احتيالات العملات الرقمية الشائعة وكيف تتجنّبها

في عام 2023، تعارفت متقاعدة في كاليفورنيا مع غريب ساحر على تطبيق مواعدة. تبادلا خلال أربعة أشهر مئات الرسائل — وصفات طبخ، صور عائلية، خطط للقاء أخيرًا. ثم جاءت نصيحة الاستثمار: منصة تداول عملات رقمية «خاصة» تحقق مكاسب ثابتة ومذهلة. أودعت 10,000 دولار وشاهدت لوحة البيانات ترتفع. أودعت أكثر. وعندما حاولت سحب «أرباحها»، كان الموقع قد اختفى، وتوقفت الرسائل، وتبخّر 1.2 مليون دولار من مدخرات عمرها في محفظة لن تستطيع تتبّعها أبدًا. لم يكن هناك غريب ساحر. كان هناك مستودع من المحتالين يشغّلون النص نفسه على ألف شخص في آنٍ واحد.

هذه ليست قصة رعب نادرة. سجّل مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (FBI) 5.6 مليار دولار من خسائر الاحتيال بالعملات الرقمية في عام 2023 — بزيادة 45% عن العام السابق — بينما قدّرت Chainalysis الجريمة الأوسع المرتبطة بالعملات الرقمية بأكثر من 14 مليار دولار. وهذه فقط الحالات التي أبلغ الناس عنها. الخجل يُبقي معظم الضحايا صامتين، فالرقم الحقيقي أكبر من ذلك بالتأكيد.

تستغل عمليات الاحتيال بالعملات الرقمية الروافع القديمة نفسها التي استغلتها كل عملية نصب قبلها — الطمع، والخوف، والوحدة، والثقة — لكنها معزَّزة بثلاث خصائص خاصة بهذه التقنية: المعاملات لا رجعة فيها، والعناوين مجهولة الهوية جزئيًا (pseudonymous)، والثقافة العامة تحتفي بأصول ترتفع 100 مرة في أسبوع. عندما يمكن لرمز أن يقفز شرعيًا بهذا الشكل بين عشية وضحاها، يصبح الخط بين «فرصة مذهلة» و«احتيال واضح» متعمَّد الغموض. هذا الغموض هو نموذج عمل المحتال بالكامل.

ما يلي ليس دائرة معارف شاملة. إنه حفنة من الهجمات التي تستنزف أكبر قدر من الأموال — مشروحة بتفصيل آلي كافٍ يتيح لك التعرّف على كل واحد منها قبل أن يصل إلى محفظتك، مع منظومة دفاع عملية يمكنك بناءها بعد ظهر اليوم.

يتسبب التصيّد الاحتيالي (phishing) في أكبر خسائر فردية من بين جميع نواقل الهجوم في العملات الرقمية، والآلية بسيطة بقسوة: موقع مزيّف يبدو مطابقًا للموقع الحقيقي — نفس الشعار، نفس الخطوط، نفس التصميم، ورابط مختلف بحرف واحد فقط. تربط محفظتك، وتوافق على معاملة تظنّها روتينية، ويستنزف عقد ذكي خبيث كل رمز أعطيته إذنًا بلمسه للتوّ.

النسخ الهاوية تحتوي أخطاء إملائية وصورًا مكسورة. النسخ الخطيرة لا عيب فيها. عرضت إعلانات Google روابط تصيّد باسم «Uniswap» و«MetaMask» تصدّرت النتائج الحقيقية. حسابات على X تنتحل هوية Vitalik Buterin أو حسابات بروتوكولات رسمية وتنشر روابط إسقاطات جوية مزيفة لملايين المتابعين. روبوتات Discord ترسل رسائل خاصة بروابط «سّك حصري» في اللحظة التي تنضم فيها إلى سيرفر NFT. في أوائل 2024، سرقت حملة تصيّد تتنكّر في هيئة رسالة «ترحيل المنصة» أكثر من 1.7 مليون دولار من NFT من مستخدمي OpenSea — أشخاص ظنّوا أنهم يؤكدون تحديثًا في حسابهم فقط.

