پاسخ کوتاه
کیف پول رمزارزی drainer چیست؟
یک drainer کیف پول رمزارزی کیت فیشینگی است که معمولاً بهصورت سرویس اجاره داده میشود، یک سایت جعلی یا یک سایت واقعی ربوده‌شده را نشان میدهد، از بازدیدکننده می‌خواهد کیف پول را وصل و امضا کند، و سپس دارایی‌ها را بیرون می‌برد. ScamSniffer مقدار $83.85M را از 106,106 قربانی در 2025 شمرده است. Wardmint نام‌های مشابه پروژه‌ها را ثبت میکند پیش از آنکه مهاجمان بگیرند.
زیان‌های فیشینگ کیف پول در شبکه‌های EVM، 2023 تا 2025
| سال | Losses | Victims | موارد با ارزش $1M یا بیشتر |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
انواع امضایی که drainerها درخواست میکنند
| Signature type | آنچه قربانی در عمل اجازه میدهد | Reported in 2025 |
|---|---|---|
| approve | یک نشانی نام‌برده ممکن است مقدار مشخصی از یک توکن را خرج کند | به‌عنوان نوع رایج فهرست شده |
| permit / Permit2 | همان مجوز، که با یک امضای خارج از زنجیره و بدون تراکنش روی زنجیره از سوی قربانی داده میشود | 38% از زیان‌ها در مواردی به ارزش 1M دلار یا بیشتر ($8.72M، 3 مورد)؛ بزرگ‌ترین سرقت 2025، $6.5M در سپتامبر، با یک امضای Permit انجام شد |
| setApprovalForAll | یک نشانی نام‌برده ممکن است هر NFT در یک مجموعه را جابه‌جا کند | به‌عنوان نوع رایج فهرست شده |
| increaseApproval, Transfer | مجوز بزرگ‌تر یا انتقال مستقیم توکن | به‌عنوان انواع در حال استفاده فهرست شده |
| EIP-7702 batch | کد حساب تفویض‌شده که چند عمل را هم‌زمان اجرا میکند | پس از ارتقای Pectra ظاهر شد؛ 2 مورد بزرگ در اوت، $2.54M |
یک drainer کیف پول چگونه کار میکند؟
در سه گام کار میکند: فریب، اتصال، امضا. فریب لینکی است در یک پیام، تبلیغ یا پروفایل اجتماعی که به صفحه‌ای کپی‌کننده‌ی یک پروژه‌ی واقعی اشاره میکند. صفحه از بازدیدکننده می‌خواهد کیف پولی را وصل کند، که نشانی و توکن‌هایی که نگه می‌دارد را آشکار میکند. سپس کیت یک یا چند درخواست امضا می‌سازد که عادی به نظر می‌رسند، مانند یک claim، یک mint یا یک تأیید. وقتی قربانی امضا کرد، عامل از تأیید یا انتقال برای برداشت دارایی‌ها استفاده میکند، معمولاً در همان لحظه.
ScamSniffer یک drainer کیف پول را زیرساخت فیشینگ روی وب‌سایت‌های مخرب تعریف میکند که کاربران را به امضای تراکنش‌های مضر وادار میکند و امکان استخراج سریع را میدهد. کیت به عبارت بازیابی نیازی ندارد. کاربر اختیار را داوطلبانه میدهد، و به همین دلیل صفحه‌ای که آن را درخواست میکند باید معتبر به نظر برسد، و به همین دلیل دامنه‌ای که صفحه روی آن قرار دارد اهمیت دارد.
drainerها دامنه‌هایشان را از کجا می‌گیرند؟
آن‌ها از دامنه‌های مشابه که برای کمپین ثبت شده‌اند استفاده میکنند، و به‌تدریج دامنهی واقعی پروژه را پس از یک ربودن. مسیر مشابه ساده است: examplecoin-claim.xyz یا examplecoin-airdrop.com، کپی صفحه‌ی پروژه، و یک دکمه‌ی اتصال. انواع این دامنه‌ها در انواع دامنه‌های مشابه که فیشرها ثبت میکنند توضیح داده شده، و الگوی airdrop در چگونه سایت‌های claim جعلی airdrop و دامنه‌های فیشینگ کار میکنند آمده است.
مسیر ربودن از نسخه‌ی مشابه صرف‌نظر میکند. Blockaid پنج سازش رابط در 16 تا 23 فوریه 2026 را به سرویس drainer به نام AngelFerno، که قبلاً Inferno نامیده می‌شد، نسبت داد، با گواهی‌های SSL جدید که همان روز تغییر DNS صادر شدند. The Block گزارش داد حدود یک دوجین سایت DeFi که نزد Name.com ثبت شده بودند در شب 30 اکتبر 2026 تغییرمسیر یافتند و با Step Drainer، یک جعبه‌ابزار malware-as-a-service، پر شدند؛ حدود 138,000 دلار به سه کیف پول EVM ردیابی شد. در هر دو مورد، بازدیدکننده نشانی واقعی را خودش تایپ کرده بود.
drainerها چقدر سرقت میکنند و آیا کاهش می‌یابد؟
ScamSniffer گزارش میدهد زیان drainerها در 2025 کاهش 83% داشته و به $83.85M رسیده، در حالی که کل تصویر کلاهبرداری بزرگ‌تر شده است. کل 2025 کسری از $494M در 2024 است و قربانیان 68% کم شده‌اند. این گزارش 11 مورد $1M یا بیشتر را شمرده، در برابر 30 مورد در 2024. همچنین دریافت که Permit و Permit2 در موارد بزرگ 38% زیان‌ها را تشکیل می‌دادند، و ماه اوج اوت 2025 با $12.17M و 15,230 قربانی بود.
کل کم‌شونده به معنای کاربران امن نیست. Chainalysis در گزارش 13 ژانویه 2026 کلاهبرداری و تقلب رمزارزی را دست‌کم $14 billion دریافت‌شده روی زنجیره در 2025 دانست، با کلاهبرداری‌های جعل هویت که بیش از 1,400% نسبت به 2024 افزایش داشتند و میانگین پرداخت کلاهبرداری از $782 به $2,764 رسیده است. drainerها بخشی از این تصویرند، و متن Chainalysis گزارش میدهد که کلاهبرداری‌هایی با کیت‌های فیشینگ از نظر دلاری بسیار مؤثرتر از کلاهبرداری‌های معمولی بودند. هشدار خود ScamSniffer هم اعمال میشود: رقم آن فقط drainerهای وبسایت فیشینگ را میشمارد.
یک پروژه چه کاری میتواند بکند تا drainerها از نامش استفاده نکنند؟
بدیهی‌ترین نام‌ها را بگیرید، نام واقعی را سخت‌تر کنید و گزارش دادن را سریع کنید. بر پایهی بررسی Wardmint مورخ 12 نوامبر 2026، 40 از 50 پروژه‌ی بزرگ کریپتو هیچ نام ثبت‌شده‌ی -claim .com و 39 از 50 هیچ نام ثبت‌شده‌ی -airdrop .com در RDAP نداشتند، پس کلماتی که یک فریب claim دقیقاً به آن‌ها نیاز دارد برای هرکسی باز بود. نتایج کامل، با 171 از 578 نسخه (29.6%) که آزاد بودند، در صفحه‌ی ممیزی دامنه‌های دفاعی پروژه‌های کریپتو 2026 است.
یک پروژه چهار کار میتواند بکند. نسخه‌های خودش را ثبت کند و به سایت رسمی تغییرمسیر دهد؛ مجموعه‌ی فیشرها (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) $212.41 در سال است. حساب ثبتکننده و DNS را با چک‌لیست امنیت دامنه برای یک پروژه‌ی کریپتو سخت کند. نسخه‌های مشابه موجود را با ابزارهای رایگان در چگونه نسخه‌های مشابه برندم را پیدا کنم بیابد. و هر دامنهی فعال را با پیروی از چگونه یک دامنهی فیشینگ را گزارش کنم گزارش دهد. Wardmint فقط ثبت می‌فروشد، نه پایش یا حذف، و نسخه‌های خود یک پروژه را ثبت میکند، هرگز برند دیگری را.
کاربر پیش از امضا چه کاری میتواند بکند؟
آنچه کیف پول می‌گوید انجام میدهد را بخوانید، و هر درخواستی را که خودتان شروع نکرده‌اید خصمانه بدانید. درخواست اتصال در صفحه‌ای که از یک تبلیغ یا پیام آمده، نقطه‌ای است که باید متوقف شوید. پروژه را از نشانک یا کانال‌های تأییدشده‌اش باز کنید، بررسی کنید نشانی دقیقاً همان است که پروژه اعلام کرده، و درخواست امضا را بخوانید. درخواست تأیید خرج یک توکن، تأیید کل یک مجموعه‌ی NFT، یا امضای Permit برای یک claim، همان الگویی است که در جدول بالا آمد. دارایی‌های بلندمدت را در کیف پولی نگه دارید که برای اتصال به سایت‌های تازه به کار نمی‌برید.
پروژه‌ها می‌توانند با اعلام یک نشانی رسمی واحد پیش از هر رویداد به کاربران کمک کنند. یک قاعده‌ی قابل استناد: یک claim مشروع هرگز به عبارت بازیابی نیاز ندارد، و امضایی که مجوز خرج میدهد claim نیست.
پرسش‌های drainerهای کیف پول
آیا drainer کیف پول بدافزار روی رایانهی من است؟
معمولاً نه. drainerهای این گزارشها بهصورت اسکریپت روی یک وبسایت فیشینگ اجرا میشوند و از طریق کیف پولی که وصل میکنید عمل میکنند. خطر از امضایی است که میدهید، نه از نرمافزاری که روی دستگاهتان نصب شده باشد.
چرا یک drainer به عبارت بازیابی من نیاز ندارد؟
یک تأیید امضاشده یا Permit به مهاجم حق جابهجایی توکنهای شما را بدون هیچ کلیدی میدهد. این اختیار با امضا داده میشود و تا وقتی باطل یا استفاده نشود معتبر میماند.
آیا زیان drainerها واقعاً در 2025 کم شد؟
بله، بر پایهی دادههای ScamSniffer، 83% کاهش یافت به $83.85M در میان 106,106 قربانی، از $494M در 2024. این گزارش فقط drainerهای وبسایت فیشینگ را میشمارد و یک کران پایین است.
آیا ثبت دامنه میتواند drainerها را متوقف کند؟
نامهایی را که یک عامل drainer اول امتحان میکند حذف میکند، مثل نام یک پروژه بهعلاوهی claim یا airdrop. جلوی حمله به کلمات دیگر، زیردامنهها روی سکوهای میزبانی، یا ربودن دامنهی واقعی را نمیگیرد.
پس از یافتن یک سایت drainer، پروژه چه کاری باید بکند؟
دامنه را نزد ثبتکننده و میزبانش گزارش کنید، آن را به فهرستهای مسدودسازی اضافه کنید، کاربران را در هر کانال تأییدشده هشدار دهید و اسکرینشاتها را برای هر اختلاف بعدی نگه دارید. ترتیب گزارش در راهنمای Wardmint دربارهی گزارش یک دامنهی فیشینگ آمده است.
خلاصه
- یک wallet drainer کیت فیشینگی است که امضا می‌گیرد و دارایی‌ها را جابه‌جا میکند، بدون اینکه به عبارت بازیابی نیاز داشته باشد.
- ScamSniffer: $83.85M و 106,106 قربانی در 2025، در برابر $494M و 332,000 در 2024.
- Permit و Permit2 در موارد $1M یا بیشتر، 38% زیان‌ها را تشکیل دادند؛ بزرگ‌ترین آن‌ها $6.5M در سپتامبر 2025 بود.
- drainerها روی نام‌های مشابه و روی دامنه‌های واقعی ربوده‌شده کار میکنند (گزارش‌های فوریه و اکتبر 2026).
- Chainalysis (13 ژانویه 2026): دست‌کم $14 billion کلاهبرداری رمزارزی روی زنجیره در 2025 دریافت شد.
- از 50 نام -claim .com و 39 از 50 نام -airdrop .com پروژه‌های برتر 50، در 12 نوامبر 2026 آزاد بودند.
- Wardmint ثبت می‌فروشد، نه پایش یا حذف؛ نُه پسوند فیشرها $212.41 در سال هزینه دارد.
منابع (4)
- Scam Sniffer: زیان‌های فیشینگ کریپتو در 2025 به 83% کاهش یافت و به 84 میلیون دلار رسید — ScamSniffer, 3 January 2026 (خوانده‌شده 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (خوانده‌شده 2026-11-12)
- ربودن رابط کاربری و سطح حمله Web2 که پروتکل‌های Web3 را تهدید میکند — Blockaid, 19 March 2026 (خوانده‌شده 2026-11-12)
- هکرها دوازده وبسایت DeFi را که نزد Name.com ثبت شده بودند می‌ربایند — The Block, 31 October 2026 (خوانده‌شده 2026-11-12)