بدافزار کلیپبورد (Clipper) برنامهٔ مخربی است که بی‌صدا محتوای کپی‌شدهٔ دستگاه شما را می‌پاید و تا آدرس کیف پول رمزارز ببیند، آن را با آدرس مهاجم عوض می‌کند. شما آدرس درست را کپی می‌کنید، ولی چیزی که در فرم برداشت می‌چسبد آدرس دیگری است و تراکنش بلاکچین هم برگشت ندارد. راه مقابله، عادت چک کردن آدرس پیش از ارسال است.
این حمله نه رمز عبور شما را می‌خواهد و نه به حساب‌تان نفوذ می‌کند. فقط منتظر یک لحظه می‌ماند: لحظه‌ای که آدرس را کپی و پیست می‌کنید. ما در ارزینجا هر روز شاهد برداشت تتر و بیت کوین کاربران به کیف‌های شخصی هستیم و می‌دانیم همین لحظه برای خیلی‌ها خودکار و بی‌فکر شده است. در این راهنما کنار شما هستیم تا این لحظه را دوباره آگاهانه کنید.
آنچه در این راهنما می‌خوانید:
- کلیپر چطور آدرس را عوض می‌کند و از چه راهی به دستگاه می‌رسد
- فرق کلیپر با مسمومیت آدرس و فیشینگ در یک جدول
- نشانه‌های آلودگی و چرا چک اول و آخر آدرس کافی نیست
- عادت‌های امن در فرم برداشت ارزینجا، از دفترچه آدرس تا تراکنش آزمایشی
- نقش کیف پول سخت‌افزاری و کارهایی که بعد از ارسال اشتباه باید کرد
بدافزار کلیپبورد دقیقاً چه می‌کند؟
کلیپر مدام متن کلیپبورد را با الگوی آدرس‌های رمزارز مقایسه می‌کند و هر رشته‌ای که شبیه آدرس باشد، با آدرسی از فهرست مهاجم جایگزین می‌شود. آدرس‌های رمزارز رشته‌هایی طولانی و بی‌معنا هستند، برای همین تقریباً همه آن‌ها را کپی و پیست می‌کنند و کمتر کسی کاراکتربه‌کاراکتر می‌خواند. کلیپر دقیقاً روی همین عادت حساب کرده است.
گزارش‌های رسمی نشان میدهد این ترفند تازه نیست و هنوز هم فعال است. طبق گزارش ESET، کلیپرها اول در سال 2017 روی ویندوز دیده شدند و اولین نمونهٔ اندرویدی در اوت 2018 در فروم‌های زیرزمینی فروخته میشد. در ژوئن 2026 هم تیم اطلاعات تهدید مایکروسافت از کلیپری خبر داد که از فوریهٔ 2026 کاربران ویندوز را هدف گرفته است.
نسخههای تازه به جابه‌جایی آدرس قانع نیستند. همان گزارش مایکروسافت می‌گوید این بدافزار عبارت بازیابی ۱۲ یا ۲۴ کلمه‌ای را هم در کلیپبورد تشخیص میدهد و از راه شبکهٔ Tor برای مهاجم می‌فرستد، و بعد از گرفتن کلید، پنج اسکرین‌شات با فاصلهٔ ده ثانیه از صفحه برمی‌دارد تا موجودی کیف را ببیند. یعنی هر چیزی که کپی می‌کنید، حتی چند ثانیه، در معرض دید است.
کسپرسکی هم در آوریل 2026 دربارهٔ نسخه‌ای از خانوادهٔ ClipBanker نوشت که آدرس حدود ۲۶ شبکه را می‌پاید؛ از بیت کوین و اتریوم تا ترون، سولانا و ریپل. پس فرقی نمیکند تتر را روی ترون بفرستید یا بیت کوین را روی شبکهٔ اصلی؛ هر آدرسی که الگوی شناختهشده داشته باشد، هدف است.
کلیپر از کجا وارد گوشی یا کامپیوتر می‌شود؟
کلیپر تقریباً همیشه همراه نرم‌افزاری می‌آید که کاربر خودش نصب کرده است؛ نرم‌افزار کرک‌شده، ابزار رایگانِ «معجزه‌گر» یا نسخهٔ غیررسمی یک اپ آشنا. گزارش‌های امنیتی چند مسیر مشخص را ثبت کرده‌اند که برای کاربر ایرانی آشناتر از آن است که فکر می‌کنید:
- نرم‌افزار کرک‌شده یا «کلید فعال‌سازی» رایگان: کسپرسکی گزارش داد کسی که Proxifier را جست‌وجو می‌کرد، در نتایج بالای موتور جست‌وجو به مخزنی در گیتهاب می‌رسید که نصب‌کنندهٔ آلوده را کنار یک فایل متنی «کلید فعال‌سازی» عرضه می‌کرد. به گفتهٔ همین گزارش، از ابتدای 2025 بیش از دو هزار کاربر کسپرسکی با آن روبه‌رو شده‌اند.
- پروژهٔ جعلی متن‌باز: در کارزار GitVenom (فوریهٔ 2025) صدها مخزن گیتهاب با توضیحات جذاب، از ربات تلگرام مدیریت کیف بیت کوین تا کرک بازی، کلیپر پخش میکردند و به گفتهٔ کسپرسکی ۵ بیت کوین دزدیدند.
- ابزارهای «سود تضمینی»: چکپوینت در ژوئن 2026 کلیپری را در قالب ربات اسنایپر سولانا و پامپ فان و «پیش‌بینی‌گر» بازی‌های کرش پیدا کرد که با ستاره‌های جعلی گیتهاب و رأی‌های ساختگی «امن» خودش را معتبر نشان می‌داد.
- اپ غیررسمی و APK ناشناس: ESET در 2019 اولین کلیپر را در گوگل‌پلی پیدا کرد که خود را MetaMask جا زده بود، و در 2023 نسخههای تروجانی تلگرام و واتساپ را که از سایتهای کپی دانلود میشدند و آدرس کیف پول را حتی داخل پیامهای چت عوض میکردند.
- فلش USB: کلیپر گزارش مایکروسافت فایل‌های اصلی فلش را پنهان می‌کرد و میان‌بری با همان نام می‌ساخت؛ کاربر خیال می‌کرد سند خودش را باز می‌کند.
نکتهٔ مشترک همهٔ این مسیرها روشن است: «رایگان» و «نسخهٔ پیدانشده». اگر اپ صرافی یا کیف پول را از لینک تلگرامی یا سایت ناشناس نصب کنید، کنترل کلیپبورد را هم به همان منبع سپرده‌اید. نشانه‌های اپ تقلبی را در راهنمای تشخیص اپ جعلی صرافی جدا توضیح داده‌ایم.
کلیپر با مسمومیت آدرس و فیشینگ چه فرقی دارد؟
هر سه حمله پول را به آدرس مهاجم می‌فرستند، ولی کلیپر روی دستگاه شما زندگی می‌کند، مسمومیت آدرس در تاریخچهٔ تراکنش‌تان، و فیشینگ در یک سایت یا پیام جعلی. همین تفاوت تعیین می‌کند کدام عادت جلوی کدام حمله را می‌گیرد:
کلیپر و مسمومیت آدرس از یک نقطه‌ضعف تغذیه می‌کنند: اینکه ما فقط دو سر آدرس را نگاه می‌کنیم. سناریوی کامل حملهٔ دوم را در توضیح مسمومیت آدرس و تراکنش صفر آورده‌ایم. اینجا تمرکز ما روی دستگاه آلوده و لحظهٔ پیست است.
