> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# الاحتيال في العملات الرقمية: كيف تتعرف عليه وتتجنبه؟
- URL: https://arabroot.io/articles/الاحتيال-في-العملات-الرقمية-كيف-تتعرف-عليه-وتتجنبه/
- Published: 2026-10-28T06:36:30.000Z
- Updated: 2026-10-28T07:37:44.000Z
- Description: أنماط الاحتيال وعلاماتها من تحذيرات FTC، مع تجربتين نرى فيهما محفظة تفرغ وعنواناً يخدع.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, البلوكتشين والعملات الرقمية

وصل إلى فريق منصة العمل الحر بلاغ من مستقل غاضب: وصلته رسالة من «دعم المنصة» تخبره أن حسابه في خطر، وتطلب منه عبارة الاسترداد Seed Phrase لتأمين محفظته، ففعل، فاختفى كل ما فيها خلال دقائق. لم يخترق أحد عقداً ذكياً، ولم تنكسر أي رياضيات، بل أعطى الرجل المفتاح بيده لمن طلبه. وهنا أدرك الفريق أن أكبر خطر على مستخدميه ليس ثغرة في الكود، بل خدعة في الرسالة، وأن حماية الناس من الاحتيال جزء من مسؤوليته كما حماية الكود. وهذا المقال هو ما تعلمه الفريق: كيف تتعرف على الاحتيال في العملات الرقمية وكيف تتجنبه.

وهذا المقال تعليمي توعوي، يشرح أنماط الاحتيال وعلاماتها من تحذيرات المستهلك الرسمية، وأهمها صفحة لجنة التجارة الفيدرالية الأمريكية FTC المخصصة للاحتيال في العملات الرقمية، وتقرير مركز شكاوى جرائم الإنترنت FBI IC3\. وهو لا يعلم أحداً كيف يحتال، بل كيف يحمي نفسه، ولا يذكر أرقاماً غير موثقة ولا يسمي جهة بعينها بالاتهام. والتجربتان فيه محاكاة تعليمية على شبكة محلية بأصول وهمية، لا أموال حقيقية ولا مفاتيح حقيقية. وهو يبني على ما شرحناه عن الحفظ والمفاتيح في [مقال الحفظ](https://arabroot.io/articles/%D8%A7%D9%84%D8%AD%D9%81%D8%B8-%D9%84%D8%AF%D9%89-%D8%A7%D9%84%D9%85%D9%86%D8%B5%D8%A9-%D8%A7%D9%85-%D8%A8%D9%86%D9%81%D8%B3%D9%83-self-custody-%D8%AF%D8%B1%D9%88%D8%B3-%D8%A7%D9%86%D9%87%D9%8A%D8%A7%D8%B1-ftx/)، وعن الرسوم والمخاطر في [مقال الشراء والبيع](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%AA%D9%85-%D8%B4%D8%B1%D8%A7%D8%A1-%D8%A7%D9%84%D8%B9%D9%85%D9%84%D8%A7%D8%AA-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A%D8%A9-%D9%88%D8%A8%D9%8A%D8%B9%D9%87%D8%A7-%D8%A7%D9%84%D8%AE%D8%B7%D9%88%D8%A7%D8%AA-%D9%88%D8%A7%D9%84%D8%B1%D8%B3%D9%88%D9%85-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1/).

وسوف نناقش في هذا المقال ما يلي:

- لماذا صارت العملات الرقمية أرضاً خصبة للاحتيال.
- أنماط الاحتيال الشائعة من تحذيرات FTC، وعلامات الخطر.
- التصيد عبر الموافقة approve، بتجربة نرى فيها محفظة تفرغ ثم ندافع عنها.
- تسميم العنوان، بتجربة نرى فيها عنوانين مختلفين يبدوان متطابقين.
- ماذا تفعل قبل الدفع وبعد الاكتشاف، بجدول قرار وقائمة تحقق.

## لماذا صارت أرضاً خصبة للاحتيال؟

قبل الأنماط، لنفهم لماذا يحب المحتالون العملات الرقمية تحديداً، لأن فهم السبب يفسر شكل الحيل كلها. السبب يعود إلى خصائص شرحناها في مقالات سابقة، تصير في يد المحتال سلاحاً:

- **التحويل لا يعكس**. كما قلنا في مقال الشراء، التحويل على البلوكتشين نهائي، لا يوجد زر إلغاء ولا جهة تعيد المبلغ كما في البطاقة البنكية. وصفحة FTC تقول ذلك صراحة: مدفوعات العملات الرقمية لا تعكس عادة، ولا تأتي معها الحماية القانونية التي تأتي مع بطاقات الائتمان. فإذا خدعك أحد ودفعت، ذهب المال، ولهذا يصر المحتال على الدفع بعملة رقمية تحديداً.
- **الأسماء المستعارة**. العنوان على السلسلة سلسلة أحرف لا اسم، فيصعب معرفة من خلفه، ويسهل على المحتال أن يختفي خلف عنوان جديد بعد كل عملية.
- **عالمية وبلا حدود**. يصلك المحتال من أي بلد، خارج أي جهة قد تحميك محلياً، فتصبح الملاحقة أصعب.
- **الجدة والتعقيد**. المجال جديد ومصطلحاته غامضة لكثير من الناس، والمحتال يستغل هذا الغموض ليبدو خبيراً ويبدو ضحيته جاهلاً، فيستحي من السؤال أو التحقق.

ولاحظ الخيط المشترك: الخصائص نفسها التي تعطي العملات الرقمية قوتها، النهائية والأسماء المستعارة والعالمية، هي التي يستغلها المحتال. فالحماية لا تأتي من النظام نفسه كما في البنك، بل من وعيك أنت. وهذا فرق جوهري يجب أن يستقر في ذهن كل من يتعامل مع هذا المجال: أنت خط الدفاع الأول والأخير، ولا جهة ستعيد لك مالاً أرسلته بيدك إلى محتال. ولهذا كان الوعي بالأنماط ليس رفاهية بل ضرورة.

## لماذا يقع الأذكياء أيضاً؟

من السهل أن نظن أن ضحايا الاحتيال قليلو الخبرة أو غافلون، وهذا الظن نفسه خطر، لأنه يجعلنا نطمئن أننا محصنون فنخفض حذرنا. الحقيقة أن الاحتيال لا يستهدف ذكاءك بل مشاعرك، وكل إنسان له مشاعر تستغل. فالمحتال لا يقنعك بحجة منطقية، بل يصنع حالة شعورية تعطل تفكيرك: خوف من خسارة حسابك، أو طمع في ربح سريع، أو حب لمن تظنه يبادلك، أو ثقة في جهة تبدو رسمية. وفي هذه الحالات الشعورية يتوقف العقل النقدي، فيفعل الذكي ما لا يفعله في هدوئه.

ولفهم ذلك، تأمل الأدوات النفسية التي يكررها المحتالون، فهي ثابتة عبر كل الأنماط:

- **الاستعجال المصطنع**: «الفرصة تنتهي خلال ساعة»، «حسابك سيغلق الآن». الهدف منعك من التوقف، لأن التوقف يكشف الحيلة. والمحتال يعرف أن دقيقة تفكير تكفي لتنهار قصته.
- **السلطة المزيفة**: لباس رسمي، شعار جهة، لغة قانونية. نحن مدربون على طاعة من يبدو ذا سلطة، والمحتال يستعير هذا المظهر دون جوهره.
- **المعاملة بالمثل**: يبدأ بأن يعطيك شيئاً، نصيحة أو ربحاً صغيراً أو اهتماماً، فتشعر أنك مدين، فتجاريه حين يطلب.
- **الدليل الاجتماعي**: «آلاف ربحوا»، تعليقات مزيفة، لقطات أرباح. نحن نثق بما يثق به الجمع، والمحتال يصنع جمعاً وهمياً.
- **الالتزام التدريجي**: يبدأ بطلب صغير تقبله، ثم يكبر الطلب خطوة خطوة، فيصعب التراجع بعد أن بدأت، لأن التراجع اعتراف بخطأ.

