تصور کنید یک روز کیف پول ارز دیجیتال‌تان را باز می‌کنید و متوجه می‌شوید که همه دارایی‌تان ناپدید شده است. نه ویروسی دانلود کرده‌اید و نه روی هیچ لینک مشکوکی کلیک کرده‌اید. با این حال، موجودی کیف پولتان صفر شده است. این احتمال وجود دارد که قربانی یک حمله بدون کلیک (Zero-Click) شده باشید.

در ادامه قرار است ببینیم حمله بدون کلیک دقیقاً چیست و چگونه بدون هیچ اقدامی از سمت کاربر اجرا می‌شود. همچنین بررسی می‌کنیم که این نوع حملات چطور باعث دسترسی به کیف پول ارز دیجیتال می‌شوند. در نهایت، روش‌های مؤثر برای جلوگیری از آن‌ها را مرور خواهیم کرد.

حمله بدون کلیک (Zero-Click) چیست؟

حمله بدون کلیک (Zero-Click)، نوعی سرقت از کیف پول ارز دیجیتال است که مهاجمان بدون نیاز به هیچ‌گونه کلیک یا تعاملی از سوی کاربر، به کیف پول ارز دیجیتال او نفوذ کنند. این حملات از طریق سوء استفاده از نقاط ضعف و آسیب‌پذیری‌های موجود در نرم‌افزار کیف پول یا سیستم‌عامل دستگاه کاربر صورت می‌گیرند.

هکرها با شناسایی و بهره‌برداری از این نقاط ضعف، کنترل کیف پول را در دست گرفته و اقدام به سرقت دارایی‌های دیجیتال می‌کنند. به‌روزرسانی مداوم نرم‌افزارها و انتخاب کیف پول‌های امن، از جمله اقدامات ضروری برای مقابله با این تهدیدات است.

شاید غیرقابل‌باور به نظر برسد، اما این نوع حملات واقعی هستند و کاربران باید برای حفظ امنیت دارایی‌های خود، آن‌ها را جدی بگیرند.

حملات بدون کلیک چگونه عمل می‌کنند؟

حملات بدون کلیک، جدیدترین نوع از انواع بی‌شمار حملات به کیف پول‌های ارز دیجیتال هستند. در سناریوهای معمول، هکرها زمانی به کیف پول شما دسترسی پیدا می‌کنند که به‌صورت ناخواسته نرم‌افزارهای مخرب دانلود کرده‌ باشید یا روی لینکی مشکوک کلیک کرده باشید؛ که این نوع حملات به عنوان فیشینگ ارز دیجیتال (Phishing) شناخته می‌شوند.

حملات بدون کلیک بدون نیاز به هیچ اقدامی از سمت کاربر، کد مخرب را اجرا می‌کنند. همین نبود تعامل انسانی است که آن‌ها را به‌شدت خطرناک کرده است. برخلاف حملات معمول که بر اشتباه کاربر تکیه دارند، این نوع حملات از آسیب‌پذیری‌های موجود در نرم‌افزارهای دستگاه شما سوءاستفاده می‌کنند، چه لپ‌تاپ باشد، چه موبایل.

تصور کنید یک دزد، نه به‌خاطر اینکه در را قفل نکرده‌اید، بلکه به‌دلیل نقصی در طراحی یا ساخت در، وارد خانه شما شود. حملات بدون کلیک نیز دقیقاً همین‌طور عمل می‌کنند، با این تفاوت که در یک محیط مجازی و غالباً از طریق موبایل کاربران رخ می‌دهند.

هکرها چگونه با حمله بدون کلیک به کیف پول نفوذ می‌کنند؟

بدافزارهای بدون کلیک از طریق ضعف‌های برنامه‌نویسی شما را هدف قرار می‌دهند. در ادامه، برخی از رایج‌ترین روش‌هایی را که در آن حملات بدون کلیک می‌توانند به شما آسیب بزنند، بررسی می‌کنیم.