أخطر تطور هو برنامج استنزاف المحافظ (Wallet Drainer) — شيفرة خبيثة جاهزة تُستأجر الآن كخدمة «Drainer-as-a-Service»، بحيث يستطيع حتى المجرمون غير التقنيين نشر أداة سرقة بمستوى محترف. لا يحتاج الـ Drainer إلى عبارة استعادتك. يحتاج فقط أن توقّع معاملة واحدة على صفحة مقنِعة، والتوقيع يفعل الباقي.

الدفاع مملّ، وهذا بالضبط سبب نجاحه:

• احفظ الروابط الحقيقية في المفضّلة ولا تصلها إلا من مفضلاتك — لا من إعلانات البحث، ولا من رسائل خاصة، ولا من منشورات اجتماعية.
• تحقّق من الرابط حرفًا بحرف قبل ربط محفظتك. انتبه للحروف المتبادلة (rn مقابل m)، والوصلات الزائدة، والنطاقات المتشابهة شكليًا.
• اقرأ ما توقّعه. نافذة محفظة تطلب «الموافقة على كل شيء» أو تمنح صلاحية إنفاق على رمز لا تتداوله فعليًا هي علامة تحذيرية.
• استخدم متصفحًا أو ملفًا مخصصًا للعملات الرقمية، مع محفظة أجهزة أو محفظة MPC لأي شيء ذي قيمة.

يطلق مطوّر رمزًا. يروّج له بلا هوادة على X وتيليجرام. يرتفع السعر مع تدفّق المشترين. ثم، في معاملة واحدة، يسحب المطوّر كل السيولة من مجمع DEX ويرحل. ينهار السعر إلى الصفر فورًا. يبقى كل مشترٍ ممسكًا برمز لا يستطيع بيعه فعليًا، لأنه لم تعد هناك سيولة يبيع فيها. هذا هو «البساط» الذي يُسحَب من تحتك.

رصدت Chainalysis أكثر من 2.8 مليار دولار من عائدات سحب البساط في عام 2021 وحده. رمز Squid Game (SQUID) هو الحالة المدرسية: ارتفع بنسبة 75,000% قبل أن يتبخّر المطورون بـ3.3 مليون دولار، وقد كتبوا شيفرة تجعل من المستحيل على الحاملين العاديين البيع من الأساس. معظم عمليات سحب البساط أصغر وأسرع بكثير — عملات ميم على منصات إطلاق تعيش لساعات قليلة قبل أن يقتلع ناشرها المجمع.

تأتي عمليات سحب البساط بثلاث نكهات آلية، ومن المفيد معرفة الفرق بينها:

• سرقة السيولة (السحب الصلب). يزرع الفريق مجمع سيولة ليبدو شرعيًا، ويسمح للمشترين بإضافة أموالهم، ثم يسحب كل شيء دفعة واحدة. صفر فوري.
• تصريف الرمز (السحب اللين). يحتفظ الفريق سرًّا بمعظم المعروض، ويضخّم السردية، ويبيع بهدوء في أوامر شرائك حتى ينهار المخطط. أبطأ، لكنها نهائية بالقدر نفسه.
• مصيدة الرمز غير القابل للبيع. يحتوي العقد على دالّة مخفية — «مصيدة عسل» (honeypot) — تمنع الجميع سوى المطورين من البيع. تستطيع الشراء طوال اليوم؛ لن تستطيع الخروج أبدًا.

تتجمّع علامات التحذير معًا. لا واحدة منها بمفردها دليل، لكن اثنتين أو ثلاثًا منها يجب أن توقفك تمامًا:

• فريق مجهول الهوية بلا سجل حافل يمكن التحقق منه.
• سيولة غير مقفلة بعقد قفل زمني (timelock) (بحيث يستطيع المطوّر سحبها في أي وقت).
• دالّة سّك (mint) في العقد، تتيح للمطوّر طباعة رموز جديدة بلا حدود.
• ملكية مركَّزة — تملك محافظ قليلة معظم المعروض.
• تسويق يبيع السعر لا المنتج — كل الضجة عن «100x»، بلا منفعة عملية فعلية.

تستطيع التحقق من معظم هذا بنفسك في خمس دقائق. على مستكشف كتل مثل Etherscan، تأكّد أن العقد مُوثَّق (verified) (الشيفرة المصدرية علنية) وتفقّد أكبر الحاملين. مرّر الرمز عبر فاحص مثل Token Sniffer أو Rug Doc لرصد شيفرة مصيدة العسل والسيولة غير المقفلة. إذا لم يستطع الرمز النجاة من هذا التدقيق الخمسي الدقائق، فهو لا يستحق أموالك.