والدرس من هذا كله: حصانتك ليست في ذكائك بل في عادتك. فمن تعود أن يتوقف ويتحقق قبل أي فعل مالي، مهما كانت حالته الشعورية، محصن أكثر من الذكي الذي يثق بحدسه في لحظة انفعال. ولهذا كل الدفاعات التي سنذكرها عادات لا معلومات: التوقف، والتحقق المستقل، وعدم مشاركة المفتاح. فالمعلومة تنسى وقت الانفعال، والعادة تبقى. ومن يبني هذه العادات يحمي نفسه حتى في اللحظة التي يخونه فيها تفكيره، وهي بالضبط اللحظة التي يصطاد فيها المحتال.

## أنماط الاحتيال الشائعة

تصف صفحة FTC للتوعية عدة أنماط متكررة، تختلف في القصة وتتشابه في الهدف: أن تدفع بعملة رقمية لمن لا تعرف. والصورة التالية تجمع أبرزها:

![مخطط لأنماط الاحتيال الشائعة من صفحة لجنة التجارة الفيدرالية الأمريكية FTC: احتيال الاستثمار الذي يعد بأرباح كبيرة مضمونة ويبدأ عبر وسائل التواصل أو تطبيقات التعارف ويريك أرباحاً وهمية تنمو لتغريك بإيداع أكثر ثم يختفي عند السحب، وانتحال جهة حيث ينتحل شركة معروفة أو جهة حكومية أو دعماً فنياً ويخبرك أن حسابك في خطر وأن الحل تحويل أموالك إلى محفظة آمنة يسيطر عليها هو، واحتيال الوظيفة الذي يعرض عملاً سهل الربح ثم يطلب الدفع بعملة رقمية أو يمررك أموالاً مسروقة لتغسلها، ومزج الحب بالاستثمار حيث يبني علاقة عاطفية ثم يقنعك بفرصة استثمار رقمية، والابتزاز والتهديد بنشر معلومات ما لم تدفع بعملة رقمية](https://arabroot.io/content/images/2026/10/crypto-scams-01-types.webp)

القصص مختلفة والهدف واحد: أن تدفع بعملة رقمية لمن لا تعرف، دون تحقق

- **احتيال الاستثمار**: يعد بأرباح كبيرة مضمونة، ويبدأ غالباً عبر وسائل التواصل أو تطبيقات التعارف. يريك منصة وهمية تظهر أرباحك تنمو، فتودع أكثر، وحين تحاول السحب تظهر رسوم أو ضرائب مفاجئة، ثم يختفي كل شيء. والأرباح التي رأيتها كانت أرقاماً على شاشة لا مالاً حقيقياً.
- **انتحال جهة**: ينتحل شركة معروفة أو جهة حكومية أو دعماً فنياً، ويخبرك أن حسابك في خطر، وأن الحل تحويل أموالك إلى «محفظة آمنة» يسيطر عليها هو. وهذه الحيلة أوقعت المستقل في قصتنا.
- **احتيال الوظيفة**: يعرض عملاً سهل الربح، ثم يطلب منك أن تدفع بعملة رقمية مقابل تدريب أو عدة أو مهام، أو يمررك أموالاً مسروقة لتحولها فتصبح أداة غسل دون أن تدري. والوظيفة التي تطلب منك الدفع ليست وظيفة. والصورة الثانية أخطر مما تبدو، لأن من يحول أموالاً لا يعرف مصدرها قد يجد نفسه طرفاً في قضية غسل أموال، فيدفع ثمن جريمة غيره.
- **مزج الحب بالاستثمار**: يبني علاقة عاطفية عبر أسابيع، يكسب ثقتك، ثم يقنعك بفرصة استثمار رقمية. وتصف FTC هذا النمط بأن «الحبيب» الذي تعرفت عليه عبر الإنترنت يدفعك إلى الاستثمار أو الدفع بعملة رقمية. وهذا النمط من أكثرها إيلاماً لأنه يسرق الثقة قبل المال.
- **الابتزاز والتهديد**: يدعي أنه يملك معلومات أو صوراً محرجة ويهددك بنشرها ما لم تدفع بعملة رقمية. والدفع لا يوقف الابتزاز بل يفتح باب المزيد.

ولاحظ أن الأنماط الخمسة تشترك في بنية واحدة: قصة تكسب ثقتك أو تثير خوفك، ثم طلب دفع بعملة رقمية لا يعكس، ثم اختفاء. فإذا رأيت هذه البنية تتشكل، مهما بدت القصة مقنعة، فأنت أمام احتيال محتمل. والوعي بالبنية أقوى من حفظ الأنماط، لأن المحتالين يخترعون قصصاً جديدة كل يوم، ولكن البنية تبقى ثابتة.

## احتيال الاستثمار من الداخل: المنصة الوهمية

أكثر الأنماط خسارة في المال هو احتيال الاستثمار، وفهم دورة حياته يكشف لماذا يقع فيه الناس ثم يتمسكون به. والدورة تمر عادة بمراحل متتابعة، كل مرحلة مصممة لتجعل التالية أسهل:

1. **التعارف**: رسالة ودية أو إعلان أو صديق في مجموعة، لا يطلب شيئاً في البداية، بل يبني ألفة وثقة، وقد يمتد ذلك أسابيع.
2. **الإيداع الأول الصغير**: يرشدك إلى «منصة» تبدو احترافية، بواجهة أنيقة ورسوم بيانية تتحرك، وتودع مبلغاً صغيراً على سبيل التجربة.
3. **الأرباح الوهمية**: الشاشة تريك رصيدك ينمو بسرعة، وقد يسمحون لك بسحب مبلغ صغير فعلاً لتطمئن أن المنصة حقيقية. وهذا السحب الصغير هو الطعم الأقوى.
4. **الإيداع الكبير**: بعد أن اطمأننت، تودع أكثر، وقد تقترض أو تقنع أقاربك، لأن الأرباح على الشاشة تبدو مضمونة.
5. **جدار السحب**: حين تحاول سحب المبلغ الكبير، تظهر «رسوم» أو «ضرائب» أو «تحقق» يجب أن تدفعه أولاً، وكل دفعة تفتح طلباً جديداً.
6. **الاختفاء**: حين تتوقف عن الدفع، يختفي الموقع والشخص معاً، ويتبين أن الرصيد كان رقماً في قاعدة بيانات المحتال لا مالاً على أي سلسلة.

