أمن الكريبتو وعمليات الاحتيال فيه

لماذا تحدد خاصية واحدة كل العادات

حين تدفع خطأ ببطاقة بنكية فثمة طريق للشكوى، وفي كثير من الحالات يعود المال. ولدى لجنة التجارة الفيدرالية الأمريكية، في صفحتها الإرشادية عن الاحتيال بالعملات الرقمية، جملتان قصيرتان تحملان الفرق كله: مدفوعات العملات الرقمية عادة غير قابلة للعكس، ومدفوعات العملات الرقمية لا تأتي بالحمايات القانونية المعتادة.

عدم القابلية للعكس يعني أنه متى تأكدت المعاملة على الشبكة فلا أحد، لا منصة ولا شبكة ولا نحن، يملك ما يستردها به. وهذا ليس عيبا ولا ميزة تسويقية؛ إنه الشيء نفسه الذي يجعل الدفع بلا وسيط ممكنا، وأنت من يدفع ثمنه.

والنتيجة العملية أن الأمن كله ينتقل إلى ما قبل ضغط الزر. ففي عالم البطاقات يقع جزء من الأمن بعد الدفع؛ وهنا لا يقع شيء بعد الدفع. وكل عادة ستقرأها تؤدي في الحقيقة مهمة واحدة: فتح بضع ثوان بين الاقتناع والتوقيع.

الأشكال الستة التي تأخذ المال، وعلامة كل منها البنيوية

هذه القائمة للكشف لا للتخويف. وتشترك الستة كلها في هيكل واحد: ذريعة معقولة، وعجلة، وفي النهاية فعل بلا رجعة. والذي يفرق بينها هو ما تطلبه منك في تلك النهاية بالضبط.

وثلاثة من هذه مكتوبة صراحة في صفحة إرشادات FTC نفسها، وصراحتها تستحق النقل: المحتالون وحدهم يطالبون بالدفع بالعملة الرقمية، والمحتالون وحدهم يضمنون أرباحا أو عوائد كبيرة، وفي حالات كثيرة يوجهونك إلى مسح رمز QR يعطونك إياه فيذهب الدفع مباشرة إلى محفظتهم.

ولندفن هنا علامة قديمة أيضا. فلسنوات قيل للناس اكشفوا هذا من اللغة الرديئة والأخطاء الإملائية. تلك العلامة لم تعد تعمل، لأن الكتابة السلسة الخالية من الأخطاء صارت اليوم بلا كلفة عمليا، والموقع المزيف قد يكون نظيفا واحترافيا بالقدر نفسه. أما العلامات أعلاه فبنيوية ولا تزول بتحسن المظهر: أنك لم تبدأ المحادثة، وأن المطلوب شيء لا تطلبه خدمة حقيقية، وأن الفعل المطلوب منك لا يُتراجع عنه. والصور الأعم لهذه الهجمات نفسها لها دروسها في مسار الأمن.

التوقيع الذي لا يرسل المال لكنه يأذن به

بعض الأموال التي تُفقد في هذا المجال لا تُفقد بتحويل؛ بل بإذن. والمحفظة تريك الفرق فعلا، لكن قلما يقف أحد ليقرأه.

توثيق ERC-20 على موقع إيثريوم يذكر، ضمن ما يوفره المعيار، هذا: الإذن بأن يُنفَق مقدار من رمز في حساب بواسطة حساب طرف ثالث. والدالة هي approve(address _spender, uint256 _value)، ودالة أخرى اسمها allowance تبين كم بقي من ذلك الإذن. أي أن عقدا قد يُؤذن له بالإنفاق من عنوانك من غير أن ينقص من رصيدك شيء لحظة التوقيع.

وتتبع ذلك ثلاث نتائج، وثلاثتها مهمة عمليا. أولا، ربط المحفظة بموقع ليس كمنح إذن: الأول يكشف عنوانك في العادة، والثاني يمنح صلاحية. ثانيا، يبقى الإذن في مكانه حتى تغيره أنت؛ وإغلاق تبويب المتصفح لا يفعل به شيئا. ثالثا، للإذن سقف، وقد يكون ذلك السقف رقما كبيرا إلى حد أنه غير محدود عمليا، وهنا تحديدا تختفي المسافة بين «مرة واحدة» و«متى شاء».

وما يتبع ذلك بسيط، وقسم المسار السريع في هذه الصفحة يبينه: قبل التأكيد، اقرأ الحقول القليلة التي تعرضها المحفظة؛ اسم الدالة، والعنوان الذي يُمنح، والمبلغ. فإن كان المبلغ غير محدود وكان ما تريده شراء بعينه، فلا سبب لتوقيعه.

الساعة الأولى: ماذا تفعل وماذا لا تفعل

إن كان شيء قد حدث للتو فترتيب ما تفعله مهم، وأول ما يفعله أكثر الناس هو الخطأ: الاتصال بالموقع نفسه مرة أخرى.

أولا حدد أي الأمرين وقع، فالاستجابة ليست واحدة. فإن أُدخلت عبارة الاستعادة في مكان ما فتلك المحفظة لم تعد لك، ولا معنى لتغيير كلمة مرور؛ بل يجب إنشاء محفظة جديدة تماما بكلمات جديدة ونقل ما بقي إليها. وإن وقّعت شيئا كان إذن إنفاق فالمحفظة ما زالت لك، والمطلوب إعادة ذلك الإذن إلى الصفر من العنوان نفسه.

وأمران لا تفعلهما. لا تدخل في حوار مع أحد يعرض المساعدة في رسالة خاصة، لأن خبر خسارتك مرئي في المكان نفسه الذي خسرت فيه، وهذا ما يجلبهم. ولا تثق بأي خدمة لاسترداد الأموال: فمن يقول إنه سيعيد ما ذهب مقابل نسبة أو دفعة مقدمة يفعل بك تماما ما فُعل بك أول مرة. فعدم القابلية للعكس بلا استثناء، وهنا كذلك.

وفي النهاية عمل يبدو بلا فائدة وليس كذلك: دوّن كل ما رأيت، هاش المعاملة والعناوين والوقت ونص الرسالة. لمالك أنت لا يفعل شيئا في العادة. أما للإبلاغ للخدمة التي جرى فيها الأمر، ولمن يدخل الصفحة نفسها بعدك، فيفعل.

العادات التي تنفع فعلا ولا تظهر في القوائم

قوائم الأمن تبدأ عادة بالأمور الكبيرة. أما ما يمنع الخسارة فعلا فصغير ومتكرر.

احتفظ بمحفظة منفصلة للاتصال بمواقع لا تعرفها، ولا تضع فيها كثيرا. فكل إذن تمنحه يخص تلك المحفظة، ويبقى أسوأ الاحتمالات محدودا بذلك المبلغ. أما المحفظة التي فيها المال الأصلي فلا تتصل بأي موقع إطلاقا.

وقبل تحويل كبير، أرسل تحويلا صغيرا تجريبيا وانتظر وصوله. تدفع الرسوم وتعرف في المقابل أن العنوان والشبكة صحيحان، قبل أن يسلك المبلغ كله الطريق نفسه.

واقرأ العنوان من شاشة الجهاز أو المحفظة لا من شاشة الموقع. وقارن الوجهة كاملة لا أول أحرفها. وإن أُعطيت رمز QR فالعنوان الذي يظهر داخل محفظتك بعد المسح هو ما ينبغي أن تقرأه.

والقاعدة التي تنفع أكثر من هذه كلها: إن أتاك العرض فليس عرضا. فالفرص التي يعرضها أحد في رسالة خاصة أو في تعليق أو في مجموعة تساوي، بلا استثناء، الثواني القليلة اللازمة لإغلاق النافذة.