يأتي الاسم البشع من الطريقة: يقوم المحتالون بـ«تسمين» الضحية بالعطف ومكاسب مزيفة صغيرة قبل «الذبح» — أخذ كل شيء دفعة واحدة. هي الآن أكبر فئة احتيال منفردة من حيث العائد في العملات الرقمية، وأفادت Binance بأن حالات تسمين الخنزير تضاعفت (بزيادة 100.5%) من 2022 إلى 2023. وعلى عكس برنامج الاستنزاف الذي يضرب في ثوانٍ، يمتد هذا الهجوم على أسابيع أو أشهر، وهذا بالضبط ما يجعله مدمّرًا بهذا الشكل: عندما يدخل المال في الصورة، تكون الضحية بالفعل واثقة تمامًا بالشخص على الطرف الآخر.

يسير على أربع مراحل، والتعرّف على الشكل هو أفضل دفاع لك:

• 1. التواصل. رسالة «رقم خطأ»، تعارف على تطبيق مواعدة، رسالة ودّية. البداية دائمًا حميمة وليست عن المال أبدًا.
• 2. التمهيد. أسابيع من محادثة حقيقية — تواصل يومي، قصص حياة، حميمية عاطفية. المحتال صبور، متعاطف، سهل التواصل. لا كلام مالي بعد.
• 3. التسمين. يذكرون بشكل عابر منصة استثمار «خاصة» أنتجت لهم نتائج جيدة. تودع مبلغًا صغيرًا وتُظهر لوحة البيانات مكاسب جميلة. حتى يسمحون لك بـسحب قليل لإثبات أن الأمر حقيقي. تلك السحبة الناجحة الواحدة هي الطُعم.
• 4. الذبح. بعد أن ازدادت جرأتك، تودع مدخراتك. عندما تحاول السحب، يُقال لك أنك مدين بـ«ضرائب» أو «رسوم» أولًا — مالًا إضافيًا يسعى وراء مالٍ لم يكن موجودًا أصلًا. ثم تختفي المنصة والشخص معًا.

كانت المنصة خيالًا منذ الشاشة الأولى. كانت «المكاسب» أرقامًا في قاعدة بيانات يتحكم بها المحتال. كانت البنية كلها مصمَّمة لصناعة الثقة، ثم تسليحها.

بعض عمليات الاحتيال لا تختبئ في عقد ذكي — بل تختبئ في جدول بيانات. يدفع مخطط بونزي (Ponzi) للمستثمرين الحاليين من أموال المستثمرين الجدد، لا من أي ربح حقيقي. طالما استمرت الودائع في النمو، تبدو «العوائد» المبكرة حقيقية وتكون الشهادات لامعة. في اللحظة التي تتباطأ فيها التدفقات، ينهار كل شيء، ويخسر كل من لا يزال بالداخل كل شيء.

تُضاعِف العملات الرقمية من هذه الحيلة لأن العوائد الفاحشة قد تبدو معقولة. عندما يرتفع رمز ميم حقًا 50 مرة، لا يُسجَّل وعد بـ«عوائد يومية 2%، مضمونة» فورًا على أنه خيال — مع أنه يتراكم إلى أكثر من 137,000% سنويًا، معدل لا يستطيع أي عمل تجاري نزيه على الأرض تحمّله باستمرار. أكبر مخطط بونزي في العملات الرقمية حتى الآن، BitConnect، وعد بحوالي 1% يوميًا، وجذب مليارات، وانفجر في عام 2018، مبخّرًا مدخرات عشرات آلاف الأشخاص.

العلامات رياضية، ولا تكذب:

• عوائد «مضمونة». كل استثمار حقيقي يحمل مخاطرة. كلمة «مضمون» بجانب رقم عائد هي أكبر علامة تحذير منفردة في التمويل.
• عوائد سلسة بشكل مريب. الأسواق الحقيقية تتقلّب. مخطط يرتفع بالمقدار نفسه كل يوم رقم مصنَّع، لا نتيجة تداول.
• ضغط الإحالة. إذا اعتمدت مكافأتك على تجنيد آخرين، فإن «العائد» هو مجرد إيداع الضحية التالية. هذا هرم، لا منتج.
• استراتيجية غامضة. «روبوت مراجحة ذكاء اصطناعي حصري» بلا نشاط قابل للتحقق على السلسلة يعني عدم وجود استراتيجية أصلًا — فقط أموالك تدفع لمن انضمّ قبلك.