والنقطة الحاسمة التي يغفل عنها الضحية: الرصيد على شاشة المنصة الوهمية ليس مالاً، بل رقم يكتبه المحتال في قاعدة بياناته ويستطيع أن يجعله أي رقم يريد. وقد شرحنا في [مقال المنصات](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D9%85%D9%86%D8%B5%D8%A7%D8%AA-%D8%AA%D8%AF%D8%A7%D9%88%D9%84-%D8%A7%D9%84%D8%B9%D9%85%D9%84%D8%A7%D8%AA-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A%D8%A9-%D8%AF%D9%81%D8%AA%D8%B1-%D8%A7%D9%84%D8%A7%D9%88%D8%A7%D9%85%D8%B1-%D9%88%D8%A7%D9%84%D9%85%D8%B7%D8%A7%D8%A8%D9%82%D8%A9/) أن رصيدك في أي منصة مركزية هو قيد في دفاترها، وهذا صحيح في المنصة الحقيقية أيضاً، ولكن الفرق أن الحقيقية تملك الأصول وتخضع لرقابة وتسمح بالسحب، والوهمية لا تملك شيئاً. ولهذا الاختبار الحقيقي ليس ما تعرضه الشاشة بل هل تستطيع أن تسحب ما تملك متى شئت دون شروط مفاجئة.

| السؤال               | منصة تعمل بشكل طبيعي              | منصة وهمية                          |
| -------------------- | --------------------------------- | ----------------------------------- |
| كيف وصلت إليها؟      | بحثت عنها بنفسك وتحققت من ترخيصها | أرسلها لك شخص تعرفت عليه حديثاً     |
| العائد المعلن        | لا عائد مضمون، الأسعار تصعد وتهبط | أرباح ثابتة مرتفعة تنمو كل يوم      |
| السحب                | متاح برسوم معلنة مسبقاً           | رسوم وضرائب مفاجئة تظهر عند السحب   |
| من يرشدك في التداول؟ | لا أحد، القرار قرارك              | «خبير» أو صديق يوجه كل خطوة         |
| الوضع النظامي        | يمكن التحقق منه من مصدر رسمي      | غامض، أو ترخيص مزعوم لا يمكن تأكيده |

ولماذا يستمر الضحية في الدفع عند جدار السحب رغم أن الرسوم المفاجئة علامة واضحة؟ لأن ما دفعه سابقاً يبدو محبوساً، فيظن أن دفعة أخيرة ستحرره كله. وهذا ما يسمى مغالطة التكلفة الغارقة Sunk Cost: نستمر في طريق خاسر لأننا استثمرنا فيه كثيراً، لا لأنه يستحق. والمحتال يعرف ذلك ويبني عليه، فيجعل كل طلب جديد صغيراً مقارنة بما «ينتظرك» على الشاشة. والقاعدة الحاسمة هنا: أي منصة تطلب منك دفع مال لتسحب مالك، توقف عندها فوراً، فما دفعته ضاع غالباً، وكل دفعة جديدة خسارة إضافية لا طريق استرداد.

وهذا الجدول لا يعني أن كل منصة تمر من الاختبار آمنة، فقد رأينا في مقال الحفظ أن منصات كبيرة سقطت، ولكنه يفرز الوهمية بوضوح: إذا وصلتك المنصة عبر شخص، ووعدتك بأرباح ثابتة، وطلبت رسوماً عند السحب، فأنت لست أمام منصة بل أمام محتال يرتدي واجهة منصة.

## علامات الخطر

الأنماط تتغير، ولكن علاماتها تتكرر. وصفحة FTC تقول صراحة «لا يطلب الدفع بالعملات الرقمية إلا المحتالون» و«لا يضمن الأرباح أو العوائد الكبيرة إلا المحتالون»، وتذكر أن مدفوعات العملات الرقمية لا تعكس عادة ولا تأتي معها حماية قانونية. والصورة التالية تجمع العلامات:

![مخطط لعلامات الخطر من تحذيرات لجنة التجارة الفيدرالية الأمريكية FTC: يضمن لك أرباحاً أو عوائد كبيرة فلا أحد يضمن ربحاً في استثمار، ويصر أن تدفع بعملة رقمية حصراً لأمر رسمي أو وظيفة أو غرامة، ويمزج الحب بنصيحة الاستثمار، ويستعجلك ويخوفك بفوات الفرصة أو خطر الحساب، ويطلب عبارة الاسترداد أو المفتاح الخاص فلا جهة صادقة تطلب مفتاحك، ويراسلك فجأة بفرصة أو برقم خطأ ودي، والقاعدة الواحدة أن المحتال يصنع استعجالاً وسرية ووعداً مضموناً فإذا رأيت الثلاثة معاً توقف وتحقق من قناة رسمية مستقلة](https://arabroot.io/content/images/2026/10/crypto-scams-02-redflags.webp)

العلامات تتكرر عبر الأنماط كلها: الضمان، والإصرار على الدفع بعملة رقمية، والاستعجال، وطلب المفتاح

- **يضمن أرباحاً أو عوائد كبيرة**. لا أحد يضمن ربحاً في استثمار حقيقي، فالضمان نفسه كذبة. وكما قلنا في مقال العملات المستقرة، العائد المرتفع المضمون نذير مخاطرة لا دليل أمان.
- **يصر أن تدفع بعملة رقمية**. من يطلب الدفع حصراً بعملة رقمية لأمر رسمي أو وظيفة أو غرامة محتال، لأنه يريد تحويلاً لا يعكس.
- **يمزج الحب بالاستثمار**. من يبني علاقة عاطفية عبر الإنترنت ثم يدفعك إلى استثمار رقمي، وهو نمط تصفه FTC ضمن احتيال العلاقات.
- **يستعجلك ويخوفك**. الإلحاح والتهديد بفوات الفرصة أو خطر الحساب حيلة لمنعك من التوقف والتحقق، لأن التحقق عدو المحتال الأول.
- **يطلب عبارة الاسترداد أو المفتاح الخاص**. لا جهة صادقة تطلب مفتاحك أبداً، ومن يطلبه يريد سرقة محفظتك مباشرة، كما حدث في قصتنا. ومن يملك المفتاح يملك المال، كما تعلمنا في مقال الحفظ.
- **يراسلك فجأة**. رسالة غريب تبدأ بفرصة مغرية أو برقم خطأ ودي بداية شائعة لمزج الحب بالاستثمار.

والقاعدة الواحدة التي تجمع هذه العلامات: المحتال يصنع استعجالاً وسرية ووعداً مضموناً. فإذا رأيت هذه الثلاثة مجتمعة، توقف وتحقق من قناة رسمية مستقلة قبل أي تحويل أو توقيع. والعلامة الأقوى على الإطلاق طلب المفتاح أو عبارة الاسترداد، فهذه وحدها كافية للجزم بالاحتيال دون تردد، لأنه لا سبب مشروع واحد يجعل جهة حقيقية تطلب منك مفتاحك.

## التصيد عبر الموافقة approve

ننتقل الآن من الحيل الاجتماعية إلى حيلة تقنية شائعة جداً، تحذر منها جهات حماية المستهلك، اسمها مصفاة المحافظ Wallet Drainer، وتعتمد على الموافقة approve التي شرحناها في مقال الرموز. تذكر أن معيار ERC-20 يتيح لك أن تمنح عقداً آخر حق سحب رموزك نيابة عنك عبر دالة approve، ثم يسحبها العقد عبر transferFrom. وهذه الآلية ضرورية للتطبيقات اللامركزية، ولكن المحتال يستغلها: يبني موقعاً يبدو حقيقياً، ويطلب منك أن توقع approve لعقده بمبلغ بلا حد، فإذا وقعت صار لعقده حق سحب كل رموزك متى شاء، دون أي خطوة أخرى منك.

