تصريح ERC-20 الخبيث (Permit): الاحتيال الصامت الذي يستنزف محفظتك دون أي معاملة
في عام 2026، سُرق أكثر من 500 مليون دولار من مستخدمي العملات المشفرة عبر أسلوب واحد: تصريح ERC-20 الخبيث (malicious permit). هذا الاحتيال خطير بشكل خاص لأنه لا يترك أي أثر ظاهر على السلسلة عند التوقيع، فهو مجرد توقيع بسيط يخوّل المهاجم استنزاف محفظتك متى شاء.
يشرح هذا الدليل ما هو التصريح الخبيث، ولماذا أصبح عملية الاحتيال المفضلة لدى مستنزفي المحافظ (drainers) في 2026، والأهم من ذلك كيف تحمي نفسك.
ما هو تصريح ERC-20 (Permit)؟
التصريح (permit) هو امتداد لمعيار ERC-20 تم تقديمه في عام 2020 (EIP-2612). وهو يتيح للمستخدم منح تفويض لعقد ذكي لإنفاق رموزه دون الحاجة إلى إرسال معاملة على السلسلة.
بعبارة بسيطة: بدلاً من معاملة "Approve" التقليدية التي تكلّف رسوم غاز، تقوم فقط بتوقيع رسالة باستخدام محفظتك. ثم يقوم العقد نفسه بإرسال هذه الرسالة إلى السلسلة.
الفوائد المشروعة:
- ✅ توفير رسوم الغاز (معاملة واحدة بدلاً من اثنتين)
- ✅ تجربة مستخدم أفضل (يوقّع المستخدم مرة واحدة ويتم كل شيء)
- ✅ تستخدمه Uniswap و1inch ومجمّعات DEX
المشكلة: هذا التوقيع غير مرئي لمعظم المحافظ. تنقر على "Sign" معتقدًا أنك تتصل بموقع ما، وفي الواقع تكون قد خوّلت المهاجم لتوه استنزاف 100 000 USDC.
كيف تعمل عملية الاحتيال في 5 خطوات
الخطوة 1 — الطُّعم
تنقر على إعلان في Google أو رابط في Discord يقودك إلى موقع Uniswap مزيف أو توزيع airdrop مزيف أو موقع NFT مزيف. يبدو الموقع شرعيًا بنسبة 100% — شعارات رسمية، تصميم احترافي، وعنوان URL مضلل (uniswaap.org بدلاً من uniswap.org).
الخطوة 2 — طلب الاتصال
يطلب منك الموقع "ربط محفظتك". تنقر، فتفتح MetaMask، ولا ترى سوى "توقيع رسالة". لا شيء مريب على السطح.
الخطوة 3 — الرسالة المخفية
ما لا تراه: الرسالة تحتوي على معاملات تصريح ERC-20:
- owner: عنوانك
- spender: عنوان المهاجم
- value: الحد الأقصى للمبلغ (عادةً 115 792 089 237 316 195... = لا نهائي)
- deadline: 30 يومًا من الآن
- nonce: رقم nonce الحالي الخاص بك
توقّع، ولا يحدث شيء على السلسلة فورًا. فتظن أنه لم يحدث شيء.
الخطوة 4 — الاستغلال
بعد ساعات أو أيام، يرسل المهاجم توقيعك إلى السلسلة عبر معاملة permit() + transferFrom(). يقبل العقد الذكي ذلك لأن التوقيع صحيح رياضيًا.
الخطوة 5 — السرقة
تُنقل رموز USDC أو USDT أو WETH أو أي رمز ERC-20 آخر لديك إلى عنوان المهاجم. وتكتشف الخسارة في صباح اليوم التالي.
لا يوجد أي سبيل للتعويض. المعاملة لا رجعة فيها، ولا توجد أي منصة تداول مركزية معنية.
Permit2: النسخة الأشد خطورة
Permit2 هو امتداد اقترحته Uniswap في عام 2022 لتوحيد التصاريح عبر جميع رموز ERC-20، حتى تلك التي لا تطبّق EIP-2612 بشكل أصلي.
إنه عبقري من الناحية التقنية لتجربة مستخدم DeFi، لكنه كارثي على الأمان، لأن:
- توقيع Permit2 واحد يمكنه تخويل إنفاق عدة رموز دفعة واحدة
- يظل التوقيع صالحًا لمدة أيام أو أسابيع
- تعرض معظم المحافظ Permit2 كـ"رسالة" عادية دون تفاصيل
النتيجة: يستخدم المستنزفون الحديثون Permit2 بشكل أساسي لأنه يجعل السرقة أكثر كفاءة وأشد تكتمًا.