طبّق فلترًا واحدًا على كل فرصة عائد: من أين يأتي العائد فعليًا؟ إذا لم تستطع تسمية مصدر اقتصادي حقيقي — رسوم تداول، فائدة إقراض، مكافآت تخزين قابلة للتحقق على السلسلة — فمن المرجّح أن المصدر هو المستثمر التالي، وأنت سيولة الخروج.

ليس كل احتيال معقّدًا. بعضها صاخب وفجّ ولا يزال ينجح، لأنه يستهدف لحظة شرود. عمليات انتحال الهوية والهدايا المجانية هي الكلاسيكية: حساب يبدو موثَّقًا يعد أنه إذا «أرسلت 1 ETH إلى هذا العنوان، ستحصل على 2 ETH في المقابل». لا أحد يضاعف أموالك مجانًا — أبدًا. الحساب الرياضي هو الاحتيال كله. الذكاء الاصطناعي زاد الأمر حدّة فقط: مقاطع فيديو مزيّفة (deepfake) لإيلون ماسك أو مؤسسي بروتوكولات عملات رقمية «تستضيف» الآن هدايا مباشرة تبدو محترفة الإنتاج.

يقوم اثنان أكثر هدوءًا بضرر أطول أمدًا:

• الإسقاطات الجوية الخبيثة. تستيقظ ووجدت رموزًا غامضة في محفظتك. المطالبة بها ترسلك إلى موقع يطلب منك الربط والتوقيع — وهذا التوقيع هو الفخ. لا يتطلب أي إسقاط جوي شرعي منك الدفع أو التوقيع على تصريح مريب لـ«فتحه». تعامل مع الرموز غير المتوقعة كطُعم، لا كهدية.
• تسميم العنوان. يرسل لك محتال معاملة صغيرة من عنوان مصمَّم ليبدو مطابقًا تقريبًا لعنوان تستخدمه كثيرًا — نفس الحروف الأولى والأخيرة القليلة. بعد ذلك، عندما تنسخ عنوانًا حديثًا من سجلّك لدفع أموال لشخص، تأخذ عنوانهم بالخطأ وترسل الأموال مباشرة إلى المهاجم. تحقّق دائمًا من العنوان كاملًا، لا من أطرافه فقط.

ثم هناك التهديد البطيء الجاثم في محفظتك الآن: تصاريح الرمز (token approvals). كل مرة تتداول على DEX، تمنح عقدًا ذكيًا صلاحية تحريك رمز بالنيابة عنك — ومعظم الواجهات تُعيَّن افتراضيًا إلى صلاحية غير محدودة. تلك الصلاحية لا تنتهي. إذا استُغلّ ذلك العقد لاحقًا، أو كان خبيثًا من البداية، فيمكنه استنزاف الرمز المُصرَّح به بعد شهور من أن تكون قد نسيت أن التفاعل حدث أصلًا. التصاريح القديمة على عقود مهجورة أو مخترقة هي أبواب سرية خامدة تحت أموالك.

الحل هو صيانة، لا عبقرية: راجع تصاريحك بشكل دوري بأداة مثل revoke.cash أو فاحص التصاريح في Etherscan، وألغِ أي شيء لا تستخدمه فعليًا. حيثما تستطيع، صرِّح فقط بالمقدار المحدد الذي تحتاجه بدلًا من منح وصول غير محدود.

لا تهزم المحتالين بأن تكون أذكى منهم في اللحظة — فهم يهندسون لحظات لا يكون فيها أحد في أفضل حالاته. تهزمهم بـبنية مُعدَّة مسبقًا، بحيث لا تكلفك أسوأ نقرة كثيرًا. هذه هي المنظومة، مرتّبة حسب الأثر.