ضعف‌های نرم‌افزاری

اگر گوشی اندرویدی شما به‌روزرسانی‌ای دریافت کند که در آن نقص امنیتی خاصی وجود داشته باشد، یک هکر می‌تواند تنها با ارسال یک پیامک خاص از آن آسیب‌پذیری سوء استفاده کند. به‌محض دریافت پیام، آن نقص فعال می‌شود و کنترل کامل دستگاه را به دست هکر می‌سپارد. پس از آن، او می‌تواند به کیف پول شما دسترسی پیدا کند.

به‌طور مشابه، هکرها می‌توانند از طریق اپ‌هایی مثل iMessage یا  Airdrop، دستگاه‌های مبتنی بر iOS را هدف قرار دهند. در آوریل ۲۰۲۴، تراست ولت (Trust Wallet) اعلام کرد که «اطلاعات موثق» درباره یک حمله بدون کلیک به دستگاه‌های iOS دریافت کرده است. این تیم به کاربران توصیه کرد که تا زمان ارائه آپدیت از سوی اپل، برای محافظت از کیف پول خود، iMessage  را غیرفعال کنند.

تراست ولت از حمله بدون کلیک در امان نبوده است. در سال ۲۰۲۴ صفحه رسمی تراست ولت در توییتی این حمله را به‌عنوان یک اکسپلویت Zero-day طبقه‌بندی کرد، اما تأکید داشت که مهاجم می‌تواند بدون هیچ‌گونه دخالتی از سمت کاربر، کنترل دستگاه را در اختیار بگیرد؛ بنابراین این مورد یک مثال واضح از حمله بدون کلیک محسوب می‌شود.

ضعف‌های شبکه‌ای

حملات هدفمند می‌توانند از طریق نزدیکی فیزیکی و اتصال به شبکه، به نرم‌افزار کیف پول شما نفوذ کنند؛ به‌خصوص زمانی که به یک شبکه وای‌فای عمومی مثل کافه‌ها متصل باشید. همین موضوع درباره اتصالات بلوتوث باز نیز صدق می‌کند.

ماجرا این‌گونه است: شبکه‌های باز، داده‌های شما را بدون رمزنگاری بین دستگاه‌ها منتقل می‌کنند. هکرها می‌توانند این بسته‌های اطلاعاتی را رصد کرده و بدافزار خود را از همان مسیر وارد کنند؛ به‌ویژه اگر دستگاه قربانی دارای یک آسیب‌پذیری نرم‌افزاری خاص باشد.

هر نوع ارتباطی با دستگاه شما (چه وای‌فای باشد، چه بلوتوث یا هر اتصال دیگری) می‌تواند یک نقطه ورود برای حمله بدون کلیک باشد. همین ویژگی باعث می‌شود این حملات تا این اندازه نگران‌کننده باشند؛ چون ممکن است از جایی که حتی تصورش را هم نمی‌کنید، رخ دهند. کافی‌ست مهاجم راهی برای بهره‌برداری از ضعف دستگاه‌تان پیدا کند تا همه‌چیز به خطر بیفتد.

ضعف‌های اپلیکیشن‌های غیرمتمرکز (DApp)

بیشتر کیف پول‌های ارز دیجیتال با اپلیکیشن‌های Web3 یا برنامه‌های غیرمتمرکز (dApps) در تعامل هستند. نکته قابل توجه این است که ایجاد یک برنامه غیرمتمرکز کار چندان سختی نیست، اما سطح امنیت این برنامه‌ها می‌تواند بسیار متفاوت باشد.

حتی اگر از یک سرویس وب ۳.۰ معتبر استفاده کنید، باز هم ممکن است کدهای آن در برابر حملات بدون کلیک آسیب‌پذیر باشند. مهاجمان می‌توانند از چنین ضعف‌هایی، مثلاً خطا در کدنویسی قرارداد هوشمند یک برنامه ، برای دسترسی به کیف پول شما استفاده کنند.

هرچند کار با برنامه‌های غیرمتمرکز جدید می‌تواند تجربه‌ای سرگرم‌کننده باشد، بهتر است از یک کیف پول با موجودی محدود استفاده کنید. با این روش، در صورت بروز حمله احتمالی، میزان خسارت به حداقل می‌رسد.

