تایید دو مرحلهای ارزینجا لایهٔ دومی است که بعد از رمز عبور، با یک کد یک‌بارمصرف از صاحب حساب بودن شما مطمئن میشود. این لایه بهطور پیشفرض روی پیامک فعال است و میتوانید آن را روی ایمیل یا Google Authenticator بگذارید. پیشنهاد ما اپ گوگل است که راه‌اندازی آن چند دقیقه طول می‌کشد.
ما در ارزینجا این راهنما را فقط برای حساب ارزینجا نوشته‌ایم، نه برای همهٔ سایت‌ها. هر مرحلهای که اینجا می‌خوانید از راهنماهای رسمی ما آمده است. هر جا راهنمای رسمی چیزی نگفته، همین را صادقانه می‌نویسیم تا روز حادثه با حدس و گمان تصمیم نگیرید. هدف ساده است: حتی اگر رمزتان لو برود، دارایی‌تان سر جایش بماند.
آنچه در این راهنما می‌خوانید:
- روش‌های تایید دو مرحلهای در حساب ارزینجا و تفاوت پیامک با اپ
- فعال‌سازی Google Authenticator قدم‌به‌قدم، از منوی «امنیت» تا کد شش‌رقمی
- کلید مخفی و اینکه چرا باید همین امروز جای امنی یادداشتش کنید
- جاهایی از حساب که بعد از فعال‌سازی کد از شما می‌خواهند
- گوشی گم شد یا عوض شد؛ چه کنیم
- چرا هیچ‌وقت نباید کد را به کسی بدهید
تایید دو مرحلهای ارزینجا چه روش‌هایی دارد؟
طبق راهنمای رسمی تایید دو مرحلهای ارزینجا، این قابلیت سه روش دارد: پیامک به موبایل که پیشفرض است، ایمیل، و اپلیکیشن Google Authenticator. هر سه از منوی «امنیت» در حساب کاربری تنظیم می‌شوند. خود راهنما هم صریح نوشته است که با فعال‌سازی «تایید دو مرحلهای با اپلیکیشن گوگل» امنیت حساب را به بالاترین حد ممکن برسانید.
پس اگر تا امروز کاری نکرده‌اید، حسابتان بدون لایهٔ دوم نیست. کد ورود و برداشت به شمارهٔ موبایلتان می‌رود. سؤال اصلی این است که آیا همین کافی است یا بهتر است به اپ مهاجرت کنید. جواب کوتاه ما این است: برای حسابی که در آن دارایی نگه میدارید، اپ انتخاب بهتری است. دلیلش را در بخش بعد با منبع رسمی می‌بینید.
اگر می‌خواهید سازوکار کلی لایهٔ دوم، کلید امنیتی سخت‌افزاری و منطق کدهای زمانی را دقیق‌تر بشناسید، در مقایسهٔ پیامک، اپ و کلید امنیتی در احراز هویت دو مرحلهای صرافی مفصل نوشته‌ایم. اینجا سراغ تعریف عمومی نمی‌رویم و فقط روی حساب ارزینجا تمرکز میکنیم.
پیامک یا Google Authenticator؛ کدام برای حساب شما امن‌تر است؟
اپ‌های تولید کد مثل Google Authenticator از پیامک امن‌ترند، چون کد روی خود گوشی ساخته میشود و به سیم‌کارت وابسته نیست. مؤسسهٔ ملی استاندارد و فناوری آمریکا در استاندارد احراز هویت NIST SP 800-63B استفاده از شبکهٔ تلفن (پیامک یا تماس صوتی) را روش «محدودشده» (restricted) می‌داند. همین سند از سرویس‌دهنده‌ها میخواهد پیش از اتکا به پیامک، نشانه‌هایی مثل تعویض سیم‌کارت و انتقال شماره را بسنجند.
این نگرانی نظری نیست. طبق هشدار مرکز شکایات اینترنتی FBI (۸ فوریهٔ 2022)، این مرکز در سال 2021 تعداد 1,611 شکایت سیم‌سواپ با زیان بیش از 68 میلیون دلار دریافت کرد. این رقم برای کل سه سال 2018 تا 2020 فقط 320 شکایت و حدود 12 میلیون دلار بود. توصیهٔ همان هشدار هم روشن است: به‌جای کد پیامکی، روش‌های قوی‌تر مثل توکن فیزیکی یا اپ احراز هویت مستقل.
جدول زیر سه روش حساب ارزینجا را کنار هم گذاشته است. ستون «ریسک اصلی» نشان می‌دهد هر روش از کجا آسیب‌پذیر است:
ردیف آخر یک هشدار هم دارد که در بخش‌های بعد به آن برمی‌گردیم. اپ جلوی سیم‌سواپ را می‌گیرد، ولی اگر گوشی را گم کنید و از کلید مخفی نسخه‌ای نداشته باشید، خودتان هم پشت در می‌مانید. اگر روی پیامک می‌مانید، دست‌کم شمارهٔ حساب را به‌روز نگه دارید. مسیر عوض کردنش را در راهنمای تغییر شماره موبایل در ارزینجا نوشته‌ایم.
پیش از فعال‌سازی چه چیزهایی آماده کنید؟
برای فعال‌سازی Google Authenticator در ارزینجا به چهار چیز نیاز دارید: گوشی اندروید یا iOS، دسترسی به روش فعلی تایید دو مرحلهای (موبایل یا ایمیل) برای گرفتن کد فعال‌سازی، اپ رسمی از فروشگاه معتبر، و جای امنی برای یادداشت کلید مخفی. اگر یکی از این‌ها کم باشد، کار نیمه‌راه می‌ماند.
- اپ را فقط از فروشگاه رسمی نصب کنید. راهنمای ما گزینهٔ «دانلود از گوگل پلی» را برای اندروید و «دانلود از اپ استور» را برای iOS معرفی می‌کند و هشدار می‌دهد که نصب نرم‌افزار از منابع ناشناس، خطر فیشینگ و دسترسی غیرمجاز به حساب را بالا می‌برد. ناشر اپ در صفحهٔ رسمی Google Authenticator در اپ استور شرکت Google LLC است.
- به موبایل یا ایمیل فعلی دسترسی داشته باشید. کد فعال‌سازی طبق راهنما به همان روشی میرسد که الان فعال است.
- کاغذ و قلم کنار دستتان باشد. کلید مخفی را همان لحظه می‌نویسید، نه بعداً.
- ساعت گوشی را روی خودکار بگذارید. کدهای این اپ به زمان وابسته‌اند و ساعت دستیِ جابه‌جا، کد اشتباه می‌سازد.
اگر اولین بار است که با این اپ کار می‌کنید و می‌خواهید دکمه‌ها و تنظیمات خود اپ را بشناسید، آموزش کار با گوگل آتنتیکیتور را بخوانید؛ همان مقاله‌ای که راهنمای رسمی ما هم پیشنهادش کرده است. این مقاله فقط طرف حساب ارزینجا را میگوید.
چطور Google Authenticator را در حساب ارزینجا فعال کنیم؟
فعال‌سازی Google Authenticator در ارزینجا هشت قدم کوتاه دارد و همه از منوی «امنیت» حساب کاربری انجام میشود. ترتیب زیر عیناً از راهنمای رسمی ما آمده است:
- وارد «حساب کاربری» شوید و از منوی حساب کاربری، گزینهٔ «امنیت» را انتخاب کنید.
- در بخش تایید دو مرحلهای، روی دکمهٔ «راه اندازی کن» بزنید.
- کد فعال‌سازی را که به موبایل یا ایمیلتان رسیده (بسته به روش فعلی) وارد کنید.
- اپلیکیشن Google Authenticator را نصب کنید: اندروید از «دانلود از گوگل پلی» و iOS از «دانلود از اپ استور».
- بعد از نصب، روی «مرحله بعدی» بزنید.
- QR کد نمایش‌داده‌شده را با اپ اسکن کنید، یا کد را دستی در اپ وارد کنید. کلید مخفی را همین‌جا یادداشت کنید و دوباره «مرحله بعدی» را بزنید.
- کد شش‌رقمی‌ای را که اپ برای ارزینجا نشان می‌دهد در کادر وارد کنید.
- روی «تایید» بزنید. از این لحظه تایید دو مرحلهای با اپلیکیشن گوگل برای حسابتان فعال است.
یک نکتهٔ عملی در قدم هفتم: اگر در اپ چند حساب دارید، کد را از ردیفی بردارید که مال ارزینجاست. کد هر ردیف مدت کوتاهی معتبر است. طبق همان استاندارد NIST، هر کد زمانی عمر مشخصی دارد و فقط یک بار پذیرفته میشود، پس اگر شمارش معکوس کنار کد رو به تمام شدن است، صبر کنید و کد تازه را بزنید.
در راهنمای ما فقط Google Authenticator نام برده شده است. اینکه اپ‌های دیگر تولید کد هم با حساب ارزینجا کار می‌کنند یا نه، اعلام نشده است. پیشنهاد ما این است که همان اپی را نصب کنید که راهنما گفته، تا اگر روزی به پشتیبانی نیاز داشتید، مسیر برای هر دو طرف آشنا باشد.
کلید مخفی را کجا و چطور نگه داریم؟
کلید مخفی (Secret Key) همان رشته‌ای است که QR کد از آن ساخته شده، و طبق راهنمای ما «قابل بازیابی نیست». یعنی اگر آن را جایی ننوشته باشید، بعداً راهی برای به دست آوردن دوباره‌اش ندارید. راهنمای رسمی از «کد پشتیبان» جداگانه حرفی نزده است. پس در حساب ارزینجا، نسخهٔ پشتیبان شما همین کلید است.
پیشنهاد ما برای نگه‌داری این کلید ساده است. آن را روی کاغذ بنویسید و کنار مدارک مهم بگذارید. از آن عکس نگیرید، چون گالری گوشی معمولاً با فضای ابری همگام میشود. در پیام‌رسان هم برای خودتان نفرستید. اگر کسی به این کلید برسد، میتواند کدهای شما را روی گوشی خودش بسازد. پس با آن مثل رمز عبور رفتار کنید.
بعد از فعال‌سازی، کد دو مرحلهای کجا خواسته میشود؟
بعد از فعال‌سازی، کد اپ در کارهای حساس حساب از شما خواسته میشود، مثل برداشت رمزارز، تغییر رمز عبور و افزودن آدرس به دفترچه آدرس. طبق قوانین و مقررات ارزینجا، استفاده از نرم‌افزارهای تایید دومرحله‌ای برای ورود هم از راه‌های ارتقای امنیت حساب است. این سه نقطه را بشناسید تا موقع کد خواستن غافلگیر نشوید:
- برداشت رمزارز: طبق راهنمای برداشت رمزارز، بعد از ثبت درخواست باید کد روش تایید دو مرحلهای انتخابی‌تان را وارد کنید.
- تغییر رمز عبور: طبق راهنمای تغییر رمز، رمز تازه با کد تایید دو مرحلهای ثبت میشود. بعد از آن تا ۲۴ ساعت برداشت نقدی و رمزارز بسته است و همهٔ دستگاه‌های متصل از حساب خارج می‌شوند.
- افزودن آدرس به دفترچه آدرس: طبق راهنمای دفترچه آدرس، ثبت آدرس تازه با کد تایید دو مرحلهای کامل میشود.
یک ظرافت مهم هم هست که کمتر کسی به آن توجه می‌کند. طبق همان راهنمای برداشت، «برداشت رمزارز به آدرسهای ذخیره شده در دفترچه آدرس نیازمند تایید دومرحله‌ای نیست». این برای شما راحتی است، ولی یعنی دفترچهٔ آدرس حساس‌ترین فهرست حساب شماست. هر چند وقت یک بار آن را مرور کنید و هر آدرسی را که نمی‌شناسید، از گزینهٔ «عملیات» حذف کنید.
اینکه بعد از فعال‌سازی یا تغییر روش تایید دو مرحلهای، برداشت برای مدتی بسته میشود یا نه، در راهنماهای ما اعلام نشده است. فقط دو محدودیت رسمی را می‌دانیم: ۲۴ ساعت بعد از تغییر رمز، و ۷۲ ساعت محدودیت برداشت رمزارز بعد از اولین تراکنش تومانی که در قوانین آمده است.
اگر گوشی گم شد یا عوض شد چه کنیم؟
اگر گوشی را عوض می‌کنید، کدها را پیش از پاک کردن گوشی قدیمی منتقل کنید. اگر گوشی گم شده، راه بازگشت به این بستگی دارد که از قبل همگامسازی یا کلید مخفی داشته‌اید یا نه. طبق صفحهٔ رسمی اپ در اپ استور، Google Authenticator میتواند کدها را با حساب گوگل همگام کند و حساب‌ها را با QR کد بین دستگاه‌ها جابه‌جا کند.
سه حالت را از ساده به سخت مرتب کرده‌ایم:
- همگامسازی با حساب گوگل روشن بوده است: اپ را روی گوشی تازه نصب کنید و با همان حساب گوگل وارد شوید تا ردیف ارزینجا برگردد.
- کلید مخفی را یادداشت کردهاید: در اپ گوشی تازه، کد را دستی وارد کنید. ردیف ارزینجا دوباره همان کدها را می‌سازد.
- نه همگامسازی داشته‌اید، نه کلید: مسیر رسمی غیرفعال کردن یا بازنشانی تایید دو مرحلهای بدون گوشی در راهنماهای ما اعلام نشده است. فقط از کانالهای رسمی با پشتیبانی تماس بگیرید.
