ایران اکسچنج
ثبت‌نام امن در صرافی خارجی؛ راهنمای ساخت حساب در ۲۰۲۶
فائزه سوری
زمان تقریبی مطالعه: 7 دقیقه
فهرست عناوین
ثبت‌نام در صرافی خارجی در سال ۲۰۲۶ فقط واردکردن ایمیل و ساخت رمز عبور نیست. قبل از ایجاد حساب باید بررسی کنید که سرویس موردنظر با کشور محل اقامت و مدارک واقعی شما سازگار است، چه سطحی از KYC برای واریز و برداشت می‌خواهد و چه ابزارهای امنیتی مانند Passkey، 2FA، کلید امنیتی، Anti-Phishing Code و Address Whitelist ارائه می‌کند.
نسخه قدیمی این مقاله آموزش ثبت‌نام در یک صرافی مشخص را ارائه می‌کرد و حتی استفاده از IP خارجی را برای کاهش ریسک مسدودشدن توصیه می‌کرد. در نسخه ۲۰۲۶ این رویکرد حذف شده است. اگر یک سرویس محل اقامت ایران را در Terms خود نپذیرد، تغییر موقعیت اینترنتی وضعیت قراردادی حساب را تغییر نمی‌دهد.
قبل از ثبت‌نام در صرافی خارجی چه چیزهایی را بررسی کنیم؟
بهتر است بررسی‌های اصلی را قبل از واریز سرمایه انجام دهید، نه بعد از ساخت حساب. حداقل این موارد را کنترل کنید:
- کشورهای مجاز و Restricted Jurisdictions؛
- الزامات KYC و مدارک قابل قبول؛
- شرایط برداشت و Re-verification؛
- کارمزد معامله و برداشت؛
- شبکه‌های واریز و برداشت؛
- روش‌های 2FA یا Passkey؛
- سیاست بازیابی حساب؛
- شرایط مسدودسازی یا بستن حساب.
اگر شرایط استفاده درباره محل اقامت شما شفاف نیست، پیش از واریز مبلغ قابل توجه از پشتیبانی رسمی پاسخ بگیرید.
مرحله اول: فقط از دامنه یا اپلیکیشن رسمی وارد شوید
یکی از ساده‌ترین روش‌های سرقت حساب، ساخت صفحه‌ای است که ظاهر سایت اصلی را تقلید می‌کند. کاربر ایمیل، رمز عبور و حتی کد 2FA را در صفحه جعلی وارد می‌کند و مهاجم همان لحظه از اطلاعات استفاده می‌کند.
قبل از ثبت‌نام، دامنه را مستقیماً از منبع رسمی بررسی کنید. به لینک‌های تبلیغاتی، پیام خصوصی شبکه‌های اجتماعی یا لینک‌های ارسال‌شده توسط افراد ناشناس اعتماد نکنید.
اگر اپلیکیشن استفاده می‌کنید، آن را از فروشگاه رسمی سیستم‌عامل یا لینک موجود در سایت رسمی دریافت کنید؛ فایل نصب ارسال‌شده در کانال یا پیام‌رسان می‌تواند نسخه دستکاری‌شده باشد.
مرحله دوم: ایمیل جداگانه برای حساب مالی بسازید
استفاده از یک ایمیل جداگانه برای حساب‌های مالی می‌تواند سطح حمله را کاهش دهد. این ایمیل بهتر است در شبکه‌های اجتماعی، خبرنامه‌ها و سرویس‌های عمومی استفاده نشود.
خود حساب ایمیل نیز باید 2FA یا Passkey فعال داشته باشد؛ چون در بسیاری از سرویس‌ها، بازیابی رمز عبور از طریق ایمیل انجام می‌شود. اگر مهاجم کنترل ایمیل را به دست بگیرد، امنیت صرافی نیز ممکن است دور زده شود.
