هل محفظة Rabby آمنة؟

الإجابة المختصرة

محفظة Rabby الحقيقية، المثبّتة من المتاجر الرسمية، خيار متين للاستخدام اليومي على شبكات EVM، وفحوصها قبل التوقيع تجعلها عمليًا أكثر أمانًا من كثير من المحافظ. لكن "الأمان" يعتمد على طريقة استخدامك أكثر مما يعتمد على المحفظة: تنزيل نسخة مزيفة، أو كتابة عبارة الاسترداد في موقع ويب، أو منح موافقة غير محدودة لعقد استنزاف، كلها كفيلة بإفراغ أي محفظة. للمبالغ الكبيرة، استخدم Rabby مع محفظة أجهزة.

كيف تحمي Rabby مفاتيحك

• الحفظ الذاتي. تُولَّد عبارة الاسترداد والمفاتيح الخاصة على جهازك وتُخزَّن مشفّرة بكلمة مرورك. لا تحتفظ بها خوادم Rabby.
• كلمة مرور محلية. كلمة المرور تفتح المحفظة على ذلك الجهاز فقط. ليست كلمة مرور حساب ولا تستطيع استعادة أموالك في مكان آخر. إذا نسيتها، فاستعد المحفظة من عبارة الاسترداد (راجع نسيت كلمة مرور Rabby).
• خيار المحفظة الأجهزة. مع جهاز Ledger أو Trezor أو Keystone أو ما شابهه، لا تلمس المفاتيح جهاز الكمبيوتر أو الهاتف أبدًا؛ تكتفي Rabby بتجهيز المعاملات ليوقّعها الجهاز. راجع المحافظ الأجهزة في Rabby.
• فحوص ما قبل التوقيع. تحاكي Rabby كل معاملة وتعرض تغيّرات الرصيد المتوقعة، وتنبّهك إلى الموافقات الخطرة والمستلمين غير المألوفين والعقود المشبوهة. راجع محاكاة المعاملات.

مفتوحة المصدر

الشيفرة المصدرية للإضافة منشورة على GitHub بموجب ترخيص MIT، وشيفرة تطبيق الجوال منشورة في مستودع منفصل (دون ملف ترخيص، وفقًا لـ CryptoSlate، أكتوبر 2026). الشيفرة المنشورة تتيح للباحثين التحقق من طريقة تخزين المفاتيح. لكنها لا تثبت بحد ذاتها أن النسخة الموجودة في المتجر تطابق الشيفرة، ولهذا تهم التدقيقات والسجل الطويل أيضًا.

التدقيقات

تحتفظ Rabby بتقارير التدقيق في مجلد audits في مستودعها على GitHub، وتنشر Least Authority تقاريرها على موقعها الخاص.

المصادر: صفحات تدقيق Least Authority؛ ومجلد التدقيقات في GitHub الخاص بـ Rabby؛ ومراجعة CryptoSlate (المحدّثة في 24 أكتوبر 2026). لم نلخّص ملاحظات تقارير 2026 لأننا لم نتمكن من قراءتها كاملة. التدقيق مراجعة للشيفرة في لحظة زمنية معيّنة، وليس ضمانًا. الملاحظات غير المحلولة تعني أن المدققين رأوا مجالًا للتحسين لم تعتمده Rabby بعد عند نشر التقرير؛ ولا تعني أن الأموال كانت معرّضة لخطر ثغرة معروفة.

ثغرة Rabby Swap في أكتوبر 2022

أُطلقت Rabby Swap في 14 سبتمبر 2022. وفي 11 أكتوبر 2022 استغل مهاجم خللًا في عقد المبادلة سمح له بنقل الرموز من المستخدمين الذين وافقوا عليه، على عدة شبكات (The Block، 11 أكتوبر 2022). بلغت الخسائر المُبلَّغ عنها نحو 114 ETH و179 BNB، أي ما يقارب 200,000 دولار أمريكي في ذلك الوقت (Web3 Is Going Great؛ CryptoSlate). كان العقد قد دُقّق من قِبل PeckShield، التي لم تكتشف الخلل.

طلبت Rabby من كل من استخدم Swap إلغاء جميع الموافقات على جميع الشبكات، وقالت إن المحافظ التي لم تستخدم Swap قط لم تتأثر. ولم تتأثر المفاتيح الخاصة. تذكر بعض المراجعات اللاحقة أن الضحايا عُوّضوا، لكننا لم نجد بيان Rabby الأصلي بهذا الشأن. لا يمكن إيقاف العقد القديم مؤقتًا، لذا تبقى أي موافقة لا تزال تشير إليه خطرة. والدرس ينطبق على كل محفظة: الموافقة الممنوحة لعقد تبقى مفتوحة حتى تلغيها. افحص موافقاتك باستخدام شارح الموافقات وألغِ الموافقات القديمة. أحداث أخرى مدرجة في سجل أمان Rabby.

خلل التوقيع الصامت، أغسطس 2026

في أغسطس 2026 كشف الباحث الأمني V12 عن خلل في الإضافة: كان بإمكان موقع خبيث سبق أن اتصلت به الحصول على توقيع دون أن تراه، لكن فقط إذا كان القفل التلقائي مضبوطًا على 10 دقائق. ضمن إصلاح Rabby في الشيفرة ألّا يمكن الموافقة على طلب توقيع معلّق بمجرد فتح قفل المحفظة. صدرت الإضافة المُصلَحة في 11 أغسطس 2026؛ ولم يتأثر تطبيق الجوال ولم يُبلَّغ عن أي استغلال (TechFlow، 20 أغسطس 2026؛ GitHub الخاص بـ Rabby). أبقِ Rabby محدّثة.