طبق صفحهٔ تماس با ارزینجا، تیم پشتیبانی ما هر روز از ۸ صبح تا ۲ بامداد با تلفن 02191035050 و ایمیل info@arzinja.info پاسخگوست. اینکه برای بازنشانی چه مدرکی لازم است و چقدر طول می‌کشد، اعلام نشده است. شماره را همیشه از همین صفحهٔ رسمی بردارید، نه از پیامی که کسی برایتان فرستاده است.
وقتی دوباره به حساب رسیدید، دو کار را فوراً انجام دهید. اول در منوی «امنیت»، بخش «دستگاه‌های متصل» را باز کنید. طبق راهنمای رسمی، آنجا نام دستگاه، تاریخ اتصال و IP هر دستگاه را می‌بینید و با «خروج از تمام دستگاه‌های دیگر» گوشی گم‌شده را بیرون می‌کنید. دوم، رمز عبور را عوض کنید و بدانید که ۲۴ ساعت برداشت بسته می‌ماند.
اگر گوشی سر جایش است ولی کد قبول نمی‌شود، مشکل معمولاً از ساعت گوشی یا ردیف اشتباه در اپ است. راه‌حل‌های این حالت را در رفع مشکل کار نکردن گوگل آتنتیکیتور آورده‌ایم. اگر گره از جای دیگری است، مثلاً پیامک نمی‌رسد یا رمز را فراموش کردهاید، راهنمای رفع مشکل ورود به حساب ارزینجا قدم‌به‌قدم کمکتان می‌کند.
آیا میشود تایید دو مرحلهای را غیرفعال کرد یا به پیامک برگشت؟
راهنمای رسمی ما فقط مسیر تنظیم روی پیامک، ایمیل یا اپ گوگل را توضیح می‌دهد. مراحل غیرفعال کردن کامل یا برگشت از اپ به پیامک در آن اعلام نشده است. اگر به هر دلیلی می‌خواهید روش را عوض کنید، اول سری به بخش «امنیت» بزنید و اگر گزینه‌اش را ندیدید، از پشتیبانی بپرسید.
پیشنهاد ما این است که لایهٔ دوم را هیچ‌وقت خاموش نگذارید، حتی برای چند ساعت. اگر از اپ خسته شده‌اید چون کد را دیر پیدا می‌کنید، مشکل با مرتب کردن ردیف‌های اپ حل میشود، نه با برداشتن قفل. حساب بدون لایهٔ دوم یعنی هر کسی که رمز شما را بداند، کل دارایی را می‌بیند.
چرا هیچ‌وقت نباید کد تایید را به «پشتیبانی» بدهید؟
کد تایید دو مرحلهای فقط در صفحهٔ خود سایت یا اپ ارزینجا وارد میشود و در هیچ‌کدام از راهنماهای رسمی ما مرحلهای نیست که آن را برای کسی بخوانید یا بفرستید. قوانین ارزینجا هم از کاربر خواسته است اطلاعات شخصی و محرمانه‌اش را با دیگران به اشتراک نگذارد. کسی که کد را از شما میخواهد، در عمل میخواهد قفل دوم را باز کند.
اپ گوگل جلوی سیم‌سواپ را می‌گیرد، ولی جلوی فریب را نه. سند NIST صریح میگوید احراز هویت با کد یک‌بارمصرف «مقاوم در برابر فیشینگ نیست»، چون کد دستی وارد میشود و به صفحهٔ واقعی گره نمی‌خورد. یعنی اگر کد را در یک صفحهٔ جعلی بزنید یا پشت تلفن بخوانید، طرف مقابل میتواند همان لحظه از آن استفاده کند.
رایج‌ترین سناریو این است: کسی در تلگرام خودش را پشتیبانی معرفی می‌کند، از «مشکل امنیتی حساب» حرف می‌زند و برای «رفع مسدودی» کد شش‌رقمی را میخواهد. شش نشانهٔ قطعی این کلاهبرداری را در نشانه‌های پشتیبانی جعلی صرافی در تلگرام فهرست کرده‌ایم. نسخهٔ دیگرش صفحهٔ ورود تقلبی است. راه شناختن دامنهٔ رسمی ما را در راهنمای تشخیص سایت جعلی ارزینجا ببینید.
پیشنهاد ما
قانون یک‌خطی امنیت حساب: کد را فقط جایی بزنید که خودتان باز کردهاید
نشانی سایت را خودتان تایپ کنید یا اپ را از صفحهٔ رسمی دانلود ما نصب کنید. اگر کسی تماس گرفت یا پیام داد و کد خواست، گفت‌وگو را قطع کنید و خودتان از کانال رسمی با ما تماس بگیرید. طبق قوانین ارزینجا، اگر به استفادهٔ غیرمجاز از حساب شک کردید، سریع تیم پشتیبانی را مطلع کنید.
جمع‌بندی: تایید دو مرحلهای ارزینجا را امروز در چند دقیقه کامل کنید
تایید دو مرحلهای ارزینجا روی پیامک از قبل فعال است، ولی با Google Authenticator قوی‌تر میشود و دیگر به سیم‌کارت وابسته نیست. مسیرش کوتاه است: منوی «امنیت»، «راه اندازی کن»، کد فعال‌سازی، اسکن QR، یادداشت کلید مخفی و کد شش‌رقمی. کلید را روی کاغذ نگه دارید، دفترچهٔ آدرس را مرور کنید و کد را به هیچ‌کس ندهید.
اگر هنوز اپ ارزینجا را ندارید، نسخهٔ رسمی را از صفحهٔ دانلود اپلیکیشن ارزینجا برای اندروید و iOS بگیرید تا حسابتان همیشه در جیبتان و زیر قفل دوم باشد. وقتی خیالتان از امنیت حساب راحت شد، میتوانید با آرامش از صفحهٔ خرید بیت کوین در ارزینجا خرید بعدی‌تان را ثبت کنید.
سوالات متداول
آیا تایید دو مرحلهای در حساب ارزینجا از اول فعال است؟
بله. طبق راهنمای رسمی تایید دو مرحلهای ارزینجا، این لایه بهطور پیشفرض روی پیامک موبایل فعال است و کد ورود و کارهای حساس به شمارهٔ ثبتشده در حساب میرسد. از منوی «امنیت» میتوانید روش را روی ایمیل یا اپلیکیشن Google Authenticator بگذارید. ما برای حسابی که در آن دارایی نگه میدارید، اپ گوگل را پیشنهاد میکنیم.
اگر کلید مخفی Google Authenticator را یادداشت نکرده باشم، ارزینجا میتواند دوباره آن را بدهد؟
خیر. راهنمای رسمی ما صریح میگوید کلید مخفی (Secret Key) قابل بازیابی نیست و باید آن را جای امنی نگه دارید. اگر گوشی را گم کردهاید و نه همگامسازی حساب گوگل روشن بوده و نه کلید را نوشتهاید، مسیر رسمی بازنشانی و مدارک لازم برای آن اعلام نشده است. در این حالت فقط از کانالهای صفحهٔ تماس با ارزینجا با پشتیبانی در ارتباط باشید.
برداشت رمزارز به آدرسهای دفترچه آدرس هم کد دو مرحلهای میخواهد؟
نه. طبق راهنمای برداشت رمزارز ارزینجا، برداشت به آدرسهای ذخیرهشده در دفترچه آدرس نیازمند تایید دو مرحلهای نیست. در عوض، افزودن هر آدرس تازه به دفترچه با کد تایید دو مرحلهای کامل میشود. برای همین پیشنهاد میکنیم دفترچه آدرس را مرتب مرور کنید و آدرس ناآشنا را از گزینهٔ «عملیات» حذف کنید.
بعد از تغییر رمز عبور ارزینجا تا کی نمی‌توانم برداشت کنم؟
طبق راهنمای تغییر رمز عبور ارزینجا، بعد از ثبت رمز تازه تا ۲۴ ساعت برداشت نقدی و رمزارز بسته است و همهٔ دستگاه‌های متصل از حساب خارج می‌شوند. ثبت رمز تازه هم به کد تایید دو مرحلهای نیاز دارد. اینکه فعال‌سازی یا تغییر روش تایید دو مرحلهای هم برداشت را برای مدتی می‌بندد یا نه، در راهنماها اعلام نشده است.
می‌توانم به‌جای Google Authenticator از اپ دیگری برای ساخت کد استفاده کنم؟
در راهنمای رسمی ارزینجا فقط Google Authenticator نام برده شده و سازگاری اپ‌های دیگر تولید کد اعلام نشده است. پیشنهاد ما این است که همان اپی را از گوگل پلی یا اپ استور نصب کنید که راهنما معرفی کرده است. نصب هر نرم‌افزار احراز هویت از منابع ناشناس، طبق همان راهنما، خطر فیشینگ و دسترسی غیرمجاز به حساب را بالا می‌برد.