مرحله سوم: رمز عبور منحصربه‌فرد بسازید
رمز عبور صرافی نباید در هیچ سایت دیگری تکرار شود. اگر یک سرویس دیگر دچار نشت داده شود، مهاجم می‌تواند همان ترکیب ایمیل و رمز را روی حساب مالی امتحان کند؛ این حمله Credential Stuffing نام دارد.
استفاده از Password Manager برای ساخت و نگهداری رمزهای طولانی و منحصربه‌فرد، از حفظ‌کردن چند رمز مشابه امن‌تر است. رمز عبور را در فایل متنی بدون رمزگذاری، Notes عمومی یا پیام‌رسان ذخیره نکنید.
مرحله چهارم: اگر Passkey وجود دارد، آن را در اولویت قرار دهید
Passkey بر پایه استانداردهای FIDO ساخته شده و برخلاف رمز عبور و کد یک‌بارمصرف، به دامنه واقعی سرویس متصل است. این ویژگی باعث می‌شود کاربر نتواند Passkey را روی یک دامنه فیشینگ مشابه استفاده کند.
در سال ۲۰۲۶، راهنمای منتشرشده درباره توصیه NCSC نیز استفاده از Passkey را در سرویس‌های پشتیبان توصیه می‌کند و برای سایر سرویس‌ها فعال‌بودن 2-Step Verification را مناسب می‌داند. برای آشنایی با ساختار Passkey می‌توانید راهنمای رسمی FIDO Alliance را ببینید.
اگر Passkey نداریم، کدام 2FA بهتر است؟
اگر سرویس Passkey یا Hardware Security Key ندارد، استفاده از اپلیکیشن Authenticator معمولاً از SMS امن‌تر است؛ اما باید بدانید کدهای OTP همچنان قابل فیش شدن هستند. اگر کاربر کد را روی صفحه جعلی وارد کند، مهاجم می‌تواند آن را همان لحظه استفاده کند.
بنابراین ترتیب ترجیح عمومی می‌تواند این‌گونه باشد:
- Passkey یا Hardware Security Key مبتنی بر FIDO2؛
- Authenticator App / TOTP؛
- SMS فقط در صورت نبود گزینه بهتر.
این ترتیب مطلق نیست؛ بازیابی حساب و امنیت دستگاه نیز مهم‌اند.
Recovery Code را کجا نگه داریم؟
هنگام فعال‌سازی 2FA یا Passkey ممکن است سرویس Recovery Code ارائه کند. این کد می‌تواند در صورت از دست رفتن گوشی یا ابزار احراز هویت، راه بازیابی حساب باشد.
Recovery Code را در همان گوشی، Screenshot عمومی یا ایمیل بدون محافظت نگهداری نکنید. بهتر است نسخه‌ای آفلاین و امن داشته باشید. اگر فرد دیگری به Recovery Code دسترسی پیدا کند، ممکن است بتواند کنترل حساب را بازیابی کند.
Anti-Phishing Code چیست؟
برخی صرافی‌ها قابلیتی با عنوان Anti-Phishing Code ارائه می‌کنند. کاربر یک عبارت اختصاصی تعیین می‌کند و ایمیل‌های رسمی سرویس باید همان عبارت را نمایش دهند.
نبود این قابلیت به معنی ناامن‌بودن پلتفرم نیست، اما اگر وجود دارد فعال‌کردن آن می‌تواند تشخیص برخی ایمیل‌های جعلی را آسان‌تر کند. با این حال، همچنان باید دامنه فرستنده و لینک مقصد را بررسی کنید.
آیا باید KYC را قبل از واریز تکمیل کنیم؟
اگر سرویس برای سطح فعالیت موردنظر شما KYC می‌خواهد، بهتر است قبل از واریز مبلغ جدی مشخص شود که می‌توانید احراز هویت را با مدارک واقعی تکمیل کنید.
یکی از پرریسک‌ترین سناریوها این است که کاربر ابتدا سرمایه را وارد کند و بعد متوجه شود برای برداشت باید مدرکی ارائه دهد که پلتفرم نمی‌پذیرد.