ولنرى ذلك بأرقام، بنينا تجربة على شبكة محلية Anvil: رمزاً تجريبياً، وعقد مصفاة، وضحية يملك ألف رمز. ملف السيناريو `script/Phish.s.sol` يمثل الهجوم ثم الدفاع. وجوهر عقد المصفاة بسيط، فهو لا يحتاج إلا أن يستدعي transferFrom بالموافقة التي وقعتها:

```solidity
contract Drainer {
    function drain(address token, address victim, address thief) external {
        uint256 bal = IERC20(token).balanceOf(victim);
        IERC20(token).transferFrom(victim, thief, bal);  // uses the allowance you signed
    }
}
```

نشغل السيناريو على الشبكة المحلية:

```bash
forge script script/Phish.s.sol
```

والمخرج سوف يكون كما يلي:

```text
== Logs ==
  victim balance at start: 1000
  victim approved drainer for: UNLIMITED (type(uint256).max)
  AFTER DRAIN -> victim: 0  thief: 1000
  --- the defense ---
  safe user approved drainer for: 100 only (not unlimited)
  drainer tried to take all 1000 -> reverted (allowance): true
  safe user still holds: 1000
  safe user revoked: allowance now 0
```

في المخرج أعلاه لاحظ التالي:

- الضحية بدأ بألف رمز، ثم وقع موافقة بلا حد للمصفاة، فاستدعى العقد transferFrom وسحب كل شيء: رصيد الضحية صار صفراً، ورصيد اللص صار ألفاً. وكل ذلك بتوقيع واحد من الضحية، دون أن يمس اللص مفتاحه.
- في الدفاع، وافق المستخدم الحذر على مئة فقط، وهي القدر الذي ينوي إنفاقه، لا بلا حد. فحين حاولت المصفاة سحب الألف كاملاً، ارتدت العملية لأن الموافقة لا تكفي، وبقي رصيده ألفاً سليماً.
- ثم ألغى الموافقة بجعلها صفراً، فقطع أي سحب مستقبلي. فالموافقة ليست دائمة إلا إذا تركتها، وإلغاؤها يقطع يد المصفاة.

والصورة التالية تجمع الهجوم والدفاع بأرقام التجربة:

![مخطط من عمودين بأرقام المختبر: عمود الهجوم فيه الضحية يملك 1000 رمز ثم موقع تصيد يطلب توقيع approve بلا حد UNLIMITED ثم العقد يسحب كل شيء transferFrom فيصبح رصيد الضحية 0 واللص يستلم 1000، وعمود الدفاع فيه وافق على القدر المطلوب فقط approve 100 ثم محاولة سحب الـ 1000 ترتد reverted فرصيدك يبقى سليماً safe 1000 ثم ألغ الموافقة بعد الاستخدام allowance 0، والدرس أن الموافقة بلا حد توقيع واحد يسلم مفاتيح رموزك لعقد غريب فوافق على القدر الذي تنفقه فقط وألغ الموافقات القديمة واقرأ ما توقعه](https://arabroot.io/content/images/2026/10/crypto-scams-03-drainer.webp)

بتوقيع واحد بلا حد تفرغ المحفظة، والدفاع ثلاثة: وافق على القدر المطلوب، وألغ القديم، واقرأ ما توقعه

والدرس الذي يخرج به كل من يملك محفظة: الموافقة بلا حد ليست إجراء شكلياً، بل توقيع يسلم حق سحب رموزك لعقد غريب. فالقاعدة ثلاثية: وافق على القدر الذي تنفقه فعلاً لا بلا حد، وألغ الموافقات القديمة التي لم تعد تحتاجها، واقرأ ما توقعه قبل أن توقعه. وكثير من المحافظ اليوم تعرض لك ما تعنيه الموافقة قبل التوقيع، فلا توقع شيئاً لا تفهمه، فالتوقيع الأعمى هو ما يبحث عنه المحتال.

ولماذا توجد الموافقة بلا حد أصلاً إن كانت بهذه الخطورة؟ السبب الراحة: كل موافقة معاملة على السلسلة لها رسوم غاز، فبدل أن توقع موافقة جديدة في كل مرة تستخدم تطبيقاً، تمنحه موافقة واحدة بلا حد وتنتهي. وكثير من التطبيقات الحقيقية تطلبها افتراضياً لهذا السبب. فالمشكلة ليست أن الموافقة بلا حد شر في ذاتها، بل أنها تحول أي خلل لاحق في العقد الذي وافقت له، أو أي موقع مزيف ينتحل التطبيق، إلى خسارة كاملة لا جزئية. والموازنة الصحيحة: راحة صغيرة مقابل خطر كبير، ولذلك يفضل أن تحدد القدر حين تستطيع، وأن تراجع موافقاتك القديمة دورياً وتلغي ما لا تحتاجه.

وهناك صورة أخرى للحيلة نفسها تستحق الانتباه: التوقيع خارج السلسلة. فبعض الرموز تدعم أن تمنح الموافقة بتوقيع رسالة فقط، دون معاملة ودون رسوم غاز، ثم يرسل الطرف الآخر هذا التوقيع إلى السلسلة متى شاء. ومن جهة المستخدم يبدو الأمر كأنه «توقيع رسالة» بريء لا يحرك مالاً، بينما هو في الحقيقة موافقة كاملة على السحب. ولهذا القاعدة لا تخص المعاملات وحدها: أي طلب توقيع لا تفهم ما يمنحه، سواء كان معاملة أو رسالة، عامله كأنه توقيع على شيك مفتوح. والمحافظ الحديثة تحاول أن تشرح ما يعنيه التوقيع، فاقرأ الشرح، وإن كان غامضاً أو يذكر موافقة لم تقصدها فارفض.

وفي قصة منصتنا، هذا يعني شيئاً عملياً: لو بنى الفريق عقد ضمان Escrow يحتاج موافقة المستخدم ليسحب مبلغ العقد، فالتصميم الصحيح أن يطلب موافقة بقدر مبلغ العقد بالضبط، لا بلا حد. فإذا اخترق عقد المنصة يوماً، كما رأينا في مقال أمن العقود الذكية أنه ممكن، لا يخسر المستخدم إلا مبلغ العقد الجاري، لا كل ما في محفظته. فالموافقة المحددة لا تحمي من المحتال فقط، بل تحد الضرر حتى من أخطاء المنصة الصادقة.

وكيف تعرف ما وافقت عليه سابقاً؟ الموافقات مسجلة على السلسلة علناً، فكل موافقة منحتها لأي عقد يمكن قراءتها بدالة allowance كما فعلنا في التجربة. وهناك أدوات ومستكشفات للبلوكتشين تعرض لك قائمة موافقاتك على عنوانك، وتتيح إلغاءها بمعاملة تجعل القيمة صفراً. والعادة المفيدة أن تراجع هذه القائمة من حين لآخر، خاصة بعد تجربة تطبيق جديد، وتلغي كل موافقة لتطبيق لم تعد تستخدمه. وانتبه هنا أيضاً: ادخل إلى هذه الأدوات بكتابة عنوانها بنفسك، لأن المحتالين يصنعون نسخاً مزيفة من أدوات إلغاء الموافقات نفسها.

## تسميم العنوان

الحيلة التقنية الثانية ألطف وأخطر، لأنها تستغل كيف تعرض المحافظ العناوين لا كيف تعمل العقود. اسمها تسميم العنوان Address Poisoning، وفكرتها أن المحتال يصنع عنواناً يشبه عنواناً تستخدمه، يطابقه في أول خاناته وآخرها، ثم يرسل إليك تحويلاً صغيراً أو بصفر قيمة، فيظهر عنوانه في سجل معاملاتك. وحين تريد لاحقاً أن ترسل إلى عنوانك المعتاد، تنسخه من السجل، فترى الطرفين المألوفين فتثق، وترسل إلى اللص.

