هل محفظة Cake Wallet آمنة؟

لكلمة "آمنة" شقّان في محفظة ذاتية الحفظ: هل يحمي البرنامج مفاتيحك، وهل تستطيع تجنّب عمليات الاحتيال المحيطة به. تغطي هذه الصفحة الأمرين، مع التواريخ، حتى أكتوبر 2026.

الإجابة المختصرة

• شرعية: نعم. تطوّر Cake Wallet شركة Cake Labs، وهي على App Store منذ 2018، وتنشر شيفرتها على GitHub بموجب رخصة MIT.
• مفاتيحك تبقى معك: العملات على السلسلة غير احتجازية. لا تستطيع Cake تجميد أموالك أو عكس معاملاتها أو استردادها.
• ليست بلا عيوب: كانت لها ثغرة خطيرة واحدة (عبارات seed ضعيفة لـ Bitcoin في ⁦2020–2021⁩)، وتنبيه أمني متوسط واحد في 2026، وإصدارات لا يمكن إعادة إنتاجها بشكل مستقل.
• الخطر الأكبر: البشر لا الشيفرة. التطبيقات المزيفة والدعم المزيف وسرقة عبارات seed مسؤولة عن معظم الخسائر التي نرى الناس يتحدثون عنها.

عوامل الأمان

عبارات seed الضعيفة لـ Bitcoin في ⁦2020–2021⁩

هذه هي الحادثة الأهم. ولّدت إصدارات Cake Wallet الصادرة في 2020 وأوائل 2021 محافظ Bitcoin باستخدام مولّد أرقام عشوائية غير آمن. العبارات المتأثرة هي عبارات seed لـ Bitcoin من 12 كلمة بأسلوب Electrum ("Segwit"). يقدّر الباحثون أن العشوائية الفعلية كانت منخفضة إلى حد يمكّن المهاجم من إعادة بناء المفاتيح.

أحصى الباحثون 8,757 محفظة ضعيفة ونحو 548.9 BTC مرّت عبرها بين نوفمبر 2020 وأكتوبر 2024؛ لم يُسرق كل ذلك، ولم يُنