کیف پول دیفای چیست و چطور امن به سایت‌های دیفای وصل شویم؟

کیف پول دیفای همان کیف پول شخصی (غیرامانی) است که دو ویژگی دارد: کلیدش فقط دست خودتان است و می‌تواند به سایت‌ها و اپ‌های غیرمتمرکز (dApp) وصل شود تا با آن‌ها سواپ کنید، وام بگیرید یا سپرده بگذارید. متامسک، تراست ولت، فانتوم و تون‌کیپر همه کیف پول دیفای‌اند. لازم نیست کلمه DeFi در اسم یا آیکون کیف پول باشد؛ هر کیف پولی که این دو ویژگی را داشته باشد، برای دیفای به کار می‌آید.

پیدا کردن کیف پول بخش آسان ماجراست. بخش مهم این است که بدانید وقتی سایتی از کیف پولتان چیزی می‌خواهد، دقیقاً چه اجازه‌ای به آن می‌دهید. خیلی از سرقت‌های دیفای اصلاً با هک شدن کیف پول شروع نمی‌شوند؛ صاحب کیف پول خودش چیزی را تأیید یا امضا می‌کند که نمی‌داند چیست. طبق گزارش سالانه ScamSniffer، کلاهبردارها فقط در سال ۲۰۲۵ از همین راه حدود ۸۴ میلیون دلار از بیش از ۱۰۶ هزار نفر بردند.

اگر هنوز نمی‌دانید کیف پول شخصی چیست یا دیفای اصلاً چه کاری می‌کند، اول راهنمای کیف پول ارز دیجیتال و مطلب دیفای چیست را بخوانید. این راهنما از جایی شروع می‌شود که کیف پول را دارید و می‌خواهید آن را به اولین سایت وصل کنید.

کیف پول دیفای با حساب صرافی چه فرقی دارد؟

وقتی در صرافی‌ای مثل سواپ‌ولت تتر می‌خرید، تتر در حساب شماست، ولی کلید آدرس‌هایی که آن را نگه می‌دارند دست صرافی است. با حساب کاربری وارد صرافی می‌شوید و اگر دسترسی‌تان به حساب مشکلی پیدا کند، پشتیبانی کمکتان می‌کند. به این می‌گویند کیف پول امانی.

سایت دیفای جور دیگری کار می‌کند. با یک آدرس روی بلاک‌چین سروکار دارد و برای هر کاری از صاحب همان آدرس امضا می‌خواهد؛ امضا هم فقط با کلید خصوصی ممکن است. پس برای کار با سایت‌های دیفای کیف پولی لازم دارید که کلیدش را خودتان نگه دارید و خودتان امضا کنید. برای همین مسیر معمول کاربر ایرانی این است که تتر را با تومان بخرد و بعد آن را به کیف پول دیفای خودش بفرستد.

این آزادی بهایی هم دارد. در کیف پول شخصی نه رمز فراموش‌شده‌ای بازیابی می‌شود و نه تراکنش اشتباهی برمی‌گردد. فانتوم در راهنمای خودش صریح نوشته که نه می‌تواند تراکنشی را برگرداند و نه دارایی‌ای را مسدود کند یا پس بگیرد؛ بقیه کیف پول‌های شخصی هم همین‌طورند. عبارت بازیابی تنها راه برگشتن به کیف پول است و هیچ سایت دیفای معتبری آن را از شما نمی‌خواهد.