چه نشانه‌هایی می‌گوید کلیپبورد شما آلوده است؟
مهم‌ترین و گاهی تنها نشانهٔ کلیپر این است که آدرس پیست‌شده با آدرسی که کپی کرده‌اید فرق دارد؛ بیشتر کلیپرها کند شدن دستگاه یا پنجرهٔ مشکوکی ایجاد نمی‌کنند. برای همین «دستگاهم مشکلی ندارد» دلیل امنیت نیست. با این حال چند علامت ارزش جدی گرفتن دارند:
- تفاوت آدرس: آدرس را کپی و در یادداشت پیست کنید و با منبع مقایسه کنید. هر تفاوتی، حتی یک کاراکتر، یعنی توقف کامل.
- پیام دسترسی به کلیپبورد: طبق مستندات توسعه‌دهندگان اندروید، از اندروید ۱۲ به بعد سیستم معمولاً وقتی اپی برای اولین بار محتوای کلیپبورد اپ دیگری را می‌خواند، پیامی کوتاه نشان میدهد. اگر این پیام را از اپی دیدید که دلیلی برای خواندن کلیپبورد ندارد، آن اپ را بررسی کنید.
- نصب اخیر از منبع غیررسمی: یک کرک، یک «ربات سود» یا APK که دوستی فرستاده، در روزهای قبل از اتفاق.
- تغییر رفتار فلش: فایل‌های فلش ناپدید شده‌اند و به‌جایشان میان‌برهایی با همان نام دیده می‌شود؛ نشانه‌ای که مایکروسافت در کلیپر USB گزارش کرد.
اگر هر کدام از این‌ها را دیدید، تا پاکسازی دستگاه از آن برای برداشت استفاده نکنید. در گزارش کسپرسکی، ۷۰٪ تشخیص‌ها از ابزار پاکسازی رایگان این شرکت بوده است، یعنی بسیاری از قربانیان وقتی متوجه شدند که دستگاه از قبل آلوده بود.
چرا چک کردن فقط چند کاراکتر اول و آخر کافی نیست؟
چون کلیپرها و مهاجمان دقیقاً همان دو سر آدرس را شبیه‌سازی می‌کنند. گزارش مایکروسافت نشان میدهد کلیپر USB برای آدرس‌های قدیمی بیت کوین و آدرس‌های ترون، آدرسی را جایگزین می‌کرد که دو کاراکتر اولش با آدرس شما یکی است، و برای برخی قالب‌های دیگر کاراکتر آخر را تطبیق می‌داد.
پژوهش دانشگاهی EthClipper (کنفرانس IEEE CNS 2021) یک قدم جلوتر رفت. نویسندگان نوشتند بسیاری از کاربران کیف سخت‌افزاری فقط چند نماد از آدرس را چک می‌کنند و بدافزاری ساختند که از پایگاهی از آدرس‌های ازپیش‌ساخته، شبیه‌ترین آدرس به آدرس شما را بیرون می‌کشد. آن‌ها حمله را روی Trezor، Ledger و KeepKey آزمودند و سازندگان هم تهدید را تأیید کردند.
پیشنهاد ما «چک سه‌تکه» است: شش کاراکتر اول، شش کاراکتر آخر و یک تکهٔ شش‌کاراکتری از وسط آدرس را با منبع اصلی تطبیق دهید. ساختن آدرسی که دو سرش شبیه باشد برای مهاجم شدنی است، ولی هم‌زمان شبیه کردن وسط هم کار را به‌مراتب سخت‌تر می‌کند. برای مبلغ بزرگ، کل آدرس را بخوانید؛ یک دقیقه وقت می‌گیرد.
یک تلهٔ کوچک ولی مهم هم در فرم برداشت ما هست. طبق راهنمای رسمی، اگر آدرس واردشده معتبر باشد، کادر کیف مقصد سبز می‌شود و انتخاب شبکه باز می‌شود. آدرس مهاجم هم آدرسی کاملاً معتبر است؛ پس سبز شدن کادر یعنی «قالب درست است»، نه «این آدرس خود شماست».