ممکن است چنین حملاتی غیرمنصفانه به‌نظر برسند، اما راهکارهایی وجود دارد که با استفاده از آن‌ها می‌توانید از خودتان محافظت کنید.

چرا حملات بدون کلیک خطرناک هستند؟

حملات بدون کلیک به دلایل متعددی به یکی از تهدیدهای جدی در دنیای دیجیتال تبدیل شده‌اند:

• پنهان‌کاری: این حملات بدون نیاز به هیچ‌گونه تعامل کاربر انجام می‌شوند، در نتیجه تشخیص آن‌ها بسیار دشوار است.
• نرخ موفقیت بالا: مهاجمان با استفاده از آسیب‌پذیری‌های ناشناخته، به‌راحتی می‌توانند از سد بسیاری از مکانیزم‌های امنیتی عبور کنند.
• هدف‌گیری دقیق: این نوع حملات اغلب برای هدف قرار دادن افراد یا سازمان‌های خاص طراحی می‌شوند و در نتیجه می‌توانند اثرات مخربی برجای بگذارند.
• نبود نشانه‌های سنتی: برخلاف حملات رایج که با لینک مشکوک یا دانلود ناخواسته همراه‌اند، در این نوع حمله هیچ نشانه ظاهری وجود ندارد که تشخیص آن را سخت‌تر می‌کند.

همه این ویژگی‌ها باعث شده‌اند که مهاجمان حرفه‌ای و پیشرفته، حملات بدون کلیک را برای حملات مخفیانه و هدفمند ترجیح دهند.

روش‌های جلوگیری از حملات بدون کلیک

حمله بدون کلیک ممکن است ترسناک به‌نظر برسد، اما راهکارهایی برای جلوگیری از نفوذ به کیف پول‌های ارز دیجیتال وجود دارد. برای محافظت از خود در برابر حملات  Zero-click می‌توانید اقدامات امنیتی زیر را در نظر بگیرید:

غیرفعال‌سازی دانلود خودکار

در تمام اپلیکیشن‌های پیام‌رسانی که استفاده می‌کنید، دریافت خودکار پیام‌ها و فایل‌های چندرسانه‌ای را غیرفعال کنید.

کاهش استفاده از بلوتوث

زمانی که به بلوتوث نیازی ندارید، آن را خاموش نگه دارید. این کار باعث محدود شدن مسیرهای دسترسی برخی از حملات بدون کلیک می‌شود.

بررسی سابقه اتصال کیف پول

به‌صورت منظم تاریخچه اتصال‌های کیف پول خود را بررسی کنید. اگر تراکنشی با منبع ناشناس مشاهده کردید، دارایی‌های خود را به یک کیف پول جدید منتقل کنید.

استفاده از کیف پول سخت‌افزاری

کیف پول‌های سخت‌افزاری دستگاه‌هایی شبیه به USB هستند که ارزهای دیجیتال را به‌صورت آفلاین ذخیره می‌کنند. چون این کیف پول‌ها به اینترنت متصل نیستند، در برابر تهدیداتی مانند حملات بدون کلیک امن‌ترند. این همیشه یکی از توصیه‌های کلیدی برای امنیت کیف پول است.

استفاده از کیف پول چندامضایی

کیف پول‌های چندامضایی (multisignature) برای انجام یک تراکنش به تأیید چند نفر نیاز دارند. این لایه‌ی امنیتی اضافه می‌تواند احتمال تراکنش‌های غیرمجاز و حملات زیرو کلیک را به‌طور چشمگیری کاهش دهد.

به‌روزرسانی اپلیکیشن‌ها و نرم‌افزارها

همواره اپ‌ها و سیستم‌عامل دستگاه خود را به‌روز نگه دارید. این به‌روزرسانی‌ها معمولاً شامل اصلاح آسیب‌پذیری‌ها و افزودن قابلیت‌های حفاظتی جدید هستند که می‌توانند جلوی حملات Zero-click را بگیرند.