کیف پول چطور به سایت دیفای وصل می‌شود؟

تقریباً همه سایت‌های دیفای بالای صفحه دکمه‌ای به اسم Connect Wallet دارند. با زدن آن پنجره‌ای باز می‌شود و می‌پرسد با کدام کیف پول می‌خواهید وصل شوید. برای اتصال کیف پول به سایت یکی از این سه راه را دارید:

1. افزونه مرورگر. متامسک، فانتوم و تون‌کیپر نسخه افزونه هم دارند. سایت را در همان مرورگر باز می‌کنید، Connect را می‌زنید و پنجره خود کیف پول کنار صفحه باز می‌شود.
2. WalletConnect (والت کانکت). کیف پول روی گوشی است و سایت روی کامپیوتر. سایت یک کد QR نشان می‌دهد، آن را با اپ کیف پول اسکن می‌کنید و از آن به بعد هر درخواستی که سایت بفرستد، روی گوشی‌تان می‌آید. به گفته خود WalletConnect، ارتباط گوشی و سایت سرتاسر رمزنگاری‌شده است. در شبکه TON استانداردی به اسم TON Connect همین کار را می‌کند و مینی‌اپ‌های تلگرام هم از همین راه به کیف پول TON وصل می‌شوند.
3. مرورگر داخل اپ. خیلی از اپ‌های کیف پول موبایل یک مرورگر داخلی دارند. آدرس سایت را همان‌جا باز می‌کنید و کیف پول بدون QR و افزونه وصل می‌شود.

سایت‌ها معمولاً همه این راه‌ها را در یک پنجره کنار هم می‌گذارند. در تصویر پایین پنجره اتصال سایت Revoke.cash را می‌بینید: گزینه اول WalletConnect است و بقیه کیف پول‌هایی‌اند که این سایت می‌شناسد. این عکس را در مرورگری گرفتیم که هیچ افزونه کیف پولی نداشت؛ اگر افزونه‌ای نصب باشد، معمولاً اسمش هم به همین فهرست اضافه می‌شود.

هیچ‌کدام از این سه راه کلید شما را به سایت نمی‌دهد. مستندات TON Connect همین را صریح نوشته است: سایت می‌تواند آدرس را بخواند و درخواست امضا یا تراکنش بفرستد، ولی به کلید دسترسی ندارد. پس اگر سایتی برای «اتصال» یا «همگام‌سازی» کیف پول، عبارت بازیابی (همان ۱۲ یا ۲۴ کلمه) را خواست، سایت فیشینگ است.

Connect، Approve و Sign هر کدام چه اجازه‌ای به سایت می‌دهند؟

بعد از اتصال، هر دکمه‌ای که در سایت بزنید، کیف پول درخواستی جلویتان می‌گذارد که باید تأییدش کنید یا ردش کنید. نمودار پایین سه درخواستی را که آدم‌ها بیشتر از همه درباره‌شان اشتباه می‌کنند کنار هم گذاشته است؛ ستون وسط، یعنی مجوز خرج، را از همه جدی‌تر بگیرید.

اتصال (Connect): سایت آدرس شما را می‌بیند

طبق راهنمای متامسک، سایتی که به آن وصل می‌شوید آدرس حساب‌هایی را که انتخاب کرده‌اید می‌بیند و می‌تواند برایشان تراکنش پیشنهاد بدهد، ولی هر تراکنش باز هم تأیید خود شما را لازم دارد. اتصال پولی جابه‌جا نمی‌کند و کارمزد هم ندارد.

فقط یادتان باشد که موجودی و تاریخچه هر آدرس روی بلاک‌چین عمومی است. سایت با دیدن آدرس می‌فهمد چقدر دارایی دارید، و این دلیل خوبی است که کیف پول اصلی‌تان را به هر سایتی وصل نکنید. فهرست سایت‌های متصل را در متامسک در منوی ☰ و بخش Permissions پیدا می‌کنید و در فانتوم در Settings و بخش Connected Apps. هر سایتی را که دیگر لازم ندارید، همان‌جا قطع کنید.

تأیید تراکنش (Confirm): همین حالا چیزی جابه‌جا می‌شود

وقتی سواپ می‌کنید یا چیزی می‌فرستید، کیف پول تراکنش را نشانتان می‌دهد: کدام توکن و چه مقدار به کجا می‌رود و چقدر کارمزد شبکه دارد. با زدن Confirm تراکنش به بلاک‌چین می‌رود و دیگر برنمی‌گردد. پس قبل از زدن دکمه آبی، مبلغ و شبکه را واقعاً بخوانید.