مقاله راهنمای احراز هویت در صرافی خارجی برای کاربران ایرانی درباره Proof of Address، Source of Funds، Re-verification و محدودیت‌های هویتی توضیح بیشتری می‌دهد.
آیا تغییر IP برای ثبت‌نام کافی است؟
خیر. صلاحیت استفاده از یک سرویس فقط با IP تعیین نمی‌شود. اطلاعات حساب، KYC، Proof of Address، دستگاه، روش پرداخت و سیاست داخلی پلتفرم همگی می‌توانند در بررسی حساب نقش داشته باشند.
اگر Terms استفاده کاربران مقیم ایران را محدود کرده باشد، پنهان‌کردن موقعیت اینترنتی این محدودیت را از بین نمی‌برد. برای بررسی تفاوت تحریم رسمی، Restricted Jurisdiction و سیاست پلتفرم، مقاله محدودیت صرافی‌های خارجی برای کاربران ایرانی را بخوانید.
بعد از ساخت حساب چه تنظیمات امنیتی را فعال کنیم؟
| تنظیم | کاربرد |
|---|---|
| Passkey / Security Key | کاهش ریسک Phishing و Credential Theft |
| 2FA | افزودن لایه دوم ورود |
| Address Whitelist | محدودکردن برداشت به آدرس‌های تأییدشده |
| Withdrawal Lock | تأخیر برداشت بعد از تغییرات امنیتی |
| Login Alerts | اطلاع از ورود دستگاه یا موقعیت جدید |
| Anti-Phishing Code | کمک به تشخیص ایمیل رسمی |
| Device Management | حذف نشست‌ها و دستگاه‌های قدیمی |
| API Restrictions | محدودکردن دسترسی ربات یا ابزار ثالث |
Address Whitelist چیست؟
در برخی صرافی‌ها می‌توانید برداشت را فقط به آدرس‌هایی محدود کنید که قبلاً تأیید شده‌اند. اگر مهاجم وارد حساب شود اما نتواند آدرس برداشت جدید اضافه کند، این قابلیت می‌تواند یک مانع اضافی ایجاد کند. اگر پلتفرم برای اضافه‌کردن آدرس جدید دوره انتظار یا تأیید مجدد دارد، بهتر است این محافظت را غیرفعال نکنید فقط برای اینکه برداشت سریع‌تر شود.
اولین واریز را چگونه انجام دهیم؟
بعد از ساخت حساب و تکمیل تنظیمات امنیتی، بهتر است اولین انتقال با مبلغ کوچک انجام شود. هدف این مرحله آزمایش مسیر است، نه شروع معامله با کل سرمایه.
- نام دارایی را کنترل کنید.
- شبکه مبدا و مقصد را تطبیق دهید.
- آدرس را کامل مقایسه کنید.
- در صورت نیاز Memo یا Tag را وارد کنید.
- مبلغ آزمایشی کوچک ارسال کنید.
- بعد از تأیید وصول، انتقال اصلی را انجام دهید.
شبکه اشتباه یا Memo ناقص می‌تواند باعث تأخیر یا حتی از دست رفتن دارایی شود.
قبل از واریز اصلی، برداشت را هم تست کنیم؟
بله، اگر محدودیت و هزینه شبکه اجازه می‌دهد. بسیاری از کاربران فقط واریز را آزمایش می‌کنند اما مشکل اصلی ممکن است هنگام برداشت ظاهر شود. یک برداشت آزمایشی کوچک می‌تواند نشان دهد KYC، Withdrawal Verification، Address Whitelist و شبکه مقصد همان‌طور که انتظار دارید کار می‌کنند.
چرا نباید تمام سرمایه را در حساب صرافی نگه داشت؟
صرافی متمرکز ریسک طرف مقابل دارد. حتی اگر حساب شما امن باشد، اختلال، توقف برداشت، مشکل حقوقی یا حادثه امنیتی در سطح خود پلتفرم ممکن است رخ دهد.
