق محفظة عبر رابط تصيد احتيالي، انقل أي أموال متبقية فوراً إلى محفظة جديدة بعبارة استرداد مُولَّدة حديثاً، بدلاً من محاولة تنظيف المحفظة القديمة. لا تتفاعل أكثر مع الموقع أو العقد المعني، ووثّق كل معرّف معاملة وطابع زمني ورسالة تلقيتها، إذ يُعد هذا السجل ما سيعتمد عليه أي تحقيق لاحق أو شكوى لدى منصة تداول. تعمل شركات مثل Coin Trace مع الضحايا لتتبع وجهة الأموال المسروقة بعد حادثة تصيد احتيالي، ولإعداد الوثائق التي تطلبها منصات التداول وجهات إنفاذ القانون عادة، مع أنه لا يمكن لأي محقق مشروع أن يضمن استرداد الأموال.
الأسئلة الشائعة
نعم. يمكن لموقع توزيع مجاني أو سك مزيف أن يطلب منك الموافقة على إذن عقد ذكي بدلاً من طلب عبارة استردادك مباشرة. وبمجرد توقيعك على تلك الموافقة، يمكن للمهاجم نقل الرموز خارج محفظتك دون أن يعرف عبارة استردادك إطلاقاً، أحياناً بعد وقت طويل من زيارتك للموقع الأصلي.
تحقق من التهجئة الدقيقة للنطاق حرفاً بحرف، فالنسخ المستنسخة كثيراً ما تستخدم أحرفاً مشابهة أو كلمات إضافية. تأكد من الموقع عبر حساب تواصل اجتماعي رسمي أو إشارة مرجعية بدلاً من نتيجة بحث أو رابط، وكن حذراً من أي موقع يضغط عليك لتوصيل محفظتك بسرعة.
أتمت المهاجمون جزءاً كبيراً من العملية، مما جعل تشغيل عدد كبير من الحملات الصغيرة رخيصاً بدلاً من عدد قليل من الحملات الكبيرة. تُظهر البيانات المُبلَّغ عنها انخفاض الخسائر لكل حادثة، لكن العدد الإجمالي للحوادث يظل مرتفعاً، مما يشير إلى استهداف واسع ومنخفض التكلفة لا إلى تراجع في التهديد الأساسي.
لا يمكن عكس أي معاملة على بلوكتشين عام بمجرد تأكيدها. أما الممكن فهو تتبّع وجهة الأموال لاحقاً، وهو ما يمكن أن يؤدي أحياناً إلى تجميد حساب في منصة تداول إذا استقرت الأموال في حساب خاضع للتحقق من الهوية.
المصادر وقراءات إضافية
- Wallet Drainer Phishing Losses Fall to $84M in 2025, Down 83% · Cryptonews
- Scam Sniffer 2025: Crypto Phishing Losses Fall 83% to $84 Million · Scam Sniffer
- Cryptocurrency and AI Scams Bilk Americans of Billions · Federal Bureau of Investigation