در فرم برداشت ارزینجا چطور از خودمان محافظت کنیم؟
در ارزینجا امن‌ترین مسیر این است که آدرس مقصد را یک بار با دقت در دفترچهٔ آدرس ثبت کنید، با تراکنش آزمایشی امتحانش کنید و از آن به بعد فقط از دفترچه انتخابش کنید. این روال را قدم‌به‌قدم ببینید:
- فقط از اپ و سایت رسمی وارد شوید. اپ ارزینجا را از صفحهٔ دانلود اپلیکیشن ارزینجا بگیرید؛ مسیرهای رسمی آن دانلود مستقیم از arzinja.ir، کافه بازار، مایکت، سیبچه، سیب اپ و نسخهٔ PWA است.
- آدرس را از خود کیف مقصد بردارید. در کیف شخصی‌تان گزینهٔ «دریافت» را بزنید و آدرس تازه را همان‌جا کپی کنید، نه از چت، ایمیل یا تاریخچهٔ تراکنش.
- چک سه‌تکه را انجام دهید. بعد از پیست، اول، وسط و آخر آدرس را با صفحهٔ کیف مقصد تطبیق دهید.
- شبکه را درست انتخاب کنید. طبق صفحهٔ تتر، واریز و برداشت تتر در ارزینجا روی TRC-20 و ERC-20 است و آدرس باید مال همان شبکه باشد.
- اول یک مبلغ کوچک بفرستید. وقتی رسید، با همان آدرس مبلغ اصلی را بفرستید.
- آدرس تأییدشده را در دفترچه ذخیره کنید. از برداشت بعدی، به‌جای پیست کردن، آدرس را از دفترچه انتخاب کنید.
دفترچهٔ آدرس: امن، به شرط ثبت درست
دفترچهٔ آدرس ما در «حساب کاربری»، بخش «امنیت» است. طبق راهنمای دفترچه آدرس ارزینجا، برای افزودن آدرس، شبکه را انتخاب می‌کنید، آدرس را می‌چسبانید، یک عنوان مثل «آدرس شخصی شبکه اتریوم» می‌گذارید، اطلاعات را در صفحهٔ بازبینی چک می‌کنید و با کد تأیید دومرحله‌ای ثبتش می‌کنید.
یک نکته در راهنمای برداشت رمزارز هست که باید جدی‌اش بگیرید: «برداشت رمزارز به آدرس‌های ذخیره شده در دفترچه آدرس نیازمند تایید دومرحله‌ای نیست.» این برای شما سرعت و راحتی می‌آورد، ولی یعنی حساس‌ترین لحظه، لحظهٔ ذخیرهٔ آدرس است. اگر همان لحظه کلیپر آدرس را عوض کرده باشد، هر برداشت بعدی به آدرس مهاجم می‌رود. پس صفحهٔ بازبینی را با چک سه‌تکه رد کنید.
صادقانه بگوییم: اینکه بتوان برداشت را فقط به آدرس‌های دفترچه محدود کرد (وایت‌لیست اجباری) یا بعد از افزودن آدرس تازه دورهٔ انتظاری وجود دارد، در راهنماهای رسمی ما اعلام نشده است. دفترچه فعلاً یک میان‌بر امن است، نه قفل.
تراکنش آزمایشی: ارزان‌ترین بیمه
تراکنش آزمایشی کلیپر را از بین نمی‌برد، ولی اگر آدرس عوض شده باشد، فقط مبلغ کوچک را از دست می‌دهید. شرطش این است که بعد از رسیدن آزمایش، برای مبلغ اصلی دوباره کپی و پیست نکنید و از همان آدرس ذخیره‌شده استفاده کنید؛ وگرنه کلیپر در کپی دوم هم می‌تواند وارد عمل شود. جزئیات کارمزد و انتخاب مبلغ آزمایش را در راهنمای انتقال تتر به کیف شخصی با تراکنش آزمایشی آورده‌ایم.