اگر دارایی برای معامله فعال استفاده نمی‌شود، باید مزایا و مسئولیت‌های Self-Custody را نیز بررسی کنید. کیف پول شخصی ریسک طرف مقابل را کاهش می‌دهد اما مسئولیت Seed Phrase و امنیت تراکنش را به خود کاربر منتقل می‌کند.
API Key را چه زمانی بسازیم؟
فقط زمانی که واقعاً به ربات معاملاتی، ابزار Portfolio یا سرویس ثالث نیاز دارید. API Key بدون دلیل، سطح حمله حساب را افزایش می‌دهد.
اگر API ساخته می‌شود:
- فقط Permissionهای لازم را فعال کنید؛
- Withdrawal Permission را مگر در کاربرد کاملاً ضروری فعال نکنید؛
- در صورت امکان IP Restriction تنظیم کنید؛
- کلیدهای قدیمی را حذف کنید؛
- Secret Key را در کد یا فایل عمومی قرار ندهید.
نشانه‌های سایت یا اپلیکیشن جعلی
- دامنه با یک حرف متفاوت؛
- تبلیغ یا پیام خصوصی که شما را به Login Page هدایت می‌کند؛
- درخواست Seed Phrase یا Private Key؛
- درخواست نصب Extension ناشناس؛
- اجبار به انتقال رمزارز برای «فعال‌سازی حساب»؛
- درخواست کد 2FA از طریق چت پشتیبانی؛
- فایل APK یا نرم‌افزار ارسالی در پیام‌رسان.
هیچ فرایند معمول ثبت‌نام یا KYC نباید Seed Phrase کیف پول شخصی را درخواست کند.
اگر ایمیل تأیید ورود دریافت کردیم ولی خودمان وارد نشده بودیم چه کنیم؟
اگر Login Alert ناشناس دریافت کردید، ابتدا از لینک داخل همان ایمیل وارد نشوید. دامنه رسمی را مستقلاً باز کنید، نشست‌های فعال را بررسی کنید، رمز عبور را تغییر دهید و روش‌های 2FA یا Passkey را بازبینی کنید. همچنین امنیت ایمیل را بررسی کنید؛ مهاجم ممکن است ابتدا ایمیل را در اختیار گرفته باشد.
ثبت‌نام با ایمیل بهتر است یا شماره موبایل؟
پاسخ به امکانات سرویس بستگی دارد. شماره موبایل در برابر SIM Swap آسیب‌پذیر است و SMS نیز Phishing-Resistant نیست. ایمیل نیز در صورت امنیت ضعیف می‌تواند نقطه شکست باشد. مهم‌تر از انتخاب ایمیل یا موبایل، فعال‌کردن یک عامل قوی‌تر مانند Passkey یا Security Key و محافظت مناسب از کانال بازیابی حساب است.
بازیابی حساب را قبل از بحران بررسی کنید
بسیاری از کاربران فقط روی ورود تمرکز می‌کنند و مسیر Account Recovery را نمی‌خوانند. اما اگر گوشی گم شود، Passkey در دسترس نباشد یا Authenticator از بین برود، همین فرایند بازیابی تعیین می‌کند چقدر سریع و امن می‌توانید دوباره به حساب دسترسی پیدا کنید.
بررسی کنید سرویس برای Recovery چه مدارکی می‌خواهد، آیا تغییر ایمیل یا 2FA باعث قفل موقت برداشت می‌شود و چه کانال رسمی برای درخواست بازیابی وجود دارد. هیچ پشتیبانی معتبری نباید برای بازیابی حساب Seed Phrase کیف پول شما را بخواهد.
نشست‌ها و دستگاه‌های فعال را مدیریت کنید
پس از ثبت‌نام، بخش Device Management یا Active Sessions را بررسی کنید. اگر دستگاه قدیمی، مرورگر ناشناس یا موقعیت ورود غیرمنتظره می‌بینید، نشست را ببندید و رمز و عامل دوم را بازبینی کنید.
همچنین بهتر است پس از تغییر رمز عبور یا بازیابی حساب، همه نشست‌های قدیمی را از سیستم خارج کنید. این کار احتمال سوءاستفاده از Session قدیمی را کاهش می‌دهد.
