أمان بوت التداول: دليل مفاتيح API والمصادقة الثنائية

عندما تربط بوت تداول بحساب المنصة الخاص بك، فأنت تمنح برنامجاً القدرة على شراء الأصول وبيعها نيابةً عنك، على مدار الساعة، وبلا إشراف. هذا مستوى استثنائي من الثقة، وهو يتطلب مستوى استثنائياً من الأمان.

الخبر السار أنه مع اتخاذ الاحتياطات الصحيحة، لا يكون التداول الآلي أكثر خطورة من التداول اليدوي من ناحية الأمان. بل هو أكثر أماناً في بعض النواحي، لأنك لا تسجّل الدخول إلى منصتك عبر شبكة Wi-Fi عامة أبداً، ولا ترسل أمر بيع سوقي بالخطأ في الساعة الثانية صباحاً، ومفتاح API المحدد الصلاحيات بشكل صحيح يقيّد فعلياً ما يمكن أن يحدث مقارنةً بالوصول الكامل إلى الحساب.

لكن إذا أخطأت في أساسيات الأمان، فإن العواقب تكون شديدة ولا رجعة فيها. في عالم الكريبتو، لا يوجد بنك تتصل به، ولا استرداد للمدفوعات تقدّم طلباً به، ولا وكيل تأمين ينقذك. فبمجرد أن تغادر الأموال حسابك، تكون قد ضاعت.

يغطي هذا الدليل كل ما تحتاج إلى معرفته للحفاظ على أمان إعداد بوت التداول لديك، بدءاً من إدارة مفاتيح API وصولاً إلى نظافة الأمان الشخصي وما يجب فعله إذا حدث خطأ ما.

---

لماذا يكون الأمان الأولوية رقم واحد في التداول الآلي

قبل مناقشة الاستراتيجيات أو الربحية أو أي منصة تختار، يجب أن يأتي الأمان أولاً. وإليك السبب:

المخاطر حقيقية

تعمل العملات المشفرة على سلاسل كتل لا رجعة فيها وشبه مجهولة. إذا حصل شخص ما على وصول غير مصرّح به إلى حساب منصتك أو مفاتيح API الخاصة بك ونقل أموالك، فلا يوجد زر للتراجع. وخلافاً للأنظمة المصرفية التقليدية، حيث يمكن غالباً عكس المعاملات الاحتيالية، فإن معاملات الكريبتو نهائية. وخطأ أمني واحد قد يؤدي إلى خسارة كاملة ودائمة للأموال.

أنت هدف

يستهدف المهاجمون المتطورون حاملي الكريبتو بشكل نشط. رسائل تصيّد إلكترونية تنتحل صفة المنصات، ومنصات بوتات مزيفة مصمَّمة لجمع مفاتيح API، وهجمات هندسة اجتماعية على وسائل التواصل الاجتماعي، وهجمات تبديل شريحة SIM لتجاوز التحقق عبر الرسائل النصية، فمشهد التهديدات واسع ومتطور باستمرار. ويضيف التداول الآلي سطح هجوم إضافياً، لأن مفاتيح API تصبح بيانات اعتماد جديدة قيّمة يجب حمايتها.

الأمان الجيد بسيط

الحقيقة المشجّعة أن الأمان القوي لا يتطلب معرفة تقنية متقدمة، بل يتطلب الانضباط، أي التطبيق المستمر لمجموعة صغيرة من الممارسات التي لا يجوز التهاون فيها. وتحتاج التدابير الواردة في هذا الدليل إلى دقائق للإعداد، وتوفر حماية دائمة.

---

أمان مفتاح API: خط دفاعك الأول

مفاتيح API هي الآلية التي يتواصل بها بوت التداول مع منصتك. وفهمها بعمق أمر أساسي لاستخدام البوتات بأمان.

ما هي مفاتيح API؟

مفتاح API هو زوج من بيانات الاعتماد، مفتاح عام (يُسمى أيضاً API Key) ومفتاح سري (يُسمى أيضاً API Secret)، يوثّقان طلبات البوت الخاص بك إلى المنصة. تخيّل المفتاح العام كاسم مستخدم، والمفتاح السري ككلمة مرور. ومعاً يثبتان للمنصة أن الطلب مصرّح به من قِبلك.

عندما يريد البوت وضع أمر، يرسل طلباً إلى المنصة موقّعاً بمفتاحك السري. تتحقق المنصة من التوقيع باستخدام مفتاحك العام. فإذا تطابقا، يُنفَّذ الأمر. وإذا لم يتطابقا، يُرفض.