پیشنهاد ما
انتقال بین حساب‌های ارزینجا را با شماره موبایل انجام دهید
اگر مقصد شما کاربر دیگری در ارزینجاست، اصلاً به آدرس کیف پول نیازی ندارید. طبق راهنمای برداشت، با گزینهٔ ارسال به «کاربر ارزینجا» و وارد کردن شماره موبایل او، رمزارز بدون کارمزد منتقل می‌شود و آدرسی برای جابه‌جا شدن در کلیپبورد وجود ندارد. فقط شماره را هم با دقت چک کنید.
کیف پول سخت‌افزاری چطور جلوی کلیپر را می‌گیرد؟
کیف سخت‌افزاری آدرس مقصد را روی صفحهٔ خودش نشان میدهد و کلیپری که روی کامپیوتر یا گوشی است به آن صفحه دسترسی ندارد. راهنمای رسمی ترزور صریح می‌گوید بدافزار کامپیوتر یا موبایل می‌تواند آدرس گیرنده را بعد از پیست عوض کند، و صفحهٔ دستگاه آدرسی را نشان میدهد که تراکنش واقعاً به آن پرداخت می‌شود.
ولی این سپر فقط وقتی کار می‌کند که صفحهٔ دستگاه را واقعاً بخوانید. یافتهٔ EthClipper دقیقاً همین بود: کاربر کیف سخت‌افزاری که فقط چند نماد را نگاه می‌کند، باز هم فریب می‌خورد. پس همان چک سه‌تکه را این بار بین صفحهٔ دستگاه و منبع اصلی آدرس انجام دهید. برای مقایسهٔ گزینه‌ها و سطح امنیت آن‌ها، مقایسهٔ امنیت لجر و ترزور را ببینید.
یک لایهٔ دیگر هم فراموش نشود. کلیپر مایکروسافت و نسخههای اندرویدی ESET دنبال عبارت بازیابی‌اند؛ پس آن را هرگز کپی نکنید، در یادداشت گوشی ننویسید و از آن اسکرین‌شات نگیرید. روش‌های امن نگهداری را در راهنمای بکاپ عبارت بازیابی مرور کرده‌ایم.
اگر آدرس عوض شد و پول رفت، چه کنیم؟
تراکنش تأییدشدهٔ بلاکچین برگشت‌پذیر نیست، پس اولویت اول جلوگیری از ضرر دوم است، نه پیگیری اولی. دستگاهی که آدرس را عوض کرده هنوز آلوده است و هر کپی بعدی، هر کلید و هر عبارت بازیابی‌ای که رویش باشد در خطر است. این کارها را به همین ترتیب انجام دهید:
- دستگاه را کنار بگذارید: از آن برای ورود، برداشت یا کپی هیچ کلیدی استفاده نکنید و اینترنتش را قطع کنید.
- از دستگاه سالم وارد شوید: با گوشی یا کامپیوتر دیگری رمز حساب ارزینجا را عوض کنید و در صفحهٔ «امنیت»، دستگاههای متصل و تاریخچهٔ فعالیت را بررسی کنید.
- اگر عبارت بازیابی روی آن دستگاه بوده: کیف تازه‌ای روی دستگاه سالم بسازید و باقی دارایی را به آن منتقل کنید.
- اطلاعات را ثبت کنید: هش تراکنش و آدرس مقصد را نگه دارید و مسیر پول را با آموزش ردیابی تراکنش در اتراسکن یا اکسپلورر همان شبکه دنبال کنید.
- دستگاه را پاکسازی کنید: با ابزار امنیتی معتبر اسکن کنید یا در صورت شک، کاملاً از نو نصب کنید.
کارهای دقیقهٔ اول تا دهم، از جمله وقتی کیف شخصی‌تان لو رفته، در راهنمای کارهای فوری بعد از هک کیف پول مرتب شده‌اند. اگر هم پول از حساب ارزینجا برداشت شده، با تیم پشتیبانی ما تماس بگیرید تا وضعیت حساب را با شما بررسی کنند؛ ولی بدانید تراکنشی که روی بلاکچین تأیید شده، از سمت ما قابل برگشت نیست.
کلیپر فقط یکی از تهدیدهای کیف پول است. اگر می‌خواهید یک‌جا همهٔ لایه‌ها را مرور کنید، از رمز و تأیید دومرحله‌ای تا نسخهٔ نرم‌افزار، چک‌لیست امنیت کیف پول ارز دیجیتال را قدم‌به‌قدم جلو بروید.
جمع‌بندی: بدافزار کلیپبورد را با چند عادت ساده بی‌اثر کنید
بدافزار کلیپبورد از یک عادت ساده تغذیه می‌کند: کپی، پیست، ارسال، بدون نگاه دوم. گزارش‌های مایکروسافت، کسپرسکی، ESET و چکپوینت از 2019 تا 2026 نشان میدهد این بدافزار با کرک، پروژهٔ جعلی، APK ناشناس و حتی فلش USB پخش می‌شود و دو سر آدرس را عمداً شبیه می‌کند. دفاع شما هم ساده است: نصب فقط از منبع رسمی، چک سه‌تکهٔ آدرس، تراکنش آزمایشی، ذخیرهٔ دقیق در دفترچهٔ آدرس و خواندن صفحهٔ کیف سخت‌افزاری.
ما در ارزینجا تلاش کرده‌ایم مسیر برداشت شما روشن و قابل‌کنترل باشد. اپ را فقط از مسیرهای رسمی که بالاتر گفتیم نصب کنید، آدرس کیف‌تان را با همین روال در دفترچه ثبت کنید و اولین انتقال امن خود را از صفحهٔ خرید و برداشت تتر در ارزینجا شروع کنید. اگر جایی تردید داشتید، تیم پشتیبانی ما کنار شماست.
سوالات متداول
آیا آنتیویروس بدافزار کلیپبورد را تشخیص میدهد؟
نرمافزارهای امنیتی معتبر بسیاری از کلیپرهای شناختهشده را تشخیص میدهند؛ مثلاً مایکروسافت در ژوئن 2026 اعلام کرد Defender کلیپر USB تازه را با نام Trojan:Win32/CryptoBandits.A میشناسد. ولی کسپرسکی گزارش داد ۷۰٪ تشخیصهای یک نسخهٔ ClipBanker از ابزار پاکسازی دستگاههای ازقبلآلوده آمده است. پس آنتیویروس لازم است، ولی جای چک کردن آدرس پیش از ارسال را نمیگیرد.
آیا کلیپر روی مک بوک هم وجود دارد یا فقط مخصوص ویندوز است؟
بله، روی مک هم هست. چکپوینت در ژوئن 2026 کلیپری به زبان Rust را گزارش کرد که هم روی ویندوز و هم روی macOS اجرا میشد و در قالب ربات اسنایپر سولانا و ابزارهای «پیشبینی» پخش شده بود؛ به گفتهٔ همین گزارش، نسخهٔ مک آن بیش از ۱۲۵۰ بار از گیتهاب دانلود شده بود. هیچ سیستمعاملی بهتنهایی شما را مصون نمیکند.
آدرسی که کسی در تلگرام برایم فرستاده قابل اعتماد است؟
نه همیشه. ESET در 2023 نسخههای تروجانی تلگرام و واتساپ را پیدا کرد که از سایتهای کپی دانلود میشدند و آدرس کیف پول را داخل خود پیامهای چت با آدرس مهاجم عوض میکردند. پیامرسان را فقط از منبع رسمی نصب کنید و برای مبلغ بزرگ، آدرس را از راه دوم، مثلاً تماس صوتی یا دیدن صفحهٔ کیف گیرنده، هم تأیید کنید.
