أمان عبارة الاسترداد: ما هي وكيف تحميها
عبارة الاسترداد (seed phrase) هي قائمة من 12 أو 20 أو 24 كلمة تستطيع إعادة إنشاء كل مفتاح في محفظتك. أي شخص يراها يمكنه الاستيلاء على أموالك، لذا اكتبها على ورق أو معدن، واحفظها دون اتصال وبعيدًا عن الأعين، ولا تكتبها أبدًا في أي موقع ولا تعطها لأي أحد، بما في ذلك فريق الدعم.
ما هي عبارة الاسترداد؟
تُرمّز عبارة الاسترداد رقمًا عشوائيًا كبيرًا في صورة كلمات يسهل على الإنسان قراءتها. تشتق محفظتك منها كل مفتاح خاص وكل عنوان، لكل شبكة تدعمها. تستخدم معظم المحافظ معيار BIP39، الذي يختار الكلمات من قائمة ثابتة تضم 2,048 كلمة إنجليزية. استعد العبارة نفسها في محفظة متوافقة وستظهر العناوين والأرصدة نفسها.
أسماء أخرى للشيء نفسه: عبارة الاسترداد، الكلمات المساعدة (mnemonic)، عبارة الاسترداد السرية (MetaMask)، عبارة النسخ الاحتياطي، الكلمات الـ24 (Ledger).
12 أو 24 كلمة (أو 20)
| الصيغة | مستوى الأمان | تُستخدم افتراضيًا في (أمثلة) |
|---|---|---|
| BIP39 من 12 كلمة | 128 بت | معظم المحافظ البرمجية، مثل MetaMask وTrust Wallet وPhantom |
| BIP39 من 24 كلمة | 256 بت | أجهزة Ledger، وTrezor Model One |
| SLIP-39 من 20 كلمة (حصة واحدة) | 128 بت؛ الكلمات الإضافية تخزّن بيانات وصفية ومجموعًا اختباريًا | Trezor Safe 3 (منذ يونيو 2024)، وSafe 5، وSafe 7 |
يصف دليل Trezor نفسه كل هذه الصيغ بأنها "آمنة للغاية": تخمين عبارة من 12 كلمة مولّدة عشوائيًا بشكل سليم أمر غير ممكن عمليًا (Trezor، تم التحقق في أكتوبر 2026). المخاطر الحقيقية هي عبارة لم تكن عشوائية (مولّد سيئ) أو عبارة رآها شخص آخر. تتضمن الكلمة الأخيرة في عبارة BIP39 مجموعًا اختباريًا، لذا يُكتشف الخطأ الإملائي العشوائي عادةً عند الاستعادة.
تسببت العشوائية الضعيفة في خسائر حقيقية: ثغرة Milk Sad في أداة bx seed (أكثر من 900 ألف دولار، أغسطس 2023)، وخلل الإنتروبيا في WebAssembly لدى Trust Wallet (نحو 170 ألف دولار، أبريل 2023)، وخطأ بناء البرنامج الثابت 4.0.1 لدى Coldcard الذي استُغل منذ 30 يوليو 2026 (نحو 116 مليون دولار وفق إحصاء TRM Labs). لا تستخدم أبدًا عبارة ولّدها موقع إلكتروني أو أعطاك إياها شخص آخر.
عبارة مرور BIP39 ("الكلمة الخامسة والعشرون")
تتيح لك محافظ كثيرة، منها Ledger وTrezor، إضافة عبارة مرور اختيارية فوق عبارة الاسترداد. كل عبارة مرور مختلفة تفتح محفظة مختلفة تمامًا. تحميك إذا عثر أحد على عبارتك المكتوبة، وتقول Trezor إنها تُبطل هجوم الاستخراج المادي الذي عرضه Kraken Security Labs على أجهزتها الأقدم في يناير 2020 (The Block، يناير 2020).
- الميزة: عبارة الاسترداد وحدها تصبح عديمة الفائدة لمن يعثر عليها.
- العيب: إذا نسيت عبارة المرور ضاعت الأموال. لا أحد يستطيع إعادة تعيينها.
- احفظ عبارة المرور منفصلة عن عبارة الاسترداد، وجرّب الاستعادة بمبلغ صغير أولًا.
كيف تحفظ عبارة الاسترداد
| الطريقة | التقييم |
|---|---|
| ورق مكتوب بخط اليد ومحفوظ بسرية | نقطة بداية جيدة؛ احمه من الماء والنار |
| لوح معدني أو فولاذ منقوش | الأفضل للحيازات طويلة الأجل؛ يصمد أمام الحريق والفيضان |
| نسختان في مكانين آمنين مختلفين | جيد ضد الضياع؛ لكن كل نسخة مكان إضافي يمكن العثور عليها فيه |
| صورة أو لقطة شاشة أو ملاحظات سحابية أو بريد إلكتروني أو محادثة | تجنّبها: البرمجيات الخبيثة والاستيلاء على الحسابات يستهدفانها |
| مدير كلمات المرور | تجنّبه للمبالغ الكبيرة؛ فقد سُرقت خزائن إلكترونية وكُسرت |
| التقسيم إلى نصفين | تجنّبه: يُضعف الأمان؛ استخدم بدلًا منه عبارة مرور أو حصص SLIP-39 أو التوقيع المتعدد |
للمبالغ الأكبر، فكّر في إزالة نقطة الفشل الوحيدة تمامًا: النسخ الاحتياطي متعدد الحصص من Trezor (SLIP-39)، أو حساب ذكي بتوقيع متعدد مثل Safe، أو خطة ميراث تُخبر شخصًا موثوقًا بمكان النسخة الاحتياطية دون أن تعطيه الكلمات اليوم.
عمليات احتيال تستهدف عبارة الاسترداد
- الدعم المزيف. حسابات على X وTelegram وDiscord ترد على الشكاوى وتوجّهك إلى نموذج "تحقق".
- الرسائل الورقية والبريد الإلكتروني. رسائل ورقية بترويسة مزيفة لـLedger وTrezor طالبت بفحص "إلزامي" عبر رمز QR (The Block، أبريل 2025؛ BleepingComputer، فبراير 2026). وفي سبتمبر 2026 أرسل مهاجمون اخترقوا مزوّد البريد الإلكتروني لدى Trezor، وهو Brevo، رسائل تصيّد من عنوان الدعم الحقيقي لـTrezor؛ وأغلقت Trezor الموقع خلال نحو 20 دقيقة (BleepingComputer، سبتمبر 2026).
- التطبيقات المزيفة. تطبيقات Ledger Live مزيفة على Microsoft Store (نحو 768 ألف دولار، أكتوبر 2023) وMac App Store (نحو 9.5 مليون دولار، أبريل 2026) طلبت من المستخدمين "الاستعادة" بعبارتهم. راجع تطبيقات المحافظ المزيفة.
- الأجهزة المعبوث بها. بطاقات استرداد معبأة مسبقًا داخل العلبة، أو أجهزة مشتراة من بائعين غير رسميين. المحفظة الأصلية تولّد لك دائمًا عبارة جديدة.
- برمجيات خبيثة تفحص الصور. استخدمت SparkCat التعرف على النصوص داخل الجهاز للعثور على صور عبارات الاسترداد (The Hacker News، فبراير 2025).
القاعدة: المكان الوحيد الذي يجوز أن تُكتب فيه عبارة الاسترداد هو المحفظة نفسها أثناء استعادة بدأتها أنت، ويُفضّل أن تكون محفظة أجهزة. لن يطلبها منك أي طرف شرعي أبدًا. إذا كنت تظن أن أحدًا رآها، فأنشئ محفظة جديدة الآن وانقل كل شيء.
الأسئلة الشائعة
هل عبارة الاسترداد المكونة من 12 كلمة آمنة بما يكفي؟
نعم، إذا ولّدتها محفظة موثوقة بشكل عشوائي. توفر عبارة BIP39 من 12 كلمة أمانًا بقوة 128 بت، وتصفها Trezor بأنها آمنة للغاية. السرقة والضياع هما الخطر الحقيقي، لا التخمين.
ما الفرق بين عبارة الاسترداد والمفتاح الخاص؟
المفتاح الخاص يتحكم في عنوان واحد. أما عبارة الاسترداد فتولّد مفاتيح خاصة كثيرة عبر شبكات كثيرة، لذا فهي نسخة احتياطية للمحفظة كاملة.
هل يمكنني استعادة محفظة دون عبارة الاسترداد؟
فقط إذا كانت المحفظة تستخدم طريقة استرداد أخرى، مثل حصص MPC أو بطاقات النسخ الاحتياطي أو حساب ذكي. أما في محفظة عبارة الاسترداد العادية فلا: لا أحد يستطيع إعادة تعيينها.
هل يجب أن أستخدم عبارة مرور BIP39؟
تضيف حماية قوية إذا عثر أحد على عبارتك المكتوبة، لكن إذا نسيتها ضاعت أموالك. استخدمها فقط إذا كنت قادرًا على نسخها احتياطيًا بشكل موثوق ومنفصل.
ماذا أفعل إذا كتبت عبارة الاسترداد في موقع إلكتروني؟
افترض أنها مخترقة. أنشئ محفظة جديدة تمامًا بعبارة جديدة على جهاز نظيف وانقل كل الأموال فورًا، بدءًا بالأعلى قيمة.
هل يمكنني حفظ عبارة الاسترداد في خزنة إيداع بنكية؟
كثيرون يفعلون ذلك. فهي تحمي من الحريق والسطو في المنزل، لكن ضع في حسبانك تأخر الوصول إليها ومن غيرك قد يتمكن من فتحها، واحتفظ بنسخة ثانية في مكان آخر.