کیف پول‌های رمزارز در Mac چطور خالی می‌شوند، و چطور جلویش را بگیریم.

1بدافزارهای سارق کجا دنبال عبارت بازیابی شما می‌گردند

بدافزارهای سارق Mac مستقیم سراغ کیف پول‌ها می‌روند. Atomic (AMOS) حدود 50 افزونه کیف پول مرورگر و کیف پول‌های دسکتاپ مانند Electrum و Exodus را هدف می‌گیرد، به‌علاوه Keychain و فایل‌های روی Desktop و در Documents (BleepingComputer، 2023). MacSync که در 2025 و 2026 از راه دستورهای پیست‌شده در Terminal پخش شد، عبارت‌های بازیابی کیف پول‌های رمزارز را همراه با Keychain برمی‌دارد (The Hacker News، 16 مارس 2026).

پس عبارت بازیابی‌ای که در Notes تایپ شده، به‌صورت فایل .txt ذخیره شده، به شکل اسکرین‌شات مانده یا برای خودتان ایمیل شده، فقط یک جست‌وجو با هر بدافزار سارقی فاصله دارد که روی Mac اجرا شود، حتی برای یک دقیقه.

2عبارت‌هایی را که روی Mac جا گذاشته‌اید پیدا کنید

این دستورها فایل‌هایی روی Mac را فهرست می‌کنند که متنشان کلمه‌هایی دارد که مردم کنار عبارت بازیابی می‌نویسند. فقط جست‌وجو می‌کنند؛ چیزی را باز نمی‌کنند و نمی‌فرستند:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Screenshots (اسکرین‌شات‌ها) را هم نگاه کنید: در Photos عبارت «recovery phrase»، «seed» یا «wallet» را جست‌وجو کنید؛ Photos متن داخل عکس‌ها را پیدا می‌کند. وقتی عبارت را روی کاغذ نوشتید، آنچه پیدا کردید را حذف کنید، سپس Trash و آلبوم Recently Deleted را خالی کنید.

3تعویض آدرس در کلیپ‌بورد

یک کلیپر (clipper) کلیپ‌بورد شما را زیر نظر دارد. وقتی چیزی را کپی می‌کنید که شبیه آدرس رمزارز است، آدرس مهاجم از همان نوع را جایش می‌گذارد، پس آنچه پیست می‌کنید همان چیزی نیست که کپی کرده‌اید.

عادتی که جلویش را می‌گیرد: بعد از پیست کردن، کل آدرس را، نه فقط چند نویسه اول و آخر، با آدرسی که در نظر داشتید مقایسه کنید. روی کیف پول سخت‌افزاری، پیش از تأیید آن را روی صفحه دستگاه مقایسه کنید.

4مسموم‌سازی آدرس: آدرس مشابه در تاریخچه شما

مهاجمان مبالغ بسیار کوچکی از آدرس‌هایی می‌فرستند که ابتدا و انتهایشان شبیه آدرس‌هایی است که استفاده کرده‌اید، تا یک آدرس مشابه در تاریخچه خودتان بنشیند. یک بار از تاریخچه کپی کنید و پول به آن‌ها می‌رسد.

این روش جواب می‌دهد: دو نفر در دسامبر 2025 و ژانویه 2026 از این راه بیش از 62 میلیون دلار از دست دادند، یکی حدود 50 میلیون دلار و دیگری 12.2 میلیون دلار، دومی پس از کپی کردن آدرسی از تاریخچه تراکنش‌هایش (Cointelegraph درباره آمار Scam Sniffer، 9 فوریه 2026).

برای MLX هم پیش آمد: درست پس از آنکه MLX در 2 نوامبر 2026 دارایی‌هایش را به کیف پول‌های سرد تازه منتقل کرد، آدرس‌های مشابه شروع کردند به فرستادن مبالغ ناچیز (dust) به آن‌ها روی Solana و BNB Chain.

• هرگز آدرسی را از تاریخچه تراکنش‌هایتان کپی نکنید.
• آدرس‌هایی را که زیاد به آن‌ها پول می‌فرستید به‌عنوان مخاطب ذخیره کنید و از همان‌جا انتخابشان کنید.
• مبالغ ناچیز ورودی از آدرس‌های ناشناس را نادیده بگیرید. آن‌ها را پس نفرستید.
• به هر آدرس تازه اول مبلغ آزمایشی کوچکی بفرستید و مطمئن شوید رسیده است.