1. اعزل محافظك. احتفظ بمحفظة «ساخنة» بأموال قليلة للتفاعلات اليومية — الربط بالتطبيقات اللامركزية، المطالبة بالإسقاطات الجوية، سّك NFT. احتفظ بمعظم محفظتك في محفظة أجهزة أو محفظة MPC لا تلامس عقودًا ذكية عشوائية أبدًا. إذا تعرّضت محفظتك الساخنة للتصيّد، تخسر مصروف جيب لا صافي ثروتك. هذه العادة الواحدة تحدّ من خسارتك المحتملة أكثر من أي شيء آخر.

2. مارس انضباط الروابط. احفظ في المفضّلة كل موقع حقيقي تستخدمه ولا تصله إلا من مفضلاتك. لا تصل أبدًا إلى منصة عملات رقمية عبر إعلان بحث، أو رسالة خاصة، أو رابط «دعم» أرسله لك أحدهم. تحقّق من النطاقات حرفًا بحرف قبل الربط.

3. حافظ على تصاريحك نظيفة. ألغِ تصاريح الرموز القديمة بانتظام وفضّل حدود إنفاق محددة على الحدود غير المحدودة. قائمة تصاريح نظيفة تعني أن عقدًا مُستغَلًا لا يجد شيئًا يخطفه.

4. اقرأ كل توقيع. تمهّل قبل التوقيع. إذا طلبت نافذة «الموافقة على كل شيء»، أو منحت وصولًا لرمز لا تتداوله، أو وصلت مع عدّاد تنازلي، توقّف وتحقّق. الاستعجال مُصنَّع.

تعود معظم الخسائر الكارثية في العملات الرقمية إلى واحد من فشلين: عبارة استعادة مسروقة، أو مسرَّبة، أو اُصطيدت من شخص — أو جهة حفظ مركزية تعاملت مع الأموال بسوء بهدوء، على طريقة FTX. صُمِّمت GaiaEx لإزالة نقطتَي الفشل الواحدتين هاتين من الطاولة تمامًا.

أمان مفاتيح MPC — لا عبارة استعادة لتُسرَق. مفتاحك الخاص لا يُجمَّع أبدًا في مكان واحد. باستخدام الحوسبة متعددة الأطراف (MPC)، يُقسَّم إلى شرائح مشفَّرة تحتفظ بها أطراف مستقلة، بحيث لا يحمل خادم واحد، أو جهاز واحد، أو شخص واحد المفتاح الكامل أبدًا. لا توجد عبارة استعادة رئيسية تخدع صفحة تصيّد بها منك، ولا ملف واحد يستطيع مهاجم استخراجه. السبب الأكثر شيوعًا للخسارة الكاملة — عبارة استعادة مخترقة — لا وجود له أصلًا في هذا النموذج.

بدون حفظ وصائي بالتصميم — لا سيناريو FTX. تحتفظ بالتحكم في أصولك. GaiaEx ليست خزنة مركزية يستطيع فيها مسؤول تنفيذي واحد تحريك أموال العملاء خلف أبواب مغلقة، لأنه لا يوجد باب مغلق أصلًا — تتم التسوية على السلسلة حيث يستطيع أي شخص التحقق منها.

تنفيذ على السلسلة تستطيع تدقيقه. تُسوَّى الصفقات على Hyperliquid L1 بنهائية أقل من ثانية، على دفتر عام. الثقة ليست في أن تحتفظ شركة GaiaEx بسجلات داخلية نزيهة؛ إنها في ضمانات رياضية للسلسلة نفسها.

لا شيء من هذا يجعلك محصَّنًا. لا توجد بورصة ولا تقنية تستطيع منعك من توقيع معاملة خبيثة أو تحويل مدخراتك إلى منصة استثمار غريب «رومانسي». منظومة الدفاع في القسم السابق لا تزال مسؤوليتك — عزل المحافظ، انضباط الروابط، نظافة التصاريح، واختبار الصفر دولار. ما تفعله GaiaEx هو تقليص سطح الفشل الكارثي إلى القرارات التي تتحكم بها فعليًا، وإزالة تلك التي لا ينبغي أن تفكّر بها أصلًا. هذه هي الصفقة النزيهة: تتعامل المنصة مع التشفير حتى لا تفقد عبارة استعادة لم تكن تملكها أبدًا، وأنت تتعامل مع الأحكام التي لا يستطيع أي برنامج اتخاذها بدلًا منك.