كيف تكتشف التصريح الخبيث
العلامة الحمراء رقم 1: صيغة التوقيع
يظهر توقيع Permit أو Permit2 دائمًا في محفظتك على شكل رسالة مهيكلة بمعيار EIP-712 بهذا الشكل:
Domain: PermitToken or Permit2
Types:
Permit: [owner, spender, value, nonce, deadline]
Message:
owner: 0xYOUR_ADDRESS
spender: 0xUNKNOWN ← THIS is suspicious
value: 115792089237316195423570985008687907853269984665640564039457584007913129639935 ← That's infinity!
deadline: 1735689600
العلامة الحمراء رقم 2: السياق
- وصلت للتو إلى موقع لم تستخدمه من قبل → 🔴
- يعرض الموقع airdrop مجانيًا أو عائدًا غير طبيعي → 🔴
- يطلب منك الموقع التوقيع قبل أن يعرض أي محتوى → 🔴
- عنوان URL يحتوي على خطأ إملائي دقيق (uniswaap بدلاً من uniswap) → 🔴
العلامة الحمراء رقم 3: spender مجهول
يجب أن يكون الحقل spender (العقد الذي سينفق رموزك) عقدًا **معروفًا وموثّقًا**. إذا كان عنوانًا عشوائيًا لا يظهر على Etherscan كعقد موثّق، **فهو احتيال.**
كيف تحميك Lumina Wallet
تقوم Lumina Wallet بفك ترميز كل توقيع Permit وPermit2 قبل أن تطلب منك التوقيع. وإليك ما يحدث عمليًا:
- فك ترميز التوقيع: تحلل Lumina رسالة EIP-712 وتحدد ما إذا كانت تصريحًا
- التحقق من spender: هل العقد الوجهة DEX/بروتوكول معروف (Uniswap، 1inch، Aave...) أم عنوان مجهول؟
- تنبيه المبلغ: إذا كان المبلغ "لا نهائيًا" (2^256 - 1)، يظهر تنبيه حرج
- ترجمة بلغة مفهومة: بدلاً من كتلة سداسية عشرية، ترى: "أنت تخوّل [عقدًا مجهولًا] بإنفاق [كل USDC لديك]، دون حد، خلال الأيام الثلاثين القادمة"
النتيجة: ترى بالضبط ما توقّع عليه قبل أن توقّع. ويصبح من المستحيل أن توافق على تصريح خبيث عن طريق الخطأ.
ماذا تفعل إذا كنت قد وقّعت بالفعل على تصريح خبيث
الخطوة 1 — لا تفزع، وتصرّف بسرعة
قد لا يكون التصريح قد استُغل بعد. لديك مهلة قبل أن يستخدم المهاجم توقيعك.
الخطوة 2 — أفرغ الرموز المعرّضة للخطر
انقل فورًا جميع رموز ERC-20 لديك إلى محفظة جديدة نظيفة. استخدم محفظة جديدة بعبارة استرداد (seed phrase) جديدة. لا تعد استخدام المحفظة المخترقة.
الخطوة 3 — إلغاء الموافقات الحالية
انتقل إلى revoke.cash وألغِ جميع الموافقات. ملاحظة مهمة: لا يمكن لـ revoke.cash إلغاء توقيع Permit خارج السلسلة لم يُستغل بعد. كل ما يمكنك فعله هو نقل الرموز.
الخطوة 4 — الإبلاغ عن الموقع الاحتيالي
- ScamAdviser
- Google Safe Browsing
- Chainabuse.com
الخطوة 5 — تخلَّ عن المحفظة المخترقة
لا تعد استخدام محفظة وقّعت على تصريح خبيث، حتى لو لم تخسر شيئًا. فقد يظل nonce التوقيع قابلًا للاستغلال بحسب السياق.
إجماع الخبراء
- Vitalik Buterin (أحد مؤسسي Ethereum) حذّر علنًا من مخاطر Permit2 على X في عام 2024.
- حددت Chainalysis "توقيع التصاريح الخبيثة" باعتباره الأسلوب الأول لسرقة العملات المشفرة في 2025، متجاوزًا موافقات ERC-20 التقليدية.
- وثّقت PeckShield أكثر من 300 هجوم بتصاريح خبيثة في عام 2025 وحده.
الخلاصة: التوقيع غير المرئي هو الخطر الجديد
انتهى عصر المعاملات المرئية على السلسلة. في 2026، أخطر عمليات الاحتيال لا تترك أي أثر ظاهر عند الموافقة. توقيع خارج السلسلة، صامت، ومؤجَّل التنفيذ، وتجد محفظتك فارغة في اليوم التالي.
الدفاع الفعّال الوحيد: محفظة تفك ترميز كل توقيع بلغة مفهومة قبل أن توافق عليه. وهذا بالضبط ما تفعله Lumina Wallet، مع Permit وPermit2 وجميع توقيعات EIP-712 الخبيثة.
احمِ نفسك الآن:
هل أنت مستعد لتأمين عملاتك المشفرة؟
قم بتنزيل محفظة لومينا وتحكم بالكامل في أصولك الرقمية بأمان.