ولماذا تنطلي هذه الحيلة؟ لأن المحافظ تعرض العنوان مختصراً، أول ست خانات ونقاط وآخر أربع، لأن العنوان الكامل طويل. بنينا تجربة في `02-poison.py` تبين ذلك:

```python
real   = "0x9f8A2b4C1d6E7f0A3b5C8d9E2f1A4b6C7d8E9f0A"   # an address you really paid before
poison = "0x9f8A2bFFFFFFFFFFFFFFFFFFFFFFFFFF7d8E9f0A"   # DIFFERENT middle, same ends
def short(a):            # how a wallet usually displays an address
    return a[:6] + "..." + a[-4:]
print("identical on screen?", short(real) == short(poison))
print("but the full addresses are equal?", real.lower() == poison.lower())
```

نشغلها:

```bash
docker run --rm -v "$PWD:/lab" -w /lab python:3.13-slim python 02-poison.py
```

والمخرج سوف يكون كما يلي:

```text
how your wallet shows each (truncated):
  real:    0x9f8A...9f0A
  poison:  0x9f8A...9f0A

identical on screen? True
but the full addresses are equal? False
```

في المخرج أعلاه، العنوانان يظهران على الشاشة متطابقين تماماً، 0x9f8A نقاط 9f0A، بينما هما في الحقيقة مختلفان تماماً في الوسط. فاللص لا يحتاج أن يكسر مفتاحك ولا أن يخدعك برسالة، بل يكفيه أن يضع عنوانه المشابه في سجلك وينتظر أن تنسخه بثقة. والصورة التالية تجمع التجربة:

![مخطط تسميم العنوان بأرقام المختبر: عنوانك الحقيقي 0x9f8A2b4C1d6E7f0A3b5C8d9E2f1A4b6C7d8E9f0A وعنوان اللص المشابه 0x9f8A2bFFFFFFFFFFFFFFFFFFFFFFFFFF7d8E9f0A بنفس أول ست خانات ونفس آخر أربع ووسط مختلف تماماً واللص يرسل تحويلاً صغيراً ليظهر عنوانه في سجلك، وكما تعرضهما المحفظة مختصرين 0x9f8A نقاط 9f0A متطابقان على الشاشة ومختلفان في الحقيقة، والدفاع لا تنسخ عنواناً من سجل المعاملات وتحقق من كل خانة لا من الطرفين فقط واحفظ العناوين الموثوقة وابدأ بتحويل اختبار صغير](https://arabroot.io/content/images/2026/10/crypto-scams-04-poison.webp)

اللص يطابق الطرفين ويختبئ في الوسط، لأن المحفظة تعرض الطرفين فقط

والدفاع واضح متى فهمت الحيلة: لا تنسخ عنواناً من سجل المعاملات أبداً، فالسجل هو بالضبط ما يسممه المحتال. وتحقق من كل خانة في العنوان لا من الطرفين فقط، أو الأفضل احفظ العناوين الموثوقة في دفتر عناوين وأرسل منه، وابدأ دائماً بتحويل اختبار صغير قبل المبلغ الكبير. فالمحفظة تريك الطرفين، واللص يختبئ في الوسط الذي لم تتحقق منه، والتحقق الكامل أو دفتر العناوين يغلقان هذا الباب.

وقد يسأل القارئ: كيف يصنع المحتال عنواناً يطابق أول خانات عنوانك وآخرها؟ الجواب أنه لا يختار العنوان مباشرة، لأن العنوان مشتق من مفتاح خاص كما شرحنا في مقال الحفظ، بل يولد مفاتيح كثيرة جداً بسرعة حتى يصادف عنواناً يطابق الخانات المطلوبة. وكلما زادت الخانات المطلوب مطابقتها صعب الأمر أكثر، ولكن مطابقة بضع خانات في البداية والنهاية ممكنة بحواسيب عادية في وقت معقول. ولهذا المحفظة التي تعرض الطرفين فقط تعطي المحتال هدفاً سهلاً: يكفيه أن يطابق ما تعرضه الشاشة، لا العنوان كله. ومن هنا يأتي الدفاع الأقوى: لا تعتمد على عينك في مقارنة طرفين، بل على دفتر عناوين محفوظ لا يمر عبر السجل.

ولماذا يرسل المحتال تحويلاً بصفر قيمة أو بقيمة ضئيلة؟ لأن هدفه ليس المال في هذه المرحلة، بل أن يظهر عنوانه في سجلك بجانب عناوينك الحقيقية، فيصبح جزءاً من «تاريخك» المألوف. وقد يرسل رمزاً مزيفاً يحمل اسم عملة معروفة ليبدو التحويل طبيعياً. فإذا رأيت في سجلك تحويلات غريبة صغيرة من عناوين تشبه عناوينك، فهذه علامة أن أحداً يحاول تسميم سجلك، والصحيح تجاهلها تماماً وعدم التفاعل معها، وعدم نسخ أي عنوان منها.

## حيل أخرى يجب أن تعرفها

إلى جانب ما جربناه، هناك حيل تقنية واجتماعية يتكرر ذكرها في تحذيرات المستهلك، يكفي أن تعرف شكلها لتتجنبها:

- **مواقع ومحافظ مزيفة**: نسخة مطابقة لموقع منصة أو محفظة معروفة، برابط يختلف بحرف، تسرق ما تدخله. تحقق دائماً من الرابط حرفاً حرفاً، ولا تصل إلى منصتك عبر رابط في رسالة أو إعلان.
- **مضاعفة الهدية**: وعد بأن ترسل مبلغاً فيعيده لك مضاعفاً، غالباً باسم شخصية مشهورة أو حدث. لا أحد يضاعف مالك مجاناً، وكل «أرسل واحداً تستلم اثنين» احتيال.
- **الدعم الفني المزيف**: حساب أو رقم ينتحل دعم منصة، يظهر فجأة حين تشكو علناً. الدعم الحقيقي لا يراسلك أولاً ولا يطلب مفتاحك، كما حدث في قصتنا.
- **مشروع يختفي بالمال**: رمز جديد يروج له بحماس ثم يختفي أصحابه بأموال المشترين، وهو ما يسمى السحب Rug Pull، وربطه بما شرحناه عن مخاطر العقود في [مقال أمن العقود الذكية](https://arabroot.io/articles/%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B9%D9%82%D9%88%D8%AF-%D8%A7%D9%84%D8%B0%D9%83%D9%8A%D8%A9-%D8%A7%D8%B4%D9%87%D8%B1-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D9%88%D8%AD%D9%88%D8%A7%D8%AF%D8%AB%D9%87%D8%A7-%D8%A7%D9%84%D8%AD%D9%82%D9%8A%D9%82%D9%8A%D8%A9/): العقد المفتوح قابل للفحص، فاحذر ما لا يمكن فحصه.
- **التوزيع المجاني المزيف**: رسالة أو رمز يظهر في محفظتك يدعوك إلى «استلام» رموز مجانية من موقع ما، فإذا دخلت الموقع ووقعت ما يطلبه، كان التوقيع موافقة لمصفاة كالتي جربناها. فالهدية التي تحتاج توقيعاً لتستلمها فخ في الغالب، والرموز الغريبة التي تظهر في محفظتك دون أن تطلبها تجاهلها ولا تتفاعل معها.
- **احتيال الاسترداد**: بعد أن تخسر، يظهر من يعد باسترداد أموالك مقابل رسوم مقدمة، فيسرقك مرة ثانية. لا أحد يسترد أموالاً ضاعت على السلسلة، ومن يعد بذلك مقابل رسوم محتال.

