المصادقة الثنائية في منصات تداول العملات الرقمية: لماذا تعد الرسائل النصية الخيار الأضعف

معظم الناس يحمون حساباتهم في منصات تداول العملات الرقمية بالطريقة التي تعرضها عليهم المنصة عند التسجيل، وهي عادةً رمز من ستة أرقام يُرسل عبر رسالة نصية. هذا أفضل من عدم وجود حماية، لكنه أضعف أنواع المصادقة الثنائية المستخدمة. السبب الحقيقي لذلك ليس هو السبب الذي تذكره معظم الأدلة.

هجمات تبديل بطاقة SIM، حيث يقوم المهاجم بنقل رقم هاتفك إلى شريحة SIM خاصة به، تراجعت بشكل كبير خلال السنوات الثلاث الماضية. سجل مركز شكاوى جرائم الإنترنت الأمريكي IC3 حوالي 2026 بلاغاً في 2022 بخسائر بلغت 72.7 مليون دولار، و1075 بلاغاً في 2023 بخسائر 48.8 مليون دولار، و982 بلاغاً في 2024 بخسائر 26 مليون دولار، و971 بلاغاً فقط في 2025 بخسائر 17.4 مليون دولار. المشكلة الحقيقية تكمن في مكان آخر. ضد مهاجم يخدعك لتدخل صفحة تسجيل دخول مزيفة في الوقت الفعلي، لا رمز الرسائل النصية ولا تطبيق المصادقة سينفعك، فكلاهما يسلّم للمهاجم الرمز الذي يحتاجه في تلك اللحظة بالضبط.

المصادقة الثنائية: النقاط الرئيسية

لماذا رمز الرسائل النصية هو أضعف أنواع المصادقة الثنائية

رمز الرسائل النصية يخرج عن سيطرتك في اللحظة التي يدخل فيها شبكة الهاتف المحمول. إنه مرتبط برقم هاتف، ورقم الهاتف هو سجل إداري لدى مشغل الاتصالات وليس سراً مشفراً. هذا هو بالضبط ما تستغله هجمات تبديل بطاقة SIM. فالمهاجم يقنع المشغل بنقل الرقم إلى شريحة جديدة، عادةً باستخدام بيانات شخصية مسروقة أو بمساعدة موظف مرتشي، وعندها تصل كل الرموز إليه.

الإرشادات الأمريكية NIST SP 800-63B-4 الصادرة في يوليو 2025 تحتفظ بتصنيف كان قائماً في النسخة السابقة من 2017: تسليم رمز لمرة واحدة عبر شبكة الهاتف يُعتبر مقيداً، وفي وقت النشر كانت الطريقة الوحيدة في هذه الفئة. التصنيف ينطبق على القناة نفسها وليس على الرسائل النصية وحدها، لذا المكالمات الصوتية تشملها نفس القاعدة. أي جهة لا تزال تستخدم هذه الطريقة يجب أن توثق تقييم مخاطر وفق الإرشادات وتقدم طريقة واحدة على الأقل غير مقيدة، مع مراقبة مؤشرات مثل تغيير الشريحة أو نقل الرقم.

بالنسبة لك كمستخدم، الخلاصة بسيطة: إذا كانت منصة التداول تقدم شيئاً أفضل، فرمز الرسائل النصية يجب أن يكون الخيار الاحتياطي وليس الأول.

ماذا يقدم تطبيق المصادقة وما لا يقدمه

تطبيق TOTP مثل Aegis أو Ente Auth أو المصادقة المدمجة في مدير كلمات المرور، يولّد الرمز على جهازك نفسه من سر مشترك ووقت حالي. الرمز لا يمر عبر قناة خارجية أبداً، ولا يمكن اعتراضه أثناء الإرسال، وهجمات تبديل SIM تصطدم بحائط مسدود أمامه. هذا تقدم حقيقي، وللأغلبية الساحقة من الحسابات، هو التوازن الصحيح بين الجهد والحماية.

لكن هناك نقطة عمياء تبقى قائمة. المكتب الاتحادي لأمن المعلومات الألماني BSI يوضح في تقييمه لطرق المصادقة الثنائية أن إجراءات الرموز عبر البريد الإلكتروني أو الرسائل النصية وتطبيقات TOTP لا توفر حماية إذا تم اعتراض العامل الثاني عبر وسيط في الوقت الفعلي. التسلسل بسيط: تنقر على رابط، تصل إلى صفحة تشبه منصة تداولك، تكتب كلمة المرور والرمز السداسي، الصفحة المزيفة تمررهما إلى المنصة الحقيقية في نفس الثانية وتدخل. رمزك كان صحيحاً، لكن ليس في المكان الذي توقعته.

المصادقة الثنائية بمفتاح المرور أو مفتاح الأمان

مفاتيح المرور passkeys ومفاتيح الأمان FIDO2 تحل هذه المشكلة، ليس عبر رمز أفضل بل بإلغاء الرمز نهائياً. أثناء الإعداد، يولد جهازك زوج مفاتيح، المفتاح العام يُرسل إلى المنصة، والمفتاح الخاص يبقى على جهازك أو على المفتاح الخارجي. عندما تسجل الدخول، يوقع الجهاز على رقم عشوائي صادر من الطرف الآخر. المهم أن هذا التوقيع مرتبط بقوة بالنطاق الذي أُنشئ له المفتاح.

منصة كراكن توضح الآلية بقولها إن نظام التشغيل والمتصفح يضمنان أن مفتاح المرور لا يمكن استخدامه إلا للموقع الذي أُنشئ من أجله. الصفحة المزيفة على عنوان مختلف تطلب شيئاً لا يمكن تحقيقه، لأن جهازك لن يستجيب لها أبداً. المكتب الاتحادي BSI يصنف مفاتيح المرور على أنها مقاومة لهجمات التصيد الشائعة.

يجب التمييز بين تصميمين:

• مفاتيح المرور المتزامنة عبر السحابة من Apple أو Google أو مدير كلمات المرور، وهي مريحة وتعمل عبر الأجهزة.
• مفاتيح الأمان المادية مثل YubiKey وهي الخيار الأكثر أماناً لكنها تتطلب حمل جهاز إضافي.

مقارنة طرق المصادقة الثنائية: أي طريقة تحمي من ماذا

عمود التصيد في الوقت الفعلي هو الأهم. كل الطرق الموجودة في القائمة أعلاه يمكن تمريرها إلى الأمام بواسطة مهاجم يقف بينك وبين المنصة، مع فارق أن تأكيد الدفع يتطلب جهداً أكبر قليلاً لأن المهاجم عليه أن يبدأ محاولة الدخول بنفسه.

إعداد المصادقة الثنائية دون أن تحبس نفسك خارجاً

الضرر الأكثر شيوعاً مع المصادقة الثنائية يأتي من فقدان الجهاز وليس من هجوم. أي شخص كان رمز TOTP الوحيد الخاص به على هاتف أصبح في قاع البحر الآن يواجه نفس مشكلة ضحية السرقة، لكن دون الجاني. الترتيب الذي يمنع ذلك:

• اكتب رموز الاسترداد على ورقة واحتفظ بها في مكان آمن قبل تفعيل المصادقة الثنائية على أي منصة.
• قم بإعداد جهاز ثانٍ أو تطبيق مصادقة على أكثر من جهاز.
• اختبر عملية الاسترداد بينما لا تزال في وضع مريح وليس في حالة طوارئ.
• احتفظ بنسخة احتياطية من تطبيق المصادقة إذا كان يدعم ذلك، وفعّل التشفير عليه.

ماذا لا تغطيه المصادقة الثنائية

المصادقة الثنائية تحمي الوصول إلى حساب لدى مزود خدمة، لكنها لا تحمي العملات التي تحتفظ بها بنفسك، حيث لا يوجد حساب ولا تسجيل دخول، فقط المفتاح الخاص. تأمين ذلك يتم عبر حفظ عبارة الاسترداد بأمان على ألواح معدنية أو استخدام عبارة مرور إضافية أو محافظ متعددة التوقيعات.

كما أنها لا تحميك من تحويل أموالك بنفسك. أكثر الاحتيالات انتشاراً منذ موعد MiCA يعمل على ذلك بالضبط: طلب مزعوم من المنصة لتحويل رصيدك “إلى مكان آمن” بسبب قواعد جديدة. الفصل بين حماية الحساب من جهة والاحتفاظ بالأصول من جهة أخرى يغطي معظم الهجمات الواقعية.

الأسئلة الشائعة

هل المصادقة الثنائية عبر الرسائل النصية أفضل من عدم وجودها إطلاقاً؟
نعم، بالتأكيد. كلمة المرور المسروقة وحدها لم تعد كافية. الرسائل النصية هي المستوى الأضعف وليست عديمة الفائدة، وإذا كانت منصتك لا تقدم شيئاً آخر فهي أفضل من لا شيء.

ماذا يحدث إذا فقدت الهاتف الذي يحتوي تطبيق المصادقة؟
بدون رموز الاسترداد أو جهاز ثانٍ مُعد مسبقاً، يبقى أمامك فقط فريق دعم المنصة مع إثبات الهوية والانتظار. لهذا يجب حفظ الرموز على ورقة قبل تفعيل الطريقة.

هل مفاتيح المرور آمنة عندما تكون متزامنة عبر السحابة؟
الحماية من التصيد متطابقة في التصميمين لأنها تعتمد على ارتباط النطاق. مع المفتاح المتزامن، ينتقل الخطر إلى حساب Apple أو Google أو مدير كلمات المرور الخاص بك، والذي يحتاج هو الآخر حماية قوية.

هل أحتاج مصادقة ثنائية لمحفظتي الخاصة أيضاً؟
لا، فهي غير موجودة تقنياً هناك. المحفظة ذاتية الاحتفاظ ليس لها حساب يمكن قفله، بل فقط مفتاح خاص. ما يحميك هناك هو عبارة مرور إضافية وتوقيعات متعددة ونسخة احتياطية مخزنة جيداً.

لماذا لا تقدم منصتي مفتاح أمان؟
FIDO2 يتطلب جهداً في التنفيذ، والعديد من المزودين يعتبرونه منخفض الأولوية لأن عدد المستخدمين الطالبين له قليل. تحقق من الطرق التي يقدمها مزودك في إعدادات الأمان قبل ضبط أي شيء، لأن الخيارات تختلف كثيراً.