في سبتمبر 2025، خلال هجوم واسع على حزم JavaScript شائعة، قالت Rabby إن محفظتها لم تتأثر لأنها تثبّت إصدارات اعتمادياتها (Rabby على X، 9 سبتمبر 2025، وفق تلخيص IQ.wiki).

الخطر الأكبر: محافظ Rabby المزيفة

يسبّب الانتحال خسائر مرتبطة بـ Rabby أكثر بكثير مما تسببه الأخطاء البرمجية:

• تطبيق مزيف على App Store (فبراير 2024). سرق تطبيق باسم "Rabby Wallet & Crypto Solution" من مطوّر يُدعى "Solution Development" عبارات الاسترداد قبل صدور تطبيق iOS الحقيقي لـ Rabby. حذّرت Rabby المستخدمين في 16 فبراير 2024 (ForkLog).
• إضافات Firefox مزيفة (2025 و2026). وجد باحثو Socket ثلاث عشرة نسخة معدّلة من Rabby بين 40 إضافة Firefox خبيثة كانت ترسل بيانات المحافظ إلى المهاجمين (The Hacker News، 20 أغسطس 2026)، وأربع نسخ مستنسخة أخرى من Rabby في أكتوبر 2026. ليست لدى Rabby إضافة Firefox رسمية.
• مواقع مزيفة. نتائج البحث عن Rabby مليئة بصفحات تنزيل مشابهة على خدمات استضافة مجانية ومنصات دورات ومواقع مخترقة.

التفاصيل وخطوات التعافي: احتيالات محافظ Rabby المزيفة.

علامات التحذير في نافذة التوقيع

تعطيك نافذة Rabby المنبثقة المعلومات؛ لكن عليك أن تقرأها. توقف وارفض إذا رأيت أيًّا مما يلي:

• رموز تخرج لم تكن تتوقعها، مثل "سك مجاني" (free mint) أو "مطالبة" (claim) تُظهر خروج ETH أو العملات المستقرة الخاصة بك.
• موافقة أو تصريح (permit) لرمز لم تكن تتداوله، خاصة إذا كانت لمبلغ غير محدود أو لجهة منفقة تصنّفها Rabby جديدة أو خطرة.
• طلب "الموافقة على الكل" (set approval for all) لمجموعة NFT على موقع لا تعرفه. فهو يسلّم كل رموز NFT في تلك المجموعة.
• توقيع خارج السلسلة (permit) لا تفهمه. توقيع رسالة قد يخوّل تحويلًا دون إنفاق أي غاز في تلك اللحظة.
• مستلم لأول مرة لعنوان ظننت أنك استخدمته من قبل. هذه العلامة الكلاسيكية لتسميم العناوين؛ قارن العنوان كاملًا باستخدام فاحص العناوين.
• موقع ليس الذي قصدت زيارته. تحقق من النطاق المعروض في الطلب.

قيود بصراحة

• إنها محفظة ساخنة. تعيش المفاتيح على جهاز متصل بالإنترنت. ولا تزال البرمجيات الخبيثة على الكمبيوتر أو الهاتف، أو إضافة متصفح خبيثة، قادرة على سرقتها.
• مخاطر المتصفح. كل إضافة أخرى تثبّتها تستطيع قراءة صفحات الويب وتغييرها، ويمكن أن يستولي المهاجمون على بعضها. قلّل عدد الإضافات.
• يمكن تجاهل التحذيرات. تتيح لك Rabby التوقيع رغم تحذيراتها، ولا يزال التوقيع الأعمى ممكنًا في المعاملات غير المعتادة.
• للمحاكاة حدود. تعرض ما سيحدث الآن؛ ولا تستطيع التنبؤ بما سيفعله عقد وافقت عليه لاحقًا، وقد لا تعمل على كل شبكة مخصصة.
• كلمات المرور الضعيفة تُضعف التشفير المحلي. استخدم كلمة مرور طويلة وفريدة.

كيف تستخدم Rabby بأمان

1. ثبّت فقط من المتاجر الرسمية. اكتب rabby.io بنفسك أو استخدم إشارة مرجعية، وتحقق من معرّف الإضافة acmacodkjbdgmoleebolmdjonilkdbch باستخدام أداة التحقق.
2. اكتب عبارة الاسترداد على ورق أو معدن واحتفظ بها دون اتصال بالإنترنت. راجع النسخ الاحتياطي لعبارة الاسترداد.
3. لا تكتب عبارة الاسترداد في موقع أو محادثة أو نموذج أبدًا. Rabby وDeBank لا تطلبانها أبدًا، والدعم الحقيقي لا يراسلك أولًا برسالة مباشرة إطلاقًا.
4. اقرأ معاينة تغيّر الرصيد في كل توقيع. توقف إذا أظهرت خروج رموز لم تكن تتوقعه.
5. تجنّب الموافقات غير المحدودة وألغِ الموافقات القديمة بانتظام.
6. استخدم محفظة أجهزة للمدخرات واحتفظ فقط بأموال الإنفاق في حساب ساخن.
7. أبقِ متصفحك وRabby محدّثين، واحذف الإضافات التي لا تحتاجها.

الأسئلة الشائعة