در شبکه TON کلاهبردارها سراغ همین درخواست می‌روند و تراکنشی پیشنهاد می‌دهند که با یک تأیید، چند توکن یا NFT را یک‌جا به آدرس خودشان می‌فرستد. اگر سایتی فقط قرار بود «اتصال» یا «ثبت‌نام» باشد و کیف پول تراکنش انتقال نشان داد، ردش کنید.

مجوز خرج (Approve): خطرناک‌ترین دکمه

برای اینکه یک صرافی غیرمتمرکز بتواند تتر شما را بفروشد، اول باید به قرارداد هوشمند آن اجازه بدهید از طرف شما تتر خرج کند. این اجازه یک تراکنش جداست، کارمزد دارد و روی بلاک‌چین می‌ماند. خیلی از سایت‌ها مجوز نامحدود می‌خواهند تا دفعه بعد لازم نباشد دوباره بپرسند.

دو نکته درباره مجوز هست که خیلی‌ها نمی‌دانند. اول اینکه مجوز با قطع اتصال (Disconnect) پاک نمی‌شود. متامسک هشدار می‌دهد سایتی که قطعش کرده‌اید ممکن است هنوز بتواند توکن‌هایی را که برایشان مجوز داده‌اید جابه‌جا کند. دوم اینکه کیف پول سخت‌افزاری هم جلویش را نمی‌گیرد. به گفته Revoke.cash، کیف پول سخت‌افزاری از کلید محافظت می‌کند، ولی برای سوءاستفاده از مجوز اصلاً لازم نیست کسی کلید شما را بدزدد.

برای کم کردن این خطر، هر جا کیف پول اجازه داد، سقف مجوز را به اندازه همان معامله بگذارید. متامسک در پنجره مجوز گزینه‌ای برای تعیین سقف خرج (Spending cap) دارد. پایین‌تر، در قدم ششم، با یک مثال عددی می‌بینید این سقف چه فرقی می‌کند.

این سازوکار فقط مال اتریوم نیست. توکن‌های TRC-20 در ترون هم مجوز دارند و راهنمای TronLink آن را اجازه‌ای تعریف می‌کند که به آدرس یا قرارداد دیگری می‌دهید تا بی‌خبر از شما دارایی‌تان را منتقل کند. یکی از ترفندهای رایج کلاهبردارهای ترون همین است: با پیام «کیف پولتان را تأیید کنید» از شما مجوز نامحدود می‌گیرند. در سولانا هم سازوکار مشابهی به اسم واگذاری (delegate) هست که اختیار خرج یک توکن را به آدرس دیگری می‌دهد.

امضای پیام (Sign): بی‌کارمزد، ولی نه همیشه بی‌خطر

بعضی درخواست‌ها اصلاً تراکنش نیستند و سایت فقط می‌خواهد پیامی را امضا کنید. چون کارمزدی ندارد و چیزی روی بلاک‌چین ثبت نمی‌شود، خیلی‌ها بی‌فکر تأییدش می‌کنند. ولی پیام‌ها دو جورند و با هم زمین تا آسمان فرق دارند:

• پیام ورود: متنی خواناست، مثلاً «Sign in to …» با اسم سایت و یک کد یک‌بارمصرف. سایت با آن فقط مطمئن می‌شود آدرس مال شماست و چیزی جابه‌جا نمی‌شود.
• Permit و Permit2: پیامی است پر از فیلدهای فنی مثل spender، value، nonce و deadline. طبق توضیح متامسک، سایتی که این امضا را دارد بعداً هر وقت بخواهد می‌تواند با آن توکن‌ها را منتقل کند و امضا ممکن است تا چند هفته معتبر بماند. یعنی سایت می‌تواند امروز امضا بگیرد و هفته بعد، وقتی دیگر یادتان نیست کجا چه امضا کرده‌اید، کیف پول را خالی کند.