5بررسی پنج‌دقیقه‌ای کیف پول

1. Mac را برای عبارت‌های نوشته‌شده (با دستورهای بالا) و اسکرین‌شات‌هایتان بگردید.
2. صفحه افزونه‌های مرورگرتان را باز کنید. فقط کیف پول‌هایی را نگه دارید که خودتان از لینک خود سازنده کیف پول نصب کرده‌اید؛ هر چیزی را که نمی‌شناسید حذف کنید.
3. مطمئن شوید macOS به‌روز است: System Settings → General → Software Update.
4. روی شبکه‌های EVM، مجوزهای قدیمی توکن (token approvals) را که دیگر لازم ندارید مرور و لغو کنید، مثلاً با Revoke.cash.
5. اگر زمانی دستوری را از یک صفحه وب در Terminal پیست کرده‌اید، بررسی Mac را هم انجام دهید.

6اگر کیف پولتان خالی شد

1. هر چه مانده را به یک کیف پول تازه که روی دستگاهی سالم ساخته شده منتقل کنید، با عبارت بازیابی تازه. هرگز از عبارت قبلی دوباره استفاده نکنید.
2. رمزهای عبور ایمیل و حساب‌های صرافی را از همان دستگاه سالم عوض کنید و احراز هویت دومرحله‌ای را روشن کنید.
3. اگر دارایی به آدرس واریز یک صرافی رفته، فوراً با شناسه تراکنش به آن صرافی گزارش دهید.
4. انتقال روی بلاک‌چین برگشت‌پذیر نیست. هر کسی که پیشنهاد می‌دهد در ازای کارمزد رمزارزتان را برگرداند، کلاهبرداری دومی را اجرا می‌کند.

7پرسش‌ها

کیف پولم خالی شد. چه کار کنم؟

هر چه مانده را به کیف پول تازه‌ای منتقل کنید که روی دستگاهی سالم و با عبارت بازیابی تازه ساخته شده، و رمزهای ایمیل و صرافی را از همان دستگاه عوض کنید. اگر دارایی به یک صرافی رفته، شناسه تراکنش را به آن صرافی گزارش دهید. سپس پیش از آنکه دوباره از Mac برای رمزارز استفاده کنید، بفهمید عبارت چطور لو رفته است.

مسموم‌سازی آدرس (address poisoning) چیست؟

مهاجمان مبالغ بسیار کوچکی از آدرس‌هایی می‌فرستند که شبیه آدرس‌های مورد استفاده شما هستند، تا یک آدرس مشابه در تاریخچه‌تان ظاهر شود. اگر از تاریخچه کپی کنید، به آن‌ها پول می‌فرستید. این در همه شبکه‌ها رخ می‌دهد، از جمله Ethereum، BNB Chain، Tron و Solana. به جای آن، آدرس‌ها را از مخاطبان ذخیره‌شده انتخاب کنید.

عبارت بازیابی (seed phrase) را کجا نگه دارم؟

روی کاغذ یا فلز، آفلاین، در دو جای جدا. هرگز در Notes، فایل متنی، اسکرین‌شات، عکس، ایمیل یا فضای ابری. برای مبالغ بزرگ‌تر از کیف پول سخت‌افزاری استفاده کنید تا کلیدها هرگز به رایانه نرسند.

آیا نگه داشتن عبارت بازیابی در مدیر رمز عبور امن است؟

بسیار بهتر از یادداشت یا اسکرین‌شات است، اما همچنان روی رایانه است: بدافزار سارقی که با حساب شما اجرا شود گاهی می‌تواند به آن برسد. برای هر چیزی که تحمل از دست دادنش را ندارید، عبارت را آفلاین نگه دارید.

آیا رمزارز دزدیده‌شده قابل بازگرداندن است؟

معمولاً نه: انتقال روی بلاک‌چین قطعی است. اگر به یک صرافی رفته باشد، ممکن است آن صرافی در صورت گزارش سریع آن را مسدود کند. به هر کسی که در ازای کارمزد پیشنهاد بازگرداندن می‌دهد بی‌اعتنا باشید.