ولاحظ أن كل هذه الحيل، رغم تنوعها، تنهار أمام عادتين بسيطتين: التحقق المستقل قبل أي فعل، والامتناع المطلق عن مشاركة المفتاح أو عبارة الاسترداد. فمن رسخ هاتين العادتين أغلق أغلب أبواب الاحتيال دفعة واحدة، لأن أغلب الحيل تحتاج إما أن تتعجل دون تحقق، أو أن تسلم مفتاحك، وكلاهما تمنعه العادتان.

## كيف تتحقق عملياً؟

كلمة «تحقق» تتكرر في كل نصيحة، ولكنها تبقى غامضة ما لم نحولها إلى خطوات. والفكرة الأساسية في التحقق المستقل أن تصل إلى المعلومة من طريق لم يرسمه لك الطرف الآخر. فإذا وصلتك رسالة من «دعم المنصة»، لا ترد عليها ولا تضغط رابطها، بل افتح تطبيق المنصة الذي ثبته بنفسك، أو اكتب عنوان موقعها بيدك، وتواصل مع الدعم من داخله. فإن كانت المشكلة حقيقية ستجدها هناك، وإن لم تجدها فالرسالة احتيال.

وبالطريقة نفسها مع الأشخاص: إذا راسلك صديق يطلب تحويلاً عاجلاً بعملة رقمية، فاتصل به على رقمه المعروف لديك، لا على الحساب الذي راسلك منه، فقد يكون حسابه مخترقاً. وإذا ادعت جهة رسمية أن عليك غرامة تدفع بعملة رقمية، فابحث عن رقم الجهة في موقعها الرسمي واتصل بها، وستعرف أن الجهات الرسمية لا تحصل غراماتها بعملات رقمية. وإذا عرض عليك أحد فرصة استثمار، فتحقق من الجهة الرقابية في بلدك هل المنصة مرخصة، من موقع الجهة نفسها لا من شهادة يرسلها لك.

وهناك عادة صغيرة تحمي كثيراً: قاعدة الانتظار. قرر مسبقاً أنك لن تحول أي مبلغ استجابة لطلب لم تبدأه أنت قبل أن تمر ساعات أو يوم، مهما بدا عاجلاً. فالطلبات الحقيقية تحتمل الانتظار، والمحتال لا يحتمله لأن قصته تنهار مع الوقت والتفكير. ومن يعطي نفسه هذه المهلة يكتشف أغلب الحيل وحده، لأن الاستعجال، كما رأينا، هو العمود الذي تقوم عليه الحيلة. وفي التطبيق: اكتب هذه القاعدة لنفسك ولأهلك، فكبار السن والأقل خبرة بالتقنية هم الهدف المفضل، وقاعدة بسيطة واحدة تحميهم أكثر من شرح طويل.

## ماذا تفعل؟

نجمع ما سبق في خطة عمل من شقين: قبل أن تدفع أو توقع، وبعد أن تكتشف أنك خدعت. والصورة التالية تجمع الشقين:

![مخطط من جزأين: قبل أن تدفع أو توقع توقف فالاستعجال سلاح المحتال الأول وتحقق من قناة رسمية مستقلة لا من الرقم أو الرابط الذي أرسله ولا تشارك عبارة الاسترداد ولا المفتاح الخاص ولا محفظة آمنة تنقل إليها أموالك واقرأ ما توقعه وتجنب الموافقة بلا حد وابدأ بتحويل اختبار صغير وتحقق من كل خانة، وبعد أن تكتشف ألغ الموافقات المشبوهة فاجعل allowance صفراً لتقطع سحب المصفاة وانقل ما بقي إلى محفظة جديدة آمنة ولا تدفع أكثر لاسترداد ما فقدت فوعد إعادة الأموال مقابل رسوم احتيال ثان وأبلغ عبر القنوات الرسمية ووثق كل شيء وحذر من حولك](https://arabroot.io/content/images/2026/10/crypto-scams-05-respond.webp)

قبل الدفع: توقف وتحقق ولا تشارك مفتاحك. بعد الاكتشاف: ألغ الموافقات وانقل ما بقي وأبلغ

| الموقف                               | القرار                                  |
| ------------------------------------ | --------------------------------------- |
| رسالة تطلب مفتاحك أو عبارة الاسترداد | احتيال مؤكد، لا تشارك، أبلغ وتجاهل      |
| «دعم» يطلب نقل أموالك إلى محفظة آمنة | احتيال انتحال، لا محفظة آمنة غير محفظتك |
| فرصة بعائد مضمون أو مضاعفة           | ارفض، فالضمان والمضاعفة علامتا احتيال   |
| طلب توقيع approve لا تفهمه           | لا توقع، اقرأ أولاً، وتجنب ما بلا حد    |
| عنوان منسوخ من سجل المعاملات         | تحقق من كل خانة، أو استخدم دفتر عناوين  |
| استعجال وتخويف وسرية معاً            | توقف وتحقق من قناة رسمية مستقلة         |
| اكتشفت أنك خدعت                      | ألغ الموافقات، انقل ما بقي، أبلغ، وثق   |
| عرض باسترداد ما خسرت مقابل رسوم      | احتيال ثان، لا تدفع شيئاً               |

ونقطة مهمة في الشق الثاني: إذا اكتشفت أنك وقعت موافقة مشبوهة، فإلغاؤها بجعلها صفراً، كما رأينا في التجربة، يقطع سحب المصفاة لما تبقى، فافعله فوراً قبل أي شيء، ثم انقل ما بقي من أصول إلى محفظة جديدة بعبارة استرداد لم تمسها يد. ولا تقع في فخ احتيال الاسترداد: من يعدك بإعادة ما خسرت مقابل رسوم مقدمة يصطاد الضحية مرتين. والإبلاغ عبر القنوات الرسمية في بلدك مهم حتى لو لم تسترد المال، لأنه يحمي غيرك ويبني صورة عن المحتالين.

## التوثيق والإبلاغ

إذا وقع الاحتيال، فالخطوة التي يهملها كثيرون هي التوثيق، مع أنها أساس أي إبلاغ أو ملاحقة. والسلسلة نفسها تساعدك هنا: كل تحويل عليها مسجل علناً بمعرف معاملة Transaction Hash لا يمحى، فالأثر موجود حتى لو اختفى المحتال. والمطلوب أن تجمع ما يربط هذا الأثر بالقصة:

- معرفات المعاملات التي خرج بها مالك، والعناوين التي ذهب إليها، وأوقاتها.
- الرسائل والمحادثات مع المحتال، والحسابات التي تواصل منها، ولقطات الشاشة قبل أن يحذفها.
- روابط المواقع والتطبيقات التي استخدمها، واسم «المنصة» إن وجد.
- أي موافقة وقعتها، ولأي عقد، ومتى، لأنها تفسر كيف سحب المال.