خطر Permit فقط روی کاغذ نیست. طبق همان گزارش ScamSniffer، در بزرگ‌ترین سرقت فیشینگ سال ۲۰۲۵ کلاهبردارها با یک امضای Permit ۶٫۵ میلیون دلار بردند. قاعده کلی این است: اگر کاری را خودتان شروع نکرده‌اید، چیزی را امضا نکنید. سایتی که وعده ایردراپ یا جایزه می‌دهد یا می‌گوید «کیف پولتان را تأیید کنید»، هیچ دلیلی ندارد از شما Permit بخواهد.

مجوزهای قبلی را کجا ببینیم و چطور لغو کنیم؟

اگر تا حالا با کیف پولتان سواپ کرده‌اید، احتمالاً چند مجوز باز دارید. راه پیدا کردن و بستنشان در هر شبکه فرق می‌کند:

• اتریوم و شبکه‌های سازگار با آن: در Revoke.cash آدرس کیف پول را بچسبانید یا کیف پول را وصل کنید تا فهرست مجوزها را با اسم توکن، قرارداد گیرنده و سقف هر کدام ببینید. طبق راهنمای ethereum.org، لغو هر مجوز خودش یک تراکنش است و کارمزد شبکه دارد.
• ترون: در TronLink از بخش مدیریت کیف پول (Wallet Management) سراغ Approval Management بروید، یا صفحه حسابتان را در Tronscan باز کنید. لغو مجوز در ترون انرژی و پهنای باند مصرف می‌کند.
• سولانا: فانتوم برای پیدا کردن و لغو واگذاری‌های توکن ابزار Famous Fox's Revoker را معرفی کرده است. سایت‌های متصل را هم از همان بخش Connected Apps قطع کنید.

چون لغو مجوز کارمزد دارد، اگر ارز اصلی شبکه، مثل ETH یا BNB یا TRX، در کیف پول نباشد، نمی‌توانید هیچ مجوزی را ببندید. یک نشانه را هم جدی بگیرید: اگر هر بار برای کارمزد کمی ارز به کیف پول می‌فرستید و همان لحظه کسی آن را برمی‌دارد، مشکل از مجوز نیست و عبارت بازیابی‌تان لو رفته است. در این حالت سراغ راهنمای کیف پول هک‌شده بروید.

کدام کیف پول دیفای را انتخاب کنیم؟ اول شبکه را ببینید

اینکه کدام کیف پول دیفای برایتان بهتر است، بیشتر از اسم برند به شبکه سایتی بستگی دارد که می‌خواهید با آن کار کنید. اگر می‌خواهید با یک مینی‌اپ تلگرامی کار کنید، کیف پول TON لازم دارید و اگر سراغ صرافی‌های غیرمتمرکز سولانا رفته‌اید، کیف پول سولانا. جدول زیر برای شروع کمکتان می‌کند:

یک کیف پول چندشبکه‌ای کار را ساده‌تر می‌کند، ولی آدرس‌ها را قاطی نکنید. آدرس شما روی همه شبکه‌های EVM یکی است، ولی در سولانا، TON و ترون آدرس جداگانه دارید. پس آدرس را همیشه از بخش Receive همان شبکه بردارید. برای نصب و ساخت کیف پول هم راهنماهای جداگانه داریم: متامسک، تراست ولت، فانتوم و تون‌کیپر.

یک توصیه تجربی هم داریم: کیف پولی را که پس‌اندازتان در آن است به هیچ سایتی وصل نکنید. برای کار با سایت‌ها یک حساب یا کیف پول جدا بسازید و فقط به اندازه همان کار در آن پول بگذارید. اگر روزی اشتباهی چیزی را امضا کردید، فقط همان کیف پول کوچک در خطر است؛ متامسک هم یادآوری می‌کند که امضای Permit2 فقط به همان حسابی مربوط می‌شود که با آن امضا کرده‌اید.