نصب آنتی‌ویروس

نرم‌افزارهای آنتی‌ویروس به‌صورت مداوم دستگاه شما را اسکن کرده و هرگونه فعالیت مشکوک را به شما گزارش می‌دهند.

پشتیبان‌گیری از اطلاعات

بیشتر دستگاه‌ها به‌طور خودکار از اطلاعات شما نسخه پشتیبان تهیه می‌کنند. با فعال‌سازی این قابلیت، اگر دستگاهتان آلوده شد، می‌توانید به نسخه‌ای قبلی و سالم برگردید.

سخت‌گیری در مجوزهای اپلیکیشن‌ها

دسترسی اپلیکیشن‌ها را محدود کنید؛ به‌ویژه دسترسی‌هایی که به تراکنش‌های کیف پول مربوط می‌شوند را به حالت دستی تنظیم کنید تا هیچ اقدامی بدون تأیید شما انجام نشود.

فعال‌سازی تایید هویت دوعاملی (2FA)

برای ورود به حساب‌های مهم خود از احراز هویت دوعاملی استفاده کنید. در این صورت اگر کسی بخواهد به کیف پول شما دسترسی پیدا کند، بلافاصله متوجه خواهید شد.

استفاده از VPN

شبکه خصوصی مجازی (VPN) داده‌های اینترنتی شما را رمزنگاری کرده و این کار را برای هکرها جهت رهگیری اطلاعاتتان دشوارتر می‌کند.

هوشیار باشید

شاید مهم‌ترین نکته همین باشد؛ همیشه مراقب باشید. تهدیدات جدید را در شبکه‌های اجتماعی دنبال کنید، منابع معتبر امنیت سایبری را بررسی کنید و اقدامات پیشگیرانه لازم را انجام دهید. در حوزه امنیت هرچقدر که مراقب باشیم، باز هم کم است.

اگر قربانی حمله بدون کلیک شدید، چکار باید بکنید؟

اگر مشکوک هستید که قربانی یک حمله بدون کلیک شده‌اید، فوراً دارایی‌های دیجیتال خود را منتقل کنید.

در صورت مشاهده نشانه‌هایی از این نوع حمله، برای محافظت از دارایی‌های ارز دیجیتال خود، مراحل زیر را دنبال کنید:

قطع اتصال دستگاه از اینترنت

در اولین قدم، بلافاصله اتصال دستگاه مورد نظر را از اینترنت (وای‌فای یا دیتا) قطع کنید تا مانع ادامه فعالیت بدافزار شوید.

انتقال دارایی‌ها

وضعیت کیف پول Web3 خود را بررسی کرده و از عبارت بازیابی برای بازیابی کیف پول روی یک دستگاه سالم استفاده کنید. سپس تمام دارایی‌ها را به این دستگاه جدید منتقل کنید.

بیشتر بخوانید: عبارت بازیابی چیست

اسکن دستگاه با آنتی‌ویروس

بعد از انتقال امن دارایی‌ها، روی دستگاه آلوده نرم‌افزار آنتی ویروس نصب کرده و آن را کامل اسکن کنید تا هرگونه بدافزار شناسایی و حذف شود.

با اقدام سریع و درست، می‌توانید از خسارات بیشتر جلوگیری کرده و امنیت کیف پول خود را تا حد زیادی بازگردانید.

چگونه یک حمله بدون کلیک را تشخیص دهیم؟

حملات بدون کلیک ممکن است ناگهانی و بی‌هشدار رخ دهند، اما نشانه‌هایی از نفوذ آن‌ها وجود دارد. اگر به حمله‌ای از نوع Zero-click مشکوک هستید اما مطمئن نیستید، به این علائم دقت کنید:

تخلیه سریع باتری

اگر بدافزار روی دستگاه شما نصب شده باشد، ممکن است باتری‌تان سریع‌تر از حد معمول خالی شود. برای بررسی، به تنظیمات باتری در دستگاه خود مراجعه کنید.