ثم تبلغ عبر القنوات الرسمية في بلدك، الجهة المختصة بالجرائم المالية أو المعلوماتية، والجهة التي تشرف على المنصة إن كان المال مر عبر منصة مرخصة. وفي الولايات المتحدة مثلاً يجمع مركز FBI IC3 بلاغات الاحتيال الإلكتروني وينشر تقارير سنوية عن الاحتيال في العملات الرقمية. والإبلاغ لا يضمن استرداد المال، وغالباً لا يسترد، ولكنه يغذي الصورة التي تبنيها الجهات عن شبكات الاحتيال، وقد يساعد في تجميد أموال لم تخرج بعد من منصة وسيطة. وأبلغ كذلك المنصة التي تحول عبرها المحتال إن عرفتها، فالمنصات المرخصة قد تستطيع تجميد حساب مرتبط بالاحتيال إن وصلها البلاغ مبكراً.

وتذكر أن الإبلاغ نفسه قد يجذب محتالاً ثانياً: بعد أن تشكو علناً في وسائل التواصل، يظهر من يدعي أنه «محقق» أو «خبير استرداد» أو جهة رسمية تعيد لك مالك مقابل رسوم. فأبلغ عبر القنوات الرسمية التي تصل إليها بنفسك، لا عبر من يصلك هو، ولا تدفع رسوم استرداد لأحد.

## كيف تحمي المنصة مستخدميها؟

نعود إلى فريق منصتنا، الذي بدأ القصة ببلاغ مستقل خدع. ماذا يفعل الفريق ليحمي مستخدميه، لا نفسه فقط؟ الدرس أن الحماية ليست تقنية فقط، بل تصميم وتواصل. فالفريق قرر أموراً عملية: أن يعلن بوضوح وتكرار أنه لن يطلب عبارة الاسترداد أو المفتاح من أحد أبداً، لأن هذا الإعلان وحده يحصن المستخدم ضد أخطر حيلة. وأن يجعل قنوات دعمه الرسمية معروفة وموثقة، حتى يميز المستخدم الدعم الحقيقي من المنتحل. وأن يحذر مستخدميه من أنماط الاحتيال بلغة بسيطة، لأن الوعي أرخص من التعويض وأفعل.

وعلى المستوى التقني، إذا كانت المنصة تتعامل مع عقود أو موافقات، فإنها تعرض للمستخدم ما تعنيه كل موافقة قبل توقيعها، ولا تطلب موافقات بلا حد حين يكفي القدر المحدد، وتسهل على المستخدم إلغاء الموافقات. وتدعم دفتر عناوين موثوقة وتحويل اختبار صغير، لتقطع حيلة تسميم العنوان. فالتصميم الذي يجعل الفعل الآمن هو الأسهل يحمي أكثر من أي تحذير، لأن أغلب الناس يسلكون أسهل طريق. وهذا مبدأ هندسي عام: اجعل الطريق الآمن هو الطريق الافتراضي.

أما المستقل الذي خدع في بداية قصتنا، فما الذي استطاع الفريق أن يفعله له؟ الصراحة أولاً: المال الذي خرج من محفظته الذاتية إلى عنوان المحتال لا تستطيع المنصة إعادته، لأنها لا تملك تلك المحفظة ولا سلطة لها على السلسلة. ولكن الفريق ساعده في ما يمكن: جمع معرفات المعاملات والعناوين والرسائل، وأرشده إلى الإبلاغ عبر القنوات الرسمية، ونبهه أن ينقل ما بقي من أصول في أي محفظة استخدم فيها العبارة نفسها، لأن العبارة المكشوفة تكشف كل ما اشتق منها كما رأينا في مقال الحفظ. وحذره مسبقاً من «خبراء الاسترداد» الذين سيظهرون بعد شكواه. ثم حول الفريق الحادثة إلى تنبيه عام لكل المستخدمين، دون ذكر اسم المستقل، يشرح الحيلة بالضبط كما وقعت، لأن قصة حقيقية قريبة تقنع أكثر من أي تحذير عام.

وتعلم الفريق من الحادثة درساً عن توقيت التواصل: المحتال انتحل «دعم المنصة» لأن المستخدمين لا يعرفون كيف يبدو الدعم الحقيقي. فأضاف الفريق في كل رسالة رسمية سطراً ثابتاً يقول إن المنصة لا تطلب عبارة الاسترداد أبداً، وجعل التواصل مع الدعم يبدأ من داخل التطبيق فقط، فصار أي تواصل من خارجه علامة احتيال واضحة للمستخدم.

والأهم أن الفريق فهم أن أكبر ثغراته ليست في الكود بل في الإنسان. فقد يكون عقده مدققاً ومحفظته محمية، ويظل مستخدمه عرضة لرسالة تطلب مفتاحه. ولذلك جعل التوعية جزءاً من المنتج لا إضافة عليه، لأن المنصة التي تحمي كودها وتترك مستخدمها فريسة للرسائل لم تكمل مسؤوليتها. وهذا هو الدرس الذي أراد الفريق أن يخرج به، وأن نخرج به نحن: الوعي خط دفاع، وبناؤه مسؤولية مشتركة بين المنصة والمستخدم.

## قائمة تحقق سريعة

- لا تشارك عبارة الاسترداد أو المفتاح الخاص مع أحد، مهما كان ادعاؤه. هذه وحدها تغلق أخطر باب.
- تحقق دائماً من قناة رسمية مستقلة، لا من الرقم أو الرابط الذي وصلك.
- احذر الاستعجال والسرية والوعد المضمون، فاجتماعها علامة احتيال.
- لا «محفظة آمنة» تنقل إليها أموالك، فهذه حيلة الانتحال الكلاسيكية.
- وافق على القدر الذي تنفقه فقط، وألغ الموافقات القديمة، واقرأ ما توقعه.
- لا تنسخ عنواناً من سجل المعاملات، وتحقق من كل خانة، وابدأ بتحويل اختبار.
- لا تدفع لاسترداد ما خسرت، فوعد الاسترداد مقابل رسوم احتيال ثان، ولا ترد على من يعرض المساعدة بعد شكواك العلنية.
- أعط نفسك مهلة قبل أي تحويل لطلب لم تبدأه أنت، فالطلب الحقيقي يحتمل الانتظار.
- إن خدعت: ألغ الموافقات، انقل ما بقي، أبلغ عبر القنوات الرسمية، ووثق كل شيء.

## تدريب عملي

1. عدل `script/Phish.s.sol` حتى يوافق المستخدم الحذر على 300 بدل 100، ثم اجعل المصفاة تسحب 300 فقط بدل الرصيد كله، وانظر كم يخسر، واستنتج لماذا يحد القدر المحدد الضرر ولا يلغيه.
2. عدل `02-poison.py` حتى تعرض المحفظة ثماني خانات من كل طرف بدل ست وأربع، وانظر هل يبقى العنوانان متطابقين على الشاشة، واستنتج لماذا لا يكفي أي عرض مختصر مهما طال، وأن دفتر العناوين هو الحل.

