ایردراپ چیست و چطور ایردراپ واقعی را از کلاهبرداری تشخیص دهیم؟

ایردراپ (Airdrop) یعنی یک پروژه رمزارزی بخشی از توکن‌هایش را مجانی به کیف پول کاربرانش بدهد. معمولاً پروژه در یک روز مشخص از وضعیت همه آدرس‌ها عکس می‌گیرد، با قاعده‌ای که خودش اعلام می‌کند سهم هر آدرس را حساب می‌کند و بعد مدتی فرصت می‌دهد تا هر کس سهمش را بردارد. ایردراپ واقعی هیچ‌وقت عبارت بازیابی کیف پول (همان ۱۲ یا ۲۴ کلمه‌ای که کیف پول با آن برمی‌گردد) را نمی‌خواهد و برای «آزاد کردن» جایزه از شما پول نمی‌گیرد. تنها هزینه‌اش کارمزد شبکه برای تراکنش برداشت است.

خطر ایردراپ جعلی هم معمولاً در خود توکن نیست، در کاری است که برای «گرفتنش» از شما می‌خواهند. صرفِ آمدن یک توکن ناشناس به کیف پول، دارایی شما را در خطر نمی‌اندازد. کیف پول وقتی خالی می‌شود که برای گرفتن یا فروختن آن توکن به سایتی بروید و چیزی را امضا کنید که نمی‌دانید چیست. پایین‌تر هر دو طرف را باز کرده‌ایم: ایردراپ واقعی چطور کار می‌کند و ایردراپ جعلی را از کجا بشناسید.

پروژه‌ها چرا توکن مجانی پخش می‌کنند؟

توکن برای یک پروژه فقط وسیله پول درآوردن نیست. دارنده‌اش معمولاً در تصمیم‌های پروژه حق رأی دارد و خود توکن هم ابزار خوبی برای جذب کاربر است. پروژه‌ای که می‌خواهد مالکیتش بین کاربران واقعی پخش شود، یا از کسانی که از روز اول از آن استفاده کرده‌اند قدردانی کند، بخشی از توکن‌ها را به آن‌ها می‌دهد. این کار برای پروژه تبلیغ هم هست: هزاران نفر ناگهان صاحب توکنی می‌شوند که تا دیروز اسمش را نشنیده بودند.

معروف‌ترین نمونه، ایردراپ یونی‌سواپ است. یونی‌سواپ یک صرافی غیرمتمرکز روی اتریوم است و ۲۶ شهریور ۱۳۹۹ توکن UNI را معرفی کرد. ۱۵ درصد کل توکن‌ها همان روز برای کاربران قدیمی قابل برداشت شد. هر آدرسی که تا ۱۱ شهریور ۱۳۹۹ حتی یک بار با قراردادهای یونی‌سواپ کار کرده بود، ۴۰۰ UNI گرفت؛ حدود ۲۵۱ هزار آدرس. خود یونی‌سواپ نوشت حدود ۱۲ هزار نفر از آن‌ها فقط تراکنش ناموفق داشته‌اند و باز هم سهم گرفته‌اند. کسانی که به صرافی نقدینگی داده بودند هم سهم جداگانه‌ای گرفتند که به مقدار و مدت نقدینگی‌شان بستگی داشت.

نکته مهم ماجرا این است که هیچ‌کدام از آن کاربران از قبل نمی‌دانستند جایزه‌ای در کار است. آن‌ها از یک ابزار واقعی استفاده کرده بودند و پاداششان را بعداً گرفتند. اگر می‌خواهید بدانید صرافی غیرمتمرکز چیست و با صرافی معمولی چه فرقی دارد، مقاله صرافی متمرکز و غیرمتمرکز را بخوانید.

ایردراپ چطور کار می‌کند؟

بیشتر ایردراپ‌ها سه مرحله دارند. اگر این سه مرحله را بشناسید، نصف راه تشخیص ایردراپ جعلی را رفته‌اید.

1. اسنپ‌شات (Snapshot): پروژه در یک لحظه مشخص، معمولاً سر یک بلاک مشخص، وضعیت آدرس‌ها را ثبت می‌کند. هر کاری بعد از این لحظه بکنید، در سهم این دور اثری ندارد. خیلی وقت‌ها تاریخ اسنپ‌شات را بعد از گذشتنش اعلام می‌کنند؛ یونی‌سواپ دو هفته بعد از اسنپ‌شات خبر ایردراپش را داد. این‌طوری کسی نمی‌تواند در دقیقه آخر با چند حساب ساختگی سهم جمع کند.
2. قاعده سهم‌بندی: پروژه اعلام می‌کند چه کسی واجد شرایط است و به هر نفر چقدر می‌رسد. گاهی سهم همه برابر است، مثل ۴۰۰ UNI یونی‌سواپ، و گاهی بر اساس امتیاز فعالیت حساب می‌شود.
3. کلیم (Claim) یا برداشت: کاربر به سایت رسمی پروژه می‌رود، کیف پولش را وصل می‌کند و با یک تراکنش سهمش را برمی‌دارد. این تراکنش کارمزد شبکه دارد. کلیم معمولاً مهلت دارد و بعد از تمام شدنش دیگر نمی‌توانید سهمتان را بردارید.

همه ایردراپ‌ها هم از یک جنس نیستند:

• ایردراپ پاداش کاربران قدیمی: مثل یونی‌سواپ و آربیتروم. جایزه به کسانی می‌رسد که پیش از اسنپ‌شات از پروژه استفاده کرده‌اند و معمولاً بزرگ‌ترین و معتبرترین ایردراپ‌ها از همین نوع‌اند.
• ایردراپ دارندگان یک رمزارز: هر کس در لحظه اسنپ‌شات مقدار مشخصی از یک رمزارز دیگر را داشته باشد، به نسبت آن توکن جدید می‌گیرد.
• ایردراپ مأموریتی: باید کاری انجام دهید، مثل عضو شدن در کانال، دعوت دوستان یا بازی در یک مینی‌اپ تلگرامی. بازی‌های تپ تو ارن مثل نات کوین و همستر کامبت از همین نوع بودند و قصه‌شان را در مقاله بازی‌های تپ تو ارن تلگرام گفته‌ایم.
• ایردراپ بعد از هاردفورک: وقتی یک بلاک‌چین دو شاخه می‌شود، دارندگان رمزارز قدیمی روی شاخه جدید هم به همان اندازه موجودی پیدا می‌کنند.

مثال واقعی: آربیتروم چطور سهم هر کیف پول را حساب کرد؟

آربیتروم شبکه‌ای است که روی اتریوم ساخته شده تا تراکنش‌ها ارزان‌تر شوند. سند رسمی ایردراپ ARB را بنیاد آربیتروم منتشر کرده و یکی از روشن‌ترین نمونه‌ها برای فهمیدن ایردراپ امتیازی است. حدود ۱۱٫۶ درصد کل توکن‌ها به کاربران رسید.

زمان‌بندی‌اش این بود: اسنپ‌شات ۱۷ بهمن ۱۴۰۱ گرفته شد، کلیم از ۳ فروردین ۱۴۰۲ باز شد و ۲ مهر ۱۴۰۲ بسته شد. یعنی کاربران شش ماه وقت داشتند. توکن هم فقط روی خود شبکه آربیتروم قابل برداشت بود، نه روی اتریوم.

قاعده سهم‌بندی امتیازی بود. هر کار مشخص، مثل منتقل کردن دارایی به آربیتروم، تراکنش در چند ماه مختلف یا کار با بیش از چهار قرارداد، یک امتیاز داشت. کمتر از ۳ امتیاز یعنی هیچ سهمی نداشتید، و امتیازهایی که پیش از یک ارتقای مهم شبکه در شهریور ۱۴۰۱ جمع شده بودند دو برابر حساب می‌شدند. کمترین سهم ۶۲۵ و بیشترین ۱۰٬۲۵۰ ARB بود.

جالب‌ترین بخش سند، قاعده‌های ضد ربات است. پروژه‌ها نمی‌خواهند یک نفر با صد کیف پول ساختگی صد سهم ببرد؛ به این حساب‌های ساختگی سیبیل (Sybil) می‌گویند. آربیتروم برای همین سه قاعده گذاشت:

• اگر همه تراکنش‌های یک کیف پول در ۴۸ ساعت انجام شده بود، یک امتیاز کم می‌شد.
• اگر موجودی کیف پول کمتر از ۰٫۰۰۵ اتر بود و فقط با یک قرارداد کار کرده بود، یک امتیاز کم می‌شد.
• اگر آدرس قبلاً در یک پروژه دیگر به‌عنوان سیبیل شناسایی شده بود، کلاً حذف می‌شد.

حالا دو کاربر فرضی را با همین قاعده‌ها مقایسه کنید:

این دو کاربر فرضی‌اند، ولی قاعده‌ها و مقدارها عین سند آربیتروم است. درسش این است که ایردراپ‌های جدی به استفاده واقعی و طولانی پاداش می‌دهند و کیف پول‌هایی را که فقط برای شکار جایزه ساخته شده‌اند کنار می‌گذارند. و مهم‌تر از آن، هیچ راهی برای «خریدن» جایگاه در این فهرست وجود نداشت. در همان سند، بالای صفحه نوشته شده که پیش‌فروشی در کار نیست، تنها سایت رسمی ایردراپ همان سایت بنیاد آربیتروم است و عبارت بازیابی‌تان را به هیچ‌کس ندهید.

این سند یک نکته دیگر هم دارد: توکن‌های تیم و سرمایه‌گذارها چهار سال قفل بودند و اولین بخششان یک سال بعد آزاد شد. ولی سهم ایردراپ از روز اول آزاد بود. پس بخش بزرگی از توکن‌هایی که روزهای اول می‌شد فروخت، دست همان کسانی بود که مجانی گرفته بودندشان. برای همین قیمت خیلی از توکن‌ها بعد از ایردراپ زیر فشار فروش می‌رود.

دنبال کردن ایردراپ چه هزینه‌ای دارد؟

ایردراپ مجانی است، ولی شکار ایردراپ مجانی نیست. هر تراکنشی که به امید یک ایردراپ احتمالی می‌زنید کارمزد شبکه دارد و روی اتریوم این کارمزد گاهی کم نیست (چرا کارمزد اتریوم زیاد می‌شود؟). وقت هم می‌گذارید، و هیچ تضمینی نیست که آن پروژه اصلاً توکنی بدهد یا شما را واجد شرایط بداند. کاربر «ب» در مثال بالا کارمزد هفت تراکنش را داد و هیچ نگرفت.

ارزش خود ایردراپ هم قطعی نیست. خیلی از گیرندگان همان روزهای اول می‌فروشند. بازی‌های تلگرامی نمونه روشنش بودند: بیشتر بازیکن‌ها بعد از ماه‌ها بازی سهمی گرفتند که خیلی کمتر از انتظارشان بود.

هزینه سوم، که از همه گران‌تر است، خطر امنیتی است. کسی که دنبال ایردراپ است، هر هفته کیف پولش را به سایت تازه‌ای وصل می‌کند و تراکنش تازه‌ای امضا می‌کند، و کلاهبردارها دقیقاً همین آدم را هدف می‌گیرند. برای همین اگر اهل این کار هستید، یک کیف پول جدا با موجودی کم برایش بسازید و کیف پول اصلی‌تان را به هیچ سایت ایردراپی وصل نکنید.

اگر بیرون از ایران زندگی می‌کنید، مالیات را هم در نظر بگیرید. قاعده هر کشور فرق دارد. مثلاً اداره مالیات آمریکا توکن جدیدی را که بعد از هاردفورک با ایردراپ می‌گیرید، در لحظه‌ای که اختیارش دستتان می‌آید، درآمد به حساب می‌آورد. ولی اداره مالیات بریتانیا می‌گوید ایردراپی که بدون انجام هیچ کاری گرفته‌اید ممکن است مالیات بر درآمد نداشته باشد، ولی هنگام فروشش ممکن است مالیات بر سود سرمایه بدهید. ایردراپی هم که در ازای یک کار گرفته‌اید، آنجا درآمد حساب می‌شود.

ایردراپ جعلی چه شکلی است؟

ایردراپ جعلی دو چهره اصلی دارد. یا توکنی ناخواسته به کیف پولتان می‌آید و شما را به سایتی می‌کشاند، یا پیام و تبلیغی از ایردراپی «در حال تمام شدن» خبر می‌دهد و همان سایت را جلویتان می‌گذارد. در هر دو حالت، آخر راه یکی است: سایتی که از شما امضا، عبارت بازیابی یا پول می‌خواهد.

توکن ناشناسی که خودش به کیف پول آمده

راهنمای متامسک صریح می‌گوید هیچ‌کس فقط با فرستادن توکن به کیف پول شما به دارایی یا اطلاعاتتان دسترسی پیدا نمی‌کند. دام در قدم بعدی است. توکن در فهرست موجودی یا در جست‌وجوگر بلاک‌چین (اکسپلورر) ارزشی نشان می‌دهد و شما وسوسه می‌شوید بفروشیدش. فروش انجام نمی‌شود و یک پیام خطا شما را به سایتی می‌فرستد که می‌گوید برای فروش یا آزاد کردن توکن باید فلان مجوز را بدهید. به گفته متامسک، بعضی از این توکن‌ها عمداً طوری ساخته شده‌اند که هیچ‌وقت جابه‌جا نشوند، تا خطا و لینک بعدش حتماً جلوی چشمتان بیاید.

کار درست ساده است: با توکنی که انتظارش را نداشتید کاری نکنید. نه بفروشید، نه جابه‌جایش کنید، نه دنبال لینکش بروید. بگذارید همان‌جا بماند. اسمش را در اکسپلورر همان شبکه، مثلاً Etherscan برای اتریوم، بزنید؛ توکن‌های کلاهبرداری شناخته‌شده آنجا برچسب هشدار دارند.

اگر به جای توکن، تراکنش ناشناسی با مبلغ صفر یا خیلی کم از آدرسی شبیه آدرس‌های همیشگی‌تان دیدید، این حمله دیگری است به اسم مسموم‌سازی آدرس، و هدفش این است که دفعه بعد آدرس اشتباه را کپی کنید.

سایت «کلیم» و امضایی که کیف پول را خالی می‌کند

این خطرناک‌ترین شکل است. سایت ظاهر پروژه‌ای معروف را دارد و دکمه «دریافت ایردراپ» جلوی چشمتان است. کیف پول را وصل می‌کنید و یک درخواست امضا باز می‌شود. ولی آن امضا به شما توکن نمی‌دهد؛ به کلاهبردار اجازه می‌دهد توکن‌هایی را که الان دارید، مثلاً تترتان را، از کیف پول بردارد. ethereum.org همین سناریو را در فهرست کلاهبرداری‌های رایج آورده است.

دو نوع امضا را باید بشناسید:

• تأیید (Approve): یک تراکنش روی بلاک‌چین است که به یک قرارداد اجازه می‌دهد از طرف شما توکن جابه‌جا کند، گاهی بی‌سقف. کیف پول‌ها معمولاً برای این تراکنش هشدار نشان می‌دهند. اگر نمی‌دانید قرارداد هوشمند چیست، این توضیح ساده را بخوانید.
• پرمیت (Permit): پیامی است که فقط امضا می‌کنید و هیچ کارمزدی ندارد، چون تا کسی آن را به شبکه نفرستد روی بلاک‌چین ثبت نمی‌شود. همین بی‌خرج بودنش آدم را غافل می‌کند. Revoke.cash توضیح می‌دهد که کلاهبردارها زیاد از آن استفاده می‌کنند و کیف پول‌ها برایش کمتر هشدار می‌دهند.

ابعاد این کلاهبرداری بزرگ است. طبق گزارش سالانه ScamSniffer، فقط در سال ۲۰۲۴ و فقط روی اتریوم و شبکه‌های شبیه آن، ابزارهای خالی‌کننده کیف پول حدود ۴۹۴ میلیون دلار از نزدیک ۳۳۲ هزار آدرس برده‌اند. در پرونده‌هایی که ضرر بزرگ بوده، ۵۶٫۷ درصد مبلغ از راه همین امضای پرمیت رفته است. ایردراپ‌های جعلی توکن و NFT هم یکی از راه‌های کشاندن قربانی به این سایت‌ها بوده‌اند.

عبارت بازیابی یا «کارمزد آزادسازی»

بعضی سایت‌ها و ربات‌ها پرده‌پوشی نمی‌کنند و مستقیم عبارت بازیابی را می‌خواهند، مثلاً به اسم «تأیید مالکیت کیف پول». هر کس آن ۱۲ یا ۲۴ کلمه را داشته باشد، کل کیف پول را دارد. هیچ ایردراپ، هیچ پشتیبان و هیچ کیف پولی آن را لازم ندارد. اگر تفاوت عبارت بازیابی و کلید خصوصی برایتان روشن نیست، این توضیح ساده را ببینید.

شکل دیگرش «اول پول بده» است: برای فعال کردن برداشت، پرداخت مالیات یا آزاد کردن ایردراپ، اول مقداری رمزارز به فلان آدرس بفرستید. ایردراپ واقعی جز کارمزد شبکه، که موقع تأیید تراکنش در خود کیف پول می‌بینید، هیچ پولی نمی‌خواهد. یک نسخه معروف این دام را در کلاهبرداری کیف پول پر از تتر قدم‌به‌قدم بررسی کرده‌ایم.

ربات، کانال و حساب جعلی

لینک سایت‌های جعلی از چند راه به دستتان می‌رسد. ScamSniffer در همان گزارش، تبلیغ در گوگل و ایکس (توییتر سابق) و تلگرام، پیام خصوصی و ایمیل، و حتی حساب‌های رسمیِ هک‌شده پروژه‌ها در ایکس و دیسکورد را از راه‌های اصلی شمرده است. پس دیدن لینک در حساب رسمی هم همیشه کافی نیست؛ اگر ایردراپی ناگهانی و با عجله اعلام شد و در سایت و مستندات پروژه خبری از آن نبود، صبر کنید. در تلگرام، ربات و مینی‌اپ‌هایی با اسم تقریباً یکسانِ بازی‌های معروف ساخته می‌شوند. نمونه‌های نات کوین را در مقاله نات کوین آورده‌ایم.

آزمون کوتاه: این ایردراپ واقعی است؟

پیش از وصل کردن کیف پول به هر سایت ایردراپی، این شش سؤال را از خودتان بپرسید. اگر جواب حتی یکی از آن‌ها در ستون سوم بود، دست نگه دارید.

یک قاعده ساده هم همه این‌ها را خلاصه می‌کند: لینک ایردراپ را هیچ‌وقت از پیام یا کامنت باز نکنید. سایت رسمی پروژه را خودتان پیدا کنید، از مستندات یا حساب رسمی‌اش، و از آنجا جلو بروید. سایت‌ها و کانال‌هایی که «فهرست ایردراپ‌های جدید» منتشر می‌کنند، در بهترین حالت فقط سرنخ‌اند.

اگر ایردراپ واقعی گرفتید، چطور امن برداریدش؟

1. لینک را از منبع رسمی بگیرید. آدرس سایت کلیم را از مستندات پروژه یا حساب رسمی‌اش بردارید و یک بار حرف‌به‌حرف با آدرس داخل مرورگر مقایسه کنید.
2. کیف پول را خلوت کنید. سهم ایردراپ مال همان آدرسی است که واجد شرایط شده و باید با همان وصل شوید. اگر آن آدرس کیف پول اصلی‌تان است، پیش از وصل کردن، دارایی‌های بزرگش را به کیف پول دیگری ببرید.
3. متن امضا را بخوانید. درخواست کلیم واقعی معمولاً یک تراکنش به قرارداد ایردراپ است که توکن تازه را به شما می‌دهد. اگر کیف پول نوشت دارید اجازه خرج کردن تتر یا توکن دیگری را می‌دهید، رد کنید.
4. شبکه درست را انتخاب کنید. ایردراپ آربیتروم فقط روی شبکه آربیتروم قابل برداشت بود. اگر سایتی خواست روی شبکه دیگری کلیم کنید، اول با مستندات پروژه مقایسه کنید.
5. بعد از کلیم، مجوزها را جمع کنید. در ابزاری مثل Revoke.cash ببینید کیف پولتان به چه قراردادهایی مجوز داده و آن‌هایی را که لازم ندارید لغو کنید.
6. پیش از فرستادن به صرافی، پشتیبانی را چک کنید. اگر می‌خواهید توکن را بفروشید، ببینید صرافی مقصد، از جمله سواپ‌ولت، دقیقاً همان توکن را روی همان شبکه پشتیبانی می‌کند یا نه. توکنی که روی شبکه اشتباه فرستاده شود، ممکن است برنگردد (اگر ارز دیجیتال را به آدرس اشتباه بفرستیم).

اگر دارایی‌تان در حساب یک صرافی است، نه در کیف پول شخصی، تصمیم با صرافی است. توکن در کیف پول‌های صرافی نگهداری می‌شود و ایردراپ فقط وقتی به حساب شما می‌رسد که خود صرافی پشتیبانی از آن را اعلام کند. فرق این دو نوع نگهداری را در مقاله کیف پول ارز دیجیتال توضیح داده‌ایم.

اگر روی ایردراپ جعلی کلیک یا امضا کردید

کار درست به این بستگی دارد که دقیقاً چه کرده‌اید:

• فقط توکن ناشناس به کیف پولتان آمده: هیچ کاری لازم نیست. با آن کاری نکنید.
• فقط سایت را باز کرده‌اید یا کیف پول را وصل کرده‌اید ولی چیزی امضا نکرده‌اید: اتصال سایت را در کیف پول قطع کنید و دیگر به آن برنگردید. تا وقتی چیزی امضا نکرده‌اید، سایت نمی‌تواند دارایی‌تان را جابه‌جا کند.
• تأیید (Approve) امضا کرده‌اید: همین حالا مجوز را در Revoke.cash یا بخش مجوزهای جست‌وجوگر شبکه لغو کنید. لغو یک تراکنش است و کارمزد دارد، پس کمی از رمزارز اصلی شبکه، مثلاً اتر، لازم دارید.
• پرمیت امضا کرده‌اید: این امضا تا وقتی کلاهبردار از آن استفاده نکرده روی بلاک‌چین ثبت نمی‌شود، پس هیچ ابزاری نمی‌تواند بفهمد چه پرمیت‌هایی امضا کرده‌اید. Revoke.cash می‌گوید گاهی می‌شود پیش از استفاده کلاهبردار باطلش کرد، ولی کلاهبردارها معمولاً خیلی سریع از آن استفاده می‌کنند. امن‌ترین کار این است که توکن‌های باقی‌مانده را فوراً به یک کیف پول تازه ببرید.
• عبارت بازیابی را وارد کرده‌اید: کیف پول را از دست‌رفته بدانید، حتی اگر هنوز چیزی کم نشده. یک کیف پول تازه با عبارت بازیابی تازه بسازید و هر چه مانده را به آن منتقل کنید.

تراکنش تأییدشده روی بلاک‌چین برگشت ندارد و کسی که قول برگرداندن پول را می‌دهد، به احتمال زیاد کلاهبردار دوم است. برای گزارش دادن و قدم‌های بعدی، مقاله کلاهبرداری‌های رایج ارز دیجیتال را ببینید.