کاهش عملکرد دستگاه

در کنار مصرف سریع باتری، ممکن است متوجه شوید که دستگاهتان کندتر از حالت معمول کار می‌کند.

نصب اپلیکیشن‌های ناشناس

گاهی اوقات، حملات Zero-click ممکن است بدون اجازه شما برنامه‌هایی را روی دستگاه نصب کنند. اگر برنامه‌ای را مشاهده کردید که خودتان نصب نکرده‌اید، مراقب باشید.

پردازش‌های پس‌زمینه ناشناس

اگر دستگاهتان به‌طور ناگهانی شروع به انجام پردازش‌های جدید در پس‌زمینه کرده، آن‌ها را بررسی کنید. ممکن است این پردازش‌ها به دلیل یک حمله بدون کلیک باشند.

افزایش مصرف اینترنت

می‌توانید مصرف دیتای دستگاه را بررسی کنید. اگر افزایش ناگهانی در میزان مصرف مشاهده کردید، وقت آن است که یک اسکن ویروس انجام دهید.

پیامک‌ها یا ایمیل‌های مشکوک

اگر پیامک یا ایمیلی با فرستنده ناشناس دریافت کردید، بلافاصله آن را مسدود کنید.

این نوع حملات ممکن است بلافاصله فعال نشوند و منتظر یک رویداد خاص برای اجرا باقی مراحل بمانند. پس فرصت تشخیص و جلوگیری از این نوع حملات وجود دارد؛ البته در صورت هشیاری کاربر.

آینده حملات بدون کلیک

حملات بدون کلیک تهدیدی جدید نیستند، اما همان‌طور که فرایندهای امنیتی پیشرفت می‌کنند، این نوع حملات نیز پیچیده‌تر خواهند شد. با پیشرفت مداوم فناوری ارز دیجیتال، تهدیدات امنیتی نیز به همان میزان رشد خواهند کرد.

کیف‌پول‌های دیجیتال بدون هیچ مرجع مرکزی عمل می‌کنند؛ بنابراین، مسئولیت کامل امنیت کیف‌پول بر عهده کاربر است. این استقلال، کیف‌پول‌های دیجیتال را به هدفی وسوسه‌انگیز برای هکرها تبدیل می‌کند و ورود به این فضا را با ریسک همراه می‌سازد.

علاوه بر این، با پیچیده‌تر شدن هوش مصنوعی (AI)، افراد مخرب می‌توانند از آن برای توسعه جاسوس‌افزارهای Zero-click پیشرفته‌تر استفاده کنند. تهدیدات آینده ممکن است شامل کدهایی باشند که پس از آلوده‌سازی دستگاه، خودکار به‌روزرسانی می‌شوند و در برابر اقدامات دفاعی شما مقاومت می‌کنند.

محافظت از خود در برابر این تهدیدات، بیش از هر زمان دیگری اهمیت دارد. برای این کار، منابع معتبر در حوزه امنیت سایبری را دنبال کنید، وبلاگ‌های تخصصی را بخوانید و همواره از بهترین روش‌های امنیتی استفاده کنید.

بهترین دفاع در برابر حملات زیرو کلیک یا هر نوع حمله دیگری، این است که شما نیز همراه با تهدیدات، به‌روز شوید.

نمونه‌هایی از حملات بدون کلیک

حملات بدون کلیک در چندین حادثه مهم و برجسته به کار گرفته شده‌اند که در ادامه دو مورد از آن‌ها را بررسی می‌کنیم.

حمله FORCEDENTRY در سال ۲۰۲۱

در سال ۲۰۲۱، یک گوشی آیفون متعلق به یک فعال حقوق بشر توسط بدافزار پیچیده‌ای که به دولت فروخته شده بود، آسیب‌دید. گروه تحقیقاتی امنیت وب، Citizen Lab، که در دانشگاه تورنتو مستقر است، گوشی آیفون ۱۲ پرو این فرد را تحلیل کرد و مشخص شد که از طریق یک اکسپلویت بدون کلیک به آن حمله شده است.