## حذف التجربة

```bash
docker rm -f scs-anvil
docker image rm python:3.13-slim  # إذا لم تعد تحتاجها
```

## الخلاصة

وصلنا لنهاية الموضوع، وأهم ما فيه:

- العملات الرقمية أرض خصبة للاحتيال لأن التحويل لا يعكس والأسماء مستعارة والمجال عالمي وجديد، فالحماية من وعيك لا من النظام، وعاداتك أقوى من ذكائك في لحظة الانفعال.
- المنصة الوهمية تريك رصيداً يكتبه المحتال، والاختبار الحقيقي هو السحب، فأي منصة تطلب مالاً لتسحب مالك توقف عندها.
- أنماط FTC خمسة: احتيال الاستثمار، والانتحال، والوظيفة، ومزج الحب بالاستثمار، والابتزاز، وبنيتها واحدة: قصة ثم دفع لا يعكس ثم اختفاء.
- علامات الخطر تتكرر: ضمان الأرباح، والإصرار على الدفع بعملة رقمية، والاستعجال، وطلب المفتاح، وأقواها طلب المفتاح أو عبارة الاسترداد.
- التصيد عبر الموافقة: في تجربتنا أفرغت المحفظة بتوقيع بلا حد، والدفاع وافق على القدر المطلوب فقط، فارتد السحب، ثم ألغى الموافقة.
- تسميم العنوان: في تجربتنا بدا عنوانان مختلفان متطابقين على الشاشة، والدفاع التحقق من كل خانة ودفتر العناوين وتحويل الاختبار.
- ماذا تفعل: توقف وتحقق ولا تشارك مفتاحك قبل الدفع، وألغ الموافقات وانقل ما بقي وأبلغ بعد الاكتشاف، واحذر احتيال الاسترداد.

وإن كان لهذا المقال جملة واحدة تبقى، فهي أن أغلب الاحتيال لا يهاجم التقنية بل يتجاوزها. فالمستقل في قصتنا كان يملك محفظة آمنة تقنياً، ومفتاحاً لم يكسره أحد، ومع ذلك خسر كل شيء لأنه سلم العبارة بيده. والتجربتان اللتان شغلناهما تقولان الشيء نفسه بلغة الكود: المصفاة لم تسرق المفتاح بل استعملت موافقة وقعها الضحية، والعنوان المسموم لم يخترق شيئاً بل انتظر أن ينسخه الضحية بثقة. ففي كل حالة كان الفعل الأخير بيد الضحية، ولهذا كانت الحماية الأقوى عادة عند الضحية نفسه: توقف، وتحقق، ولا تسلم مفتاحك.

وفي المقال التالي والأخير من هذه المرحلة ننتقل إلى الوضع النظامي للعملات الرقمية في المملكة، من مصادره الرسمية.

[![](https://arabroot.io/content/images/2026/10/custody-self-vs-exchange-cover-cover.webp)دليلالحفظ لدى المنصة أم بنفسك Self-custody؟ دروس انهيار FTXمن يملك المفتاح الخاص يملك المال. نولد عبارة استرداد ونرى كيف تشتق كل مفاتيحك، ونفهم لماذا سقط عملاء FTX.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AD%D9%81%D8%B8-%D9%84%D8%AF%D9%89-%D8%A7%D9%84%D9%85%D9%86%D8%B5%D8%A9-%D8%A7%D9%85-%D8%A8%D9%86%D9%81%D8%B3%D9%83-self-custody-%D8%AF%D8%B1%D9%88%D8%B3-%D8%A7%D9%86%D9%87%D9%8A%D8%A7%D8%B1-ftx/)[![](https://arabroot.io/content/images/2026/10/buy-sell-crypto-cover-cover.webp)دليلكيف تشترى العملات الرقمية وتباع؟ الخطوات والرسومنحسب بالأرقام كم تدفع فعلاً فوق السعر المعروض، ونمر على خطوات الشراء والبيع وطرقه ومخاطره وعلامات التحذير.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%AA%D9%85-%D8%B4%D8%B1%D8%A7%D8%A1-%D8%A7%D9%84%D8%B9%D9%85%D9%84%D8%A7%D8%AA-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A%D8%A9-%D9%88%D8%A8%D9%8A%D8%B9%D9%87%D8%A7-%D8%A7%D9%84%D8%AE%D8%B7%D9%88%D8%A7%D8%AA-%D9%88%D8%A7%D9%84%D8%B1%D8%B3%D9%88%D9%85-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1/)[![](https://arabroot.io/content/images/2026/10/stablecoins-cover-cover.webp)دليلالعملات المستقرة Stablecoins: كيف تثبت ومتى تنهار؟ثلاث طرق لتثبيت القيمة عند دولار، نرى التصفية بأرقامها، ونحاكي دوامة الموت التي أسقطت UST.](https://arabroot.io/articles/%D8%A7%D9%84%D8%B9%D9%85%D9%84%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B3%D8%AA%D9%82%D8%B1%D8%A9-stablecoins-%D9%83%D9%8A%D9%81-%D8%AA%D8%AB%D8%A8%D8%AA-%D9%88%D9%85%D8%AA%D9%89-%D8%AA%D9%86%D9%87%D8%A7%D8%B1/)[![](https://arabroot.io/content/images/2026/10/smart-contract-security-cover-cover.webp)دليلأمن العقود الذكية: أشهر الثغرات وحوادثها الحقيقيةنكتب عقوداً معطوبة ونهاجمها على شبكة محلية لنرى كل صنف ثغرة يعمل، ثم نضع النسخة المصححة بجانبه، من جهة الدفاع.](https://arabroot.io/articles/%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B9%D9%82%D9%88%D8%AF-%D8%A7%D9%84%D8%B0%D9%83%D9%8A%D8%A9-%D8%A7%D8%B4%D9%87%D8%B1-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D9%88%D8%AD%D9%88%D8%A7%D8%AF%D8%AB%D9%87%D8%A7-%D8%A7%D9%84%D8%AD%D9%82%D9%8A%D9%82%D9%8A%D8%A9/)[![](https://arabroot.io/content/images/2026/10/crypto-exchanges-cover-cover.webp)دليلكيف تعمل منصات تداول العملات الرقمية؟ دفتر الأوامر والمطابقةنشغل محرك مطابقة بسيطاً لنرى لماذا لا يوجد سعر واحد، وكيف يرفع الأمر الكبير السعر، وماذا يحدث داخل المنصة فعلاً.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D9%85%D9%86%D8%B5%D8%A7%D8%AA-%D8%AA%D8%AF%D8%A7%D9%88%D9%84-%D8%A7%D9%84%D8%B9%D9%85%D9%84%D8%A7%D8%AA-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A%D8%A9-%D8%AF%D9%81%D8%AA%D8%B1-%D8%A7%D9%84%D8%A7%D9%88%D8%A7%D9%85%D8%B1-%D9%88%D8%A7%D9%84%D9%85%D8%B7%D8%A7%D8%A8%D9%82%D8%A9/)[![](https://arabroot.io/content/images/2026/10/blockchain-basics-cover-cover.webp)دليلكيف يعمل البلوكتشين Blockchain ومتى لا تحتاجهما المشكلة التي يحلها البلوكتشين أصلاً وكيف يعمل من الداخل، ومتى تكون قاعدة البيانات العادية هي الحل الأصح.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A8%D9%84%D9%88%D9%83%D8%AA%D8%B4%D9%8A%D9%86-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%88%D9%85%D8%AA%D9%89-%D9%84%D8%A7-%D8%AA%D8%AD%D8%AA%D8%A7%D8%AC%D9%87/)

## سجل التحديثات

- أكتوبر 2026: كتابة المقال، وتشغيل تجربة التصيد عبر الموافقة على شبكة Anvil المحلية بأدوات Foundry v1.8.6 وsolc 0.8.37 بأصول وهمية، وتجربة تسميم العنوان بلغة Python 3.13 على Docker Engine 29.8.0، ومراجعة الأنماط والعلامات من صفحة لجنة التجارة الفيدرالية الأمريكية FTC وتقرير FBI IC3.