برای کاربر ایرانی یک نکته دیگر هم هست. بعضی سایت‌های دیفای در شرایط استفاده‌شان کاربران کشورهای تحت تحریم را کنار گذاشته‌اند و شرکت تتر هم می‌تواند آدرس‌ها را مسدود کند. جزئیاتش را در راهنمای دیفای نوشته‌ایم.

اولین اتصال امن، قدم‌به‌قدم

فرض کنید می‌خواهید اولین سواپتان را در یک صرافی غیرمتمرکز روی BNB Smart Chain انجام دهید. عددها فرضی‌اند، ولی ترتیب کار در هر شبکه‌ای همین است:

1. کیف پول را از منبع رسمی نصب کنید. آدرس سایت سازنده را خودتان تایپ کنید و از تبلیغ یا لینکی که کسی برایتان فرستاده سراغش نروید. عبارت بازیابی را روی کاغذ بنویسید و هیچ‌جا عکسش را نگه ندارید.
2. تتر بخرید و به کیف پول بفرستید. در سواپ‌ولت تتر را با تومان بخرید؛ برای واریز تومان احراز هویت سطح متوسط لازم است. موجودی تتر در سواپ‌ولت به شبکه خاصی بسته نیست و شبکه را موقع برداشت انتخاب می‌کنید. همان شبکه‌ای را انتخاب کنید که آدرس کیف پولتان روی آن است و کارمزد برداشت را در صفحه کارمزد ببینید. بار اول مبلغ کمی بفرستید و وقتی رسید، بقیه را. اگر نگران انتخاب شبکه‌اید، مطلب ارسال تتر روی شبکه اشتباه را بخوانید.
3. کمی ارز اصلی شبکه هم داشته باشید. بدون BNB در BNB Smart Chain هیچ تراکنشی انجام نمی‌شود؛ نه مجوز، نه سواپ و نه حتی لغو مجوز.
4. سایت را خودتان باز کنید. آدرس را تایپ کنید یا از بوکمارک مرورگر بازش کنید. گزارش ScamSniffer تبلیغات جست‌وجوی گوگل و پیام‌های تلگرام و ایکس را جزو راه‌های اصلی کشاندن کاربران به سایت‌های جعلی می‌داند.
5. Connect را بزنید و پنجره کیف پول را بخوانید. آدرس سایتی که کیف پول نشان می‌دهد باید همانی باشد که خودتان باز کرده‌اید، و حسابی که وصل می‌شود باید همان کیف پول جدای شما باشد.
6. مجوز را محدود کنید. فرض کنید ۵۰ تتر به کیف پول رسیده و می‌خواهید ۳۰ تتر را سواپ کنید. سایت مجوز نامحدود پیشنهاد می‌کند، ولی شما سقف را ۳۰ تتر بگذارید. در این مثال فرض کرده‌ایم سایت از مجوز معمولی (approve) استفاده می‌کند.
7. سواپ را تأیید کنید و نتیجه را ببینید. مبلغ و توکن مقصد را در پنجره کیف پول چک کنید، Confirm را بزنید و بعد تراکنش را در اکسپلورر شبکه ببینید؛ در این مثال BscScan.
8. کارتان که تمام شد، اتصال را قطع کنید. سایت را از فهرست سایت‌های متصل حذف کنید و اگر مجوزی باز مانده، لغوش کنید.

فرق قدم ششم را با همین عددها ببینید. با سقف ۳۰ تتری، سواپ همان ۳۰ تتر را برمی‌دارد و مجوز به صفر می‌رسد. ۲۰ تتر باقی‌مانده (۵۰ منهای ۳۰) دست‌نخورده می‌ماند و قرارداد دیگر اجازه برداشتنش را ندارد.

با مجوز نامحدود، همان قرارداد بعد از سواپ هم می‌تواند آن ۲۰ تتر و هر تتری را که بعداً به این آدرس بیاید جابه‌جا کند. تا وقتی قرارداد سالم است اتفاقی نمی‌افتد، ولی اگر روزی هک شود یا سایت جعلی از آب دربیاید، سقف مجوز تعیین می‌کند چقدر از دست می‌دهید.