تحديد الصلاحيات: أهم مفهوم

تتيح لك كل منصة كبرى ضبط صلاحيات محددة لكل مفتاح API. وهذا هو أساس أمان مفتاح API. وتشمل الصلاحيات الشائعة:

• القراءة / العرض: يمكنها عرض الأرصدة وسجل الأوامر وبيانات السوق
• التداول / تداول الفوري: يمكنها وضع أوامر الشراء والبيع وإلغاؤها
• تداول العقود الآجلة: يمكنها وضع أوامر العقود الآجلة والمشتقات وإلغاؤها
• السحب: يمكنها تحويل الأموال خارج المنصة إلى محافظ خارجية
• التحويل الداخلي: يمكنها نقل الأموال بين الحسابات الفرعية

القاعدة الذهبية: لا تفعّل صلاحيات السحب أبداً

لا يمكن التأكيد على هذا بما فيه الكفاية: لا تفعّل أبداً صلاحيات السحب على أي مفتاح API مرتبط بمنصة طرف ثالث. فلا توجد منصة بوتات شرعية تحتاج إلى القدرة على سحب أموالك من منصتك.

مع تعطيل صلاحيات السحب، يكون السيناريو الأسوأ على الإطلاق في حال تعرّض مفتاح API الخاص بك للاختراق هو أن يتمكن المهاجم من وضع صفقات على حسابك. ورغم أن هذا ليس مثالياً، تظل أموالك الأساسية على المنصة ولا يمكن تحويلها خارجها. هذا الإعداد الواحد هو الفرق بين «نفّذ المهاجم بعض الصفقات السيئة» و«أفرغ المهاجم حسابي بالكامل».

كيفية إنشاء مفتاح API آمن

إليك تعليمات خطوة بخطوة للمنصات الكبرى الثلاث:

Binance:

1. سجّل الدخول إلى حساب Binance الخاص بك وانتقل إلى Account ← API Management
2. انقر على Create API واختر System generated
3. سمِّ مفتاحك بوصف واضح (مثل: "Freya Finance Bot - May 2026")
4. أكمل التحقق عبر المصادقة الثنائية
5. ضمن API restrictions، حدّد فقط Enable Spot & Margin Trading
6. ضمن IP access restrictions، اختر Restrict access to trusted IPs only وأدخل عناوين IP لخوادم منصة البوت الخاصة بك
7. احفظ المفتاح العام (API Key) والمفتاح السري (Secret Key)، فالمفتاح السري يُعرض مرة واحدة فقط

Bybit:

1. سجّل الدخول واذهب إلى Profile ← API Management ← Create New Key
2. اختر System-generated API Keys
3. سمِّ مفتاحك بوصف واضح
4. ضمن API Key permissions، فعّل فقط Read-Write لـ Spot (أو Derivatives عند الحاجة)
5. تأكد من أن Withdraw غير محدد
6. ضمن IP Access، أضف عناوين IP الخاصة بمنصتك
7. أكمل التحقق عبر المصادقة الثنائية واحفظ مفاتيحك

OKX:

1. سجّل الدخول وانتقل إلى Profile ← API Keys ← Create API Key
2. أدخل اسماً وعبارة مرور (passphrase) (تتطلب OKX عبارة مرور لأمان إضافي، فاحفظها بشكل آمن)
3. ضمن Permissions، اختر فقط Trade
4. أضف عناوين IP الخاصة بمنصتك إلى القائمة الموثوقة
5. أكمل التحقق عبر المصادقة الثنائية
6. احفظ المفتاح العام (API Key) والمفتاح السري (Secret Key) وعبارة المرور (Passphrase)

قائمة IP الموثوقة: جعل المفاتيح المسروقة عديمة الفائدة

تقيّد قائمة IP الموثوقة مفتاح API الخاص بك بحيث لا يعمل إلا عندما تأتي الطلبات من عناوين IP محددة. حتى لو سرق مهاجم مفتاح API الخاص بك ومفتاحك السري، فلن يستطيع استخدامه من خوادمه الخاصة، لأن المنصة سترفض الطلبات القادمة من عناوين IP غير مصرّح بها.

كيف تعمل:

1. تعمل منصة البوت الخاصة بك على خوادم لها عناوين IP محددة وثابتة
2. تضيف عناوين IP تلك إلى القائمة الموثوقة لمفتاح API على المنصة
3. ترفض المنصة أي طلب API لا ينشأ من أحد عناوين IP الموثوقة تلك

تنشر معظم المنصات الموثوقة عناوين IP لخوادمها في وثائقها. وتوفّر Freya Finance عناوين IP لخوادمها أثناء عملية ربط مفتاح API، ما يجعل الإعداد سهلاً ومباشراً.

ملاحظات مهمة حول قائمة IP الموثوقة:

• إذا تغيّرت عناوين IP لمنصتك (نادراً، لكنه ممكن أثناء تحديثات البنية التحتية)، فستحتاج إلى تحديث قائمتك الموثوقة
• تجعل بعض المنصات، مثل Binance، قائمة IP الموثوقة اختيارية لكنها توصي بها بشدة. وقد تقيّد منصات أخرى وظائف المفتاح إذا لم يُضَف أي عنوان IP موثوق
• لا تحميك قائمة IP الموثوقة إذا تعرّضت منصة البوت نفسها للاختراق، بل تحميك إذا تسرّب مفتاحك بشكل منفصل (مثلاً عبر هجوم تصيّد أو اختراق بيانات على خدمة أخرى)

---

المصادقة الثنائية (2FA): خط دفاعك الثاني

تضيف المصادقة الثنائية خطوة تحقق ثانية إلى جانب كلمة المرور. فحتى لو حصل مهاجم على كلمة مرور منصتك، فلن يستطيع الوصول إلى حسابك دون العامل الثاني.

أنواع المصادقة الثنائية

ليست كل طرق المصادقة الثنائية متساوية في الأمان:

تطبيق المصادقة (موصى به ✅)

تطبيقات مثل Google Authenticator أو Authy أو Microsoft Authenticator تولّد كلمات مرور لمرة واحدة تعتمد على الوقت (TOTP) تتجدد كل 30 ثانية. تُولَّد هذه الرموز محلياً على جهازك ولا تُرسل أبداً عبر الشبكة، ما يجعلها مقاومة للاعتراض.

مفتاح أمان مادي (الأكثر أماناً 🔒)

الأجهزة المادية مثل YubiKey توفّر أعلى مستوى من أمان المصادقة. تُدخل المفتاح مادياً أو تلمسه للمصادقة. وهذه المفاتيح محصّنة ضد التصيّد لأن المفتاح يتحقق من هوية الموقع قبل الاستجابة. وتدعم جميع المنصات الكبرى مفاتيح FIDO2/WebAuthn المادية.

المصادقة الثنائية عبر الرسائل النصية (غير موصى بها ⚠️)

تُرسَل رموز الرسائل النصية إلى رقم هاتفك عبر رسالة نصية. ورغم أنها أفضل من لا شيء، فإن الرسائل النصية عرضة لـهجمات تبديل شريحة SIM، حيث يقنع المهاجم مشغّل الهاتف المحمول بنقل رقم هاتفك إلى شريحته الخاصة. وفي مجتمع الكريبتو، تُعدّ هجمات تبديل شريحة SIM شائعة على نحو مقلق وأدّت إلى خسائر بملايين الدولارات.

المصادقة الثنائية عبر البريد الإلكتروني (مقبولة للاستخدام منخفض المخاطر)

رموز تُرسَل إلى عنوان بريدك الإلكتروني. أكثر أماناً من الرسائل النصية (يمكن تحصين حسابات البريد الإلكتروني بمصادقتها الثنائية الخاصة)، لكنها أقل راحة وأقل أماناً من تطبيقات المصادقة.

إعداد المصادقة الثنائية عبر تطبيق المصادقة

1. نزّل تطبيق مصادقة: Google Authenticator أو Authy أو Microsoft Authenticator. يتميز Authy بأنه يدعم النسخ الاحتياطي السحابي المشفّر، فيمكنك استعادة الرموز إذا فقدت هاتفك.
2. اذهب إلى إعدادات الأمان في منصتك واختر "Enable Authenticator App" أو "Enable Google 2FA"
3. امسح رمز QR الذي تعرضه المنصة باستخدام تطبيق المصادقة
4. بالغ الأهمية: احفظ مفتاح النسخ الاحتياطي/الاسترداد. هذه سلسلة من الأحرف (عادةً 16-32 حرفاً) تُعرض إلى جانب رمز QR. اكتبها على ورقة واحفظها في مكان آمن مادياً. إذا فقدت هاتفك دون هذا المفتاح، فقد تبقى محروماً من الوصول إلى حسابك لأسابيع بينما يتحقق الدعم من هويتك.
5. أدخل الرمز المكوّن من 6 أرقام من تطبيق المصادقة لتأكيد الإعداد
6. اختبره بتسجيل الخروج ثم تسجيل الدخول مجدداً للتأكد من أن المصادقة الثنائية تعمل بشكل صحيح

---

أمان المنصة: اختيار منصة تداول آمنة

بوت التداول الخاص بك آمن بقدر أمان المنصة المرتبط بها فقط. وإليك ما يجب تقييمه:

نماذج الحيازة

• المنصات المركزية (CEX): تحتفظ منصات مثل Binance وBybit وOKX وما شابهها بأموالك في حيازتها. هذا مريح لكنه يعني أنك تثق بالمنصة لحماية أصولك. اختر منصات ذات سجل قوي وبنية أمان متينة.
• المنصات اللامركزية (DEX): تحتفظ بحيازة أموالك بنفسك عبر محفظة شخصية. ورغم أن هذا يزيل مخاطر المنصة، فإنه يقدّم مخاطر أخرى (ثغرات العقود الذكية، معاملات الموافقة الاحتيالية عبر التصيّد)، ومعظم منصات بوتات التداول لا تدعم التداول على المنصات اللامركزية بعد.

ما الذي تبحث عنه في المنصة

• إثبات الاحتياطيات (PoR): تقارير منتظمة ومدقّقة بشكل مستقل تثبت أن المنصة تحتفظ بأصول كافية لتغطية جميع ودائع المستخدمين. بعد انهيار FTX عام 2022، أصبح إثبات الاحتياطيات معياراً في القطاع. وتنشر Binance وBybit وOKX جميعها تقارير إثبات الاحتياطيات.
• صندوق التأمين / SAFU: أموال مخصصة جانباً لتغطية خسائر المستخدمين في حال حدوث اختراق أمني. وكان صندوق Binance المسمى SAFU (صندوق الأصول الآمن للمستخدمين) من أوائل هذه الصناديق، وهو يحتفظ بأكثر من مليار دولار في الاحتياطيات.
• التخزين البارد: يجب تخزين غالبية أموال المستخدمين في محافظ باردة غير متصلة بالإنترنت ومعزولة تماماً. وتحتفظ المنصات الموثوقة بنسبة 90-95% من الأموال في التخزين البارد.
• برامج مكافآت اكتشاف الثغرات: المنصات التي تدفع لباحثي الأمن مقابل الكشف المسؤول عن الثغرات تميل إلى امتلاك وضع أمني أقوى من تلك التي لا تفعل ذلك.
• الامتثال التنظيمي: المنصات التي تعمل ضمن أطر تنظيمية (مثل حيازة تراخيص في الاتحاد الأوروبي أو الإمارات أو اليابان) تخضع لرقابة مستمرة وتحافظ عادةً على معايير أمان أعلى.

أعدّ رمز مكافحة التصيّد في منصتك

توفّر المنصات الكبرى الثلاث جميعها رمز مكافحة التصيّد، وهو عبارة مخصصة تظهر في كل بريد إلكتروني شرعي من المنصة. فإذا تلقّيت بريداً إلكترونياً يدّعي أنه من منصتك لكنه يخلو من هذا الرمز، فهو محاولة تصيّد. أعدّ هذا فوراً:

• Binance: Security ← Anti-Phishing Code
• Bybit: Account & Security ← Anti-Phishing Code
• OKX: Security ← Anti-Phishing Code

---

أمان المنصة: ما يجب أن تطالب به مزوّد البوت الخاص بك

اختيار منصة بوت آمنة وجديرة بالثقة أمر بالغ الأهمية. وإليك كيف تبدو المنصة الآمنة، وعلامات الخطر التي يجب أن تدفعك للابتعاد.

ما توفّره المنصة الآمنة

لا حيازة للأموال

يجب أن تتصل المنصة بمنصتك عبر مفاتيح API فقط. تبقى أموالك على المنصة في جميع الأوقات. ولا تحتفظ منصة البوت أبداً بعملاتك المشفرة أو تحوّلها أو تصل إليها مباشرةً. فإذا طلبت منك منصة بوت إيداع أموال في منصتها، فهذا نموذج حيازة، وطبقة مخاطر إضافية.

تخزين مشفّر لمفاتيح API

يجب تشفير مفاتيح API الخاصة بك أثناء التخزين باستخدام تشفير قوي وفق معايير القطاع، وإدارتها عبر خدمة مخصصة وآمنة لإدارة المفاتيح. ويجب ألا يتمكن موظفو المنصة من رؤية مفاتيح API الخاصة بك كنص عادي.

سجلات التدقيق

كل إجراء يتخذه البوت، من كل أمر يُوضع إلى كل مركز يُفتح ويُغلق، يجب أن يُسجَّل ويكون مرئياً لك. هذه الشفافية تتيح لك التحقق من أن البوت يفعل بالضبط ما ينبغي له ولا شيء أكثر.

التحكم في الوصول القائم على الأدوار

إذا كانت المنصة تقدّم حسابات فرق أو حسابات مؤسسية، فيجب أن تدعم صلاحيات قائمة على الأدوار. فليس كل فرد في الفريق بحاجة إلى القدرة على إنشاء روابط مفاتيح API أو تعديلها.

تدقيقات أمنية منتظمة

تخضع المنصات الموثوقة لتدقيقات أمنية منتظمة من طرف ثالث ولاختبارات اختراق. ابحث عن المنصات الشفافة بشأن ممارساتها الأمنية.