این حمله بدافزار Pegasus را که توسط شرکت NSO Group توسعه یافته بود، نصب کرد و از یک آسیب‌پذیری ناشناخته در سیستم iMessage اپل استفاده کرد. از آنجا که این حمله نیاز به هیچ‌گونه تعامل کاربر نداشت، قربانی هیچ‌گاه متوجه نفوذ دستگاه خود نشد.

این نقض امنیتی توجه زیادی را به خود جلب کرد زیرا توانست با موفقیت از فریم‌ورک امنیتی BlastDoor  اپل عبور کند، ویژگی‌ای که برای حفاظت در برابر اجرای فایل‌های مخرب در iMessage  معرفی شده بود.

این حمله که بعدها به نام FORCEDENTRY شناخته شد، توانست دو نسخه iOS در آن زمان، ۱۴.۴ و ۱۴.۶، که هر دو در سال ۲۰۲۱ منتشر شده بودند، را تحت تأثیر قرار دهد. اپل در پاسخ، پروتکل‌های امنیتی خود را با معرفی iOS ۱۵ تقویت و حفاظت‌های بیشتری در برابر چنین تهدیدات سایبری پیشرفته ایجاد کرد.

هک Paragon در واتساپ ۲۰۲۵

اوایل سال ۲۰۲۵، واتساپ فاش کرد که حدود ۹۰ کاربر، از جمله روزنامه‌نگاران و اعضای جامعه مدنی، هدف جاسوس‌افزار Paragon Solutions قرار گرفته‌اند. این حمله از یک اکسپلویت بدون کلیک استفاده کرد که اجازه می‌داد جاسوس‌افزار بدون هیچ‌گونه تعامل کاربر به دستگاه‌ها نفوذ کند.

کد مخرب از طریق واتساپ ارسال شده و از آسیب‌پذیری‌های موجود در نحوه‌ی پردازش برخی فایل‌ها توسط این اپلیکیشن استفاده کرده است. در نتیجه، پس از نصب، جاسوس‌افزار قادر بود به پیام‌ها، تماس‌ها و سایر داده‌های حساس دسترسی پیدا کند. واتساپ پس از این حمله اقداماتی را برای اطلاع‌رسانی به کاربران آسیب‌دیده و تقویت پروتکل‌های امنیتی خود انجام داد.

شرکت Paragon که فقط به نهادهای دولتی فروش دارد، به دلیل جاسوس‌افزار Graphite خود شناخته می‌شود؛ ابزاری نظارتی قدرتمند که دسترسی کامل به دستگاه‌های هدف را ممکن می‌سازد. این شرکت اغلب با NSO Group مقایسه می‌شود، تولیدکننده جاسوس‌افزار پگاسوس.

سوالات متداول

جمع‌بندی

حملات بدون کلیک به‌عنوان یکی از پیشرفته‌ترین روش‌های نفوذ، بدون نیاز به تعامل کاربر انجام می‌شوند و از ضعف‌های نرم‌افزاری، شبکه‌ای یا حتی اپلیکیشن‌های غیرمتمرکز بهره می‌برند. این حملات می‌توانند بدون هیچ هشدار قبلی، کیف‌پول‌های ارز دیجیتال را هدف قرار دهند و دارایی‌های کاربران را در معرض خطر قرار دهند. نکته نگران‌کننده این است که حتی دستگاه‌های به‌روزسانی شده نیز در برابر این تهدیدات کاملاً مصون نیستند.

برای مقابله با این حملات، رعایت اصول امنیتی از جمله استفاده از کیف‌پول سخت‌افزاری، غیرفعال‌سازی ویژگی‌های خودکار پیام‌رسان‌ها، بررسی مداوم فعالیت‌های مشکوک و محدود کردن مجوز اپ‌ها ضروری است. همچنین دنبال‌کردن منابع معتبر امنیت سایبری و انجام به‌روزرسانی‌های منظم می‌تواند نقش مهمی در کاهش ریسک داشته باشد. در نهایت، آگاهی و هوشیاری، مهم‌ترین ابزار دفاعی در برابر تهدیداتی است که هر روز پیچیده‌تر می‌شوند.