چرا امنیت فرایند بازیابی به اندازه 2FA مهم است؟
اگر ورود اصلی بسیار امن باشد اما بازیابی حساب فقط با یک ایمیل ضعیف یا پاسخ ساده انجام شود، مهاجم می‌تواند مسیر Recovery را هدف قرار دهد. بنابراین امنیت باید کل چرخه Account Lifecycle را پوشش دهد: ثبت‌نام، ورود، تغییر تنظیمات، برداشت و بازیابی. به همین دلیل استفاده از Passkey یا Security Key زمانی بیشترین فایده را دارد که کانال‌های بازیابی و ایمیل پشتیبان نیز به همان اندازه محافظت شوند.
چک‌لیست نهایی ثبت‌نام امن
- Terms و کشور محل اقامت را بررسی کنید.
- قبل از واریز، وضعیت KYC را مشخص کنید.
- از دامنه و اپلیکیشن رسمی استفاده کنید.
- ایمیل جداگانه و امن داشته باشید.
- رمز منحصربه‌فرد بسازید.
- در صورت وجود Passkey یا Security Key را فعال کنید.
- در غیر این صورت Authenticator App را فعال کنید.
- Recovery Code را آفلاین نگه دارید.
- Withdrawal Whitelist و Login Alert را فعال کنید.
- اول واریز و سپس برداشت را با مبلغ کوچک آزمایش کنید.
- API اضافی نسازید.
- همه سرمایه را بدون نیاز در حساب صرافی نگه ندارید.
آیا صرافی داخلی برای شروع ساده‌تر است؟
برای کاربر ایرانی که به واریز و برداشت ریالی و احراز هویت با مدارک داخلی نیاز دارد، استفاده از یک پلتفرم داخلی می‌تواند فرایند ساده‌تری داشته باشد. با این حال، امنیت، نقدشوندگی، کارمزد و کیفیت برداشت همچنان باید بررسی شوند. راهنمای انتخاب صرافی ارز دیجیتال برای ایرانیان معیارهای کلی انتخاب را توضیح می‌دهد.
ثبت‌نام و امنیت حساب در ایران اکسچنج
ایران اکسچنج به‌عنوان صرافی ارز دیجیتال داخلی، مسیر استفاده کاربران ایرانی را بر مبنای هویت واقعی و خدمات داخلی ارائه می‌کند. پیش از معامله، تنظیمات امنیت حساب، وضعیت احراز هویت، شبکه‌های برداشت و کارمزدها را در همان زمان بررسی کنید. برای مشاهده بازارها می‌توانید صفحه قیمت ارزهای دیجیتال و برای آشنایی با فرایند کلی معامله صفحه خرید ارز دیجیتال را ببینید.
جمع‌بندی
ثبت‌نام امن در صرافی خارجی در سال ۲۰۲۶ با انتخاب یک رمز عبور تمام نمی‌شود. مهم‌ترین مرحله قبل از ساخت حساب این است که مطمئن شوید سرویس هویت و محل اقامت واقعی شما را می‌پذیرد.
بعد از آن، Passkey یا Security Key، 2FA، امنیت ایمیل، Address Whitelist، Alertها و تست واریز/برداشت می‌توانند احتمال سوءاستفاده را کاهش دهند. Passkey در صورت پشتیبانی، نسبت به Password + OTP مقاومت بیشتری در برابر Phishing دارد؛ اما هیچ روش احراز هویتی جای بررسی Terms و امنیت کلی حساب را نمی‌گیرد.
نسخه قدیمی این مقاله روش ثبت‌نام در یک پلتفرم مشخص و تغییر موقعیت اینترنتی را آموزش می‌داد. نسخه جدید این رویکرد را حذف کرده و روی فرایندی تمرکز دارد که برای هر صرافی خارجی قابل استفاده است و کاربر را به پنهان‌کردن هویت یا محل اقامت تشویق نمی‌کند.