علامات الخطر التي يجب الانتباه لها

• ❌ تتطلب صلاحيات السحب على مفاتيح API
• ❌ تطلب كلمة مرور منصتك: لا توجد منصة تحتاج إلى هذا أبداً
• ❌ تطلب منك إيداع أموال في منصة البوت نفسها
• ❌ لا خيار للمصادقة الثنائية في تسجيل الدخول الخاص بالمنصة نفسها
• ❌ تضمن عوائد محددة: لا توجد منصة شرعية تفعل هذا
• ❌ لا معلومات واضحة عن الشركة: الفرق المجهولة تشكّل خطراً
• ❌ لا وثائق عامة حول الممارسات الأمنية
• ❌ أساليب الضغط: عبارات مثل "استثمر الآن أو تفوتك الفرصة"

---

عمليات الاحتيال الشائعة وعلامات الخطر في مجال بوتات التداول

يجذب مجال بوتات الكريبتو المحتالين لأنه يجمع بين شيئين يعشقونهما: أشخاص متلهفون لكسب المال، وتقنية لا يفهمها معظم الناس فهماً كاملاً. وإليك أكثر عمليات الاحتيال شيوعاً:

1. منصات البوتات المزيفة

يُنشئ المحتالون مواقع تبدو احترافية تُعلن عن بوتات تداول "مدعومة بالذكاء الاصطناعي" بعوائد مضمونة. وقد يعرضون شهادات مزيفة ولقطات شاشة ملفّقة للأرباح، بل ولوحات معلومات حية مزيفة تعرض صفقات وهمية. والهدف هو دفعك لإيداع أموال أو تقديم مفاتيح API مع تفعيل صلاحيات السحب.

كيف تكتشفها:

• وعود بعوائد مضمونة أو مرتفعة على نحو غير معتاد (مثل "50% شهرياً مضمونة")
• لا سجل يمكن التحقق منه أو تسجيل للشركة
• ضغط لـ"التصرف الآن" قبل انتهاء الفرصة
• تقبل الودائع فقط، وتختلق الأعذار عندما تحاول السحب

2. تصيّد مفاتيح API

يرسل المهاجمون رسائل بريد إلكتروني أو رسائل تنتحل صفة منصات شرعية، وتطلب منك "إعادة ربط" أو "تحديث" مفاتيح API عبر إدخالها في موقع مزيف. ويلتقط الموقع المزيف بيانات اعتمادك.

كيف تحمي نفسك:

• انتقل دائماً إلى المنصات بكتابة الرابط مباشرةً، ولا تنقر أبداً على روابط في رسائل البريد الإلكتروني
• تحقق بعناية من الرابط في شريط عنوان متصفحك (يستخدم المهاجمون نطاقات مشابهة مثل "binanсe.com" بأحرف سيريلية)
• أعدّ رموز مكافحة التصيّد على منصتك حتى تتمكن من التحقق من الرسائل الشرعية

3. انتحال الصفة على وسائل التواصل الاجتماعي

ينتحل المحتالون صفة موظفي دعم منصة شرعية على Telegram أو Discord أو Twitter أو Reddit. سيراسلونك بشكل خاص عارضين "المساعدة"، ثم يطلبون في النهاية مفاتيح API أو كلمات مرور أو عبارات استرداد المحفظة.

كيف تحمي نفسك:

• فرق الدعم الشرعية لن تراسلك بشكل خاص أولاً أبداً
• لا تشارك أبداً مفاتيح API أو كلمات المرور أو عبارات الاسترداد في أي تطبيق مراسلة
• استخدم فقط قنوات الدعم الرسمية المدرجة على موقع المنصة

4. عمليات احتيال "انسخ بوتي"

يعرض شخص ما على وسائل التواصل الاجتماعي لقطات شاشة مبهرة للأرباح ويعرض مشاركة إعداد بوته، لكن فقط إذا استخدمت رابط إحالته إلى منصة مشبوهة، أو إذا أرسلت له "رسوم إعداد" بالكريبتو.

كيف تحمي نفسك:

• يمكن تلفيق لقطات شاشة الأرباح بسهولة
• منصات السوق الشرعية مثل تلك الموجودة على Freya Finance تتعامل مع مشاركة الإعدادات بشفافية داخل المنصة
• لا ترسل الكريبتو لأي شخص أبداً كـ"رسوم" مقابل الوصول إلى بوت تداول

5. بوتات مخطط بونزي

منصات تدّعي تشغيل بوتات تداول لكنها في الواقع تدفع "عوائد" من ودائع المستثمرين الجدد. وتنهار هذه عندما تتباطأ الودائع الجديدة، ويخسر معظم المشاركين كل شيء.

كيف تكتشفها:

• العوائد متسقة على نحو مريب (التداول الحقيقي يشهد تراجعات)
• تركيز كبير على "مكافآت الإحالة" وتجنيد مستخدمين جدد
• تفسير غامض أو معدوم لاستراتيجيات التداول الفعلية
• لا تستطيع تقديم سجل تداول قابل للتحقق على المنصة

---

نظافة الأمان الشخصي

تدابير الأمان التقنية قوية بقدر قوة عاداتك الشخصية فقط. وتستغرق هذه الممارسات دقائق للتنفيذ وتقلّل بشكل كبير من سطح هجومك.

استخدم عنوان بريد إلكتروني مخصصاً

أنشئ عنوان بريد إلكتروني منفصلاً يُستخدم حصرياً لحسابات منصاتك وتسجيلات منصات التداول. يجب أن يكون هذا البريد:

• ليس بريدك الشخصي أو بريد عملك
• غير مرتبط علناً بهويتك
• يستخدم كلمة مرور قوية وفريدة
• مفعّلة عليه المصادقة الثنائية القائمة على تطبيق مصادقة
• غير مستخدم لوسائل التواصل الاجتماعي أو النشرات البريدية أو أي شيء آخر

هذا العزل يعني أنه إذا تعرّض بريدك الرئيسي للاختراق في تسريب بيانات، تظل حسابات منصاتك غير متأثرة.

استخدم مدير كلمات مرور

يجب أن يكون لكل حساب كلمة مرور فريدة ومولّدة عشوائياً بطول 16 حرفاً على الأقل. لا يمكنك واقعياً حفظ كلمات مرور فريدة ومعقدة لكل خدمة، لذا استخدم مدير كلمات مرور مثل 1Password أو Bitwarden أو KeePass.

ما يجب أن يخزّنه مدير كلمات المرور:

• بيانات اعتماد تسجيل الدخول إلى المنصات
• بيانات اعتماد تسجيل الدخول إلى منصة البوت
• رموز النسخ الاحتياطي/الاسترداد للمصادقة الثنائية (في ملاحظات آمنة)
• أسماء مفاتيح API وتواريخ إنشائها (لكن فكّر في الاحتفاظ بالمفاتيح السرية الفعلية في مكان منفصل وأكثر أماناً)

كن مبالغاً في الحذر من التصيّد

التصيّد هو ناقل الهجوم رقم واحد في الكريبتو. فالمهاجمون لا يحتاجون إلى اختراق المنصة، بل يحتاجون فقط إلى خداعك أنت.

قواعد للالتزام بها:

• أضف إلى المفضلة روابط منصتك ومنصات التداول واصل إليها دائماً من المفضلة
• لا تنقر أبداً على روابط في رسائل بريد إلكتروني تدّعي أنها من المنصات، بل اذهب إلى الموقع مباشرةً
• تحقق من الروابط حرفاً بحرف قبل إدخال بيانات الاعتماد
• اشكّ في أي رسالة تخلق إحساساً بالإلحاح ("سيُقفل حسابك خلال 24 ساعة!")
• لا تشارك أبداً مفتاحك السري أو كلمات مرورك أو عبارات الاسترداد أو رموز المصادقة الثنائية مع أي شخص، ولا حتى مع "الدعم"

أمّن أجهزتك

• أبقِ نظام تشغيلك وتطبيقاتك محدّثة، فترقيعات الأمان مهمة
• استخدم تشفير القرص الكامل (FileVault على Mac، وBitLocker على Windows)
• لا تثبّت امتدادات المتصفح من مصادر مجهولة، فالامتدادات الخبيثة يمكنها قراءة محتويات الحافظة وحقن أكواد في صفحات الويب
• استخدم برنامج مكافحة فيروسات موثوقاً وأبقِه محدّثاً
• اقفل هاتفك بالمقاييس الحيوية ورقم PIN قوي، فتطبيق المصادقة موجود على هذا الجهاز

---

ما يجب فعله إذا اشتبهت في حدوث اختراق أمني

إذا كنت تعتقد أن مفاتيح API الخاصة بك أو حساب منصتك أو حساب منصة البوت قد تعرّض للاختراق، فتصرّف فوراً. السرعة مهمة، فكل دقيقة تتأخرها هي دقيقة يمكن للمهاجم أن يعمل فيها.

الاستجابة الفورية (أول 5 دقائق)

الخطوة 1: احذف جميع مفاتيح API على منصتك

سجّل الدخول إلى منصتك مباشرةً (وليس عبر أي روابط) واحذف كل مفتاح API فوراً. هذا يلغي فوراً كل وصول للطرف الثالث إلى حسابك، بما في ذلك منصة البوت الخاصة بك. يمكنك إعادة إنشاء المفاتيح لاحقاً، فالأولوية الآن هي الاحتواء.

الخطوة 2: غيّر كلمة مرور منصتك

غيّر كلمة مرور منصتك إلى كلمة مرور جديدة وفريدة ومولّدة عشوائياً. افعل ذلك من جهاز تثق به، ويُفضّل ألا يكون الجهاز نفسه الذي ربما حدث فيه الاختراق.

الخطوة 3: راجع الأوامر والمراكز المفتوحة

تحقق من أي أوامر أو مراكز لم تنشئها. ألغِ أي أوامر مفتوحة مشبوهة فوراً. وأغلق أي مراكز فُتحت دون علمك.

الخطوة 4: عطّل عمليات السحب (إن أمكن)

تتيح بعض المنصات تجميد عمليات السحب لفترة (مثل قفل السحب لمدة 24 ساعة على Binance بعد تغييرات الأمان). فعّل هذا إن كان متاحاً.

التحقيق (الـ30 دقيقة التالية)

الخطوة 5: راجع سجلات وصول مفتاح API

تحقق من سجلات وصول API في منصتك بحثاً عن طلبات من عناوين IP غير مألوفة. هذا يساعد على تحديد ما إذا كان مفتاح API قد استُخدم فعلاً من قِبل مهاجم أو ما إذا كان التهديد قد احتُوي.

الخطوة 6: راجع سجل تسجيل الدخول

تحقق من سجل تسجيل الدخول في منصتك بحثاً عن أجهزة أو مواقع أو عناوين IP غير مألوفة. فإذا رأيت عمليات تسجيل دخول غير مصرّح بها، فقد تكون بيانات اعتماد حسابك (وليس مفاتيح API فقط) قد تعرّضت للاختراق.

الخطوة 7: تحقق من حساب بريدك الإلكتروني

إذا تعرّض حساب منصتك للاختراق، فقد يكون بريدك الإلكتروني مخترقاً أيضاً. تحقق من نشاط تسجيل دخول مشبوه، أو قواعد إعادة توجيه غير مصرّح بها، أو تطبيقات مرتبطة غير مألوفة. غيّر كلمة مرور بريدك وراجع إعدادات المصادقة الثنائية.

الخطوة 8: افحص أجهزتك

شغّل فحصاً كاملاً للبرمجيات الخبيثة على أي جهاز استخدمته للوصول إلى منصتك أو منصة البوت.

الاستعادة (بعد الاحتواء)

الخطوة 9: تواصل مع دعم المنصة

أبلغ عن الحادثة لفريق الدعم الرسمي في منصتك مع تفاصيل أي نشاط غير مصرّح به.

الخطوة 10: أعد إنشاء مفاتيح API بأمان أكثر إحكاماً

بمجرد أن تتحقق من أن حسابك آمن، أنشئ مفاتيح API جديدة مع قائمة IP الموثوقة والحد الأدنى من الصلاحيات المطلوبة.

الخطوة 11: وثّق كل شيء

احتفظ بسجل للتسلسل الزمني، وما لاحظته، والإجراءات التي اتخذتها. هذا يساعد في أي تحقيقات للدعم، وهو مهم إذا احتجت إلى إبلاغ السلطات عن الحادثة.

---

إدارة المخاطر: الأمان الذي تبنيه في استراتيجيتك

الأمان لا يتعلق فقط بمنع الوصول غير المصرّح به، بل يتعلق أيضاً بحماية نفسك من الخسائر المفرطة الناجمة عن مخاطر السوق. وإدارة المخاطر السليمة شكل من أشكال الأمان المالي.

تحديد حجم المركز

لا تخصص أبداً رصيد تداولك بالكامل لبوت واحد أو زوج تداول واحد. وكقاعدة عامة:

• التخصيص لكل بوت: لا أكثر من 10-20% من إجمالي رأس مال تداولك لكل بوت
• التخصيص لكل زوج: لا أكثر من 25-30% من رأس مالك في أي زوج تداول واحد
• إجمالي التخصيص النشط: أبقِ 20-30% من رصيدك احتياطياً لظروف السوق غير المتوقعة

أوامر إيقاف الخسارة لا يجوز التهاون فيها

يجب أن يكون لكل بوت أمر إيقاف خسارة (Stop Loss) مُعدّ. يغلق أمر إيقاف الخسارة مركزك تلقائياً إذا تجاوزت الخسارة حداً محدداً مسبقاً، ما يمنع صفقة سيئة من أن تصبح كارثية.

نعم، تعني أوامر إيقاف الخسارة أنك ستُغلق أحياناً قبل تعافي السوق. هذه تكلفة التأمين. أما الصفقات التي ينقذك فيها أمر إيقاف الخسارة من تراجع بنسبة 70-80% على أصل ينهار، فتستحق كل خروج مبكر.

التنويع

لا تشغّل خمسة بوتات كلها تتداول الأصل نفسه. فإذا انهار BTC بنسبة 20%، ستكون البوتات الخمسة جميعها في مأزق في وقت واحد. وزّع بوتاتك عبر:

• أزواج تداول مختلفة (BTC، ETH، SOL، إلخ)
• استراتيجيات مختلفة (DCA، الشبكة، القائمة على الإشارات)
• أطر زمنية مختلفة (قصيرة المدى وأطول مدى)

ابدأ صغيراً ووسّع تدريجياً

ابدأ بمبلغ صغير من رأس المال بينما تتعلّم كيف تتصرف بوتاتك. وزِد تخصيصك فقط بعد أن تلاحظ أداءً متسقاً عبر ظروف سوق مختلفة. الاختبار الرجعي يساعد على التحقق من الاستراتيجيات، لكن التداول الحي بمبالغ صغيرة يؤكدها.

المراجعات المنتظمة

جدوِل مراجعات أسبوعية لأداء بوتاتك. الأسواق تتغير، واستراتيجية نجحت الشهر الماضي قد تضعف هذا الشهر. كن مستعداً لـتعديل البوتات أو تحسينها أو إيقافها بناءً على الظروف الحالية، وليس النتائج السابقة.

للحصول على دليل شامل حول الربحية وتوقعات العوائد الواقعية، راجع هل بوتات تداول الكريبتو مربحة فعلاً؟.

---

الأسئلة الشائعة

هل يمكن لأحد سرقة أموالي إذا حصل على مفتاح API الخاص بي؟

إذا كان مفتاح API الخاص بك معطّلة عنه صلاحيات السحب (كما هو موصى به)، فلن يستطيع المهاجم سحب أموالك من المنصة. قد يتمكن من وضع صفقات على حسابك، لكن مبلغك الأساسي يبقى على المنصة. وإذا فعّلت أيضاً قائمة IP الموثوقة، فإن مفتاح API المسروق يصبح عديم الفائدة أساساً، لأن المنصة سترفض الطلبات من عناوين IP غير مصرّح بها.

هل استخدام منصة بوت تداول آمن؟

نعم، شرط أن تختار منصة موثوقة وتتبع الممارسات الأمنية في هذا الدليل. والمتطلبات الأساسية هي: ألا تطلب المنصة أبداً صلاحيات السحب، وألا تحوز أموالك أبداً، وأن تشفّر مفاتيح API الخاصة بك أثناء التخزين، وأن تدعم المصادقة الثنائية. ومنصات مثل Freya Finance تستوفي كل هذه المعايير. وللمساعدة في اختيار منصة، راجع دليل مقارنة المنصات لدينا.

هل أستخدم الرسائل النصية أم تطبيق مصادقة للمصادقة الثنائية؟

استخدم دائماً تطبيق مصادقة (مثل Google Authenticator أو Authy) بدلاً من الرسائل النصية. فالرسائل النصية عرضة لهجمات تبديل شريحة SIM، حيث يقنع المهاجم مشغّل هاتفك المحمول بنقل رقم هاتفك إلى شريحته الخاصة. أما تطبيقات المصادقة فتولّد الرموز محلياً على جهازك ولا تعتمد على رقم هاتفك، ما يجعلها محصّنة ضد هجمات تبديل شريحة SIM.

كم مرة يجب أن أبدّل مفاتيح API الخاصة بي؟

لا توجد قاعدة عامة، لكن تبديل مفاتيح API كل 3-6 أشهر ممارسة معقولة. كما يجب أن تبدّل المفاتيح فوراً إذا: اشتبهت في أي اختراق أمني، أو ألغيت وصول منصة ما، أو أبلغت المنصة عن حادثة أمنية. وعند التبديل، أنشئ مفتاحاً جديداً أولاً، وحدّث المنصة، وتحقق من أنه يعمل، ثم احذف المفتاح القديم.

ماذا يحدث لبوتاتي إذا حذفت مفاتيح API؟

ستفقد بوتاتك فوراً اتصالها بالمنصة وتتوقف عن وضع أوامر جديدة. لكن أي أوامر وُضعت بالفعل على المنصة ستبقى نشطة حتى تُنفَّذ أو تنتهي صلاحيتها. بعد حذف مفاتيح API، سجّل الدخول إلى منصتك وراجع يدوياً أي أوامر مفتوحة. وعندما تنشئ مفاتيح API جديدة، ستحتاج إلى إعادة ربطها بمنصة البوت الخاصة بك.

هل توجد قوانين أو لوائح بشأن بوتات تداول الكريبتو؟

بوتات التداول قانونية في معظم الولايات القضائية، فهي ببساطة أدوات برمجية تؤتمت إجراءات يمكنك تنفيذها يدوياً. لكن استخدام البوتات للتلاعب بالسوق (التداول الوهمي، والتلاعب بالأوامر، ومخططات الضخ والتفريغ) غير قانوني على المنصات المنظّمة. وتختلف اللوائح من دولة إلى أخرى، فتحقق من قوانينك المحلية. والبوتات والاستراتيجيات التي نناقشها في هذا الدليل وعلى Freya Finance مصممة لاستراتيجيات تداول شرعية مثل DCA وتداول الشبكة.

هل تقيّم جانب المنصة من المعادلة أيضاً؟ هل Freya Finance شرعية وآمنة؟ يغطي نموذج الأمان الخاص بـ Freya وتصميمها غير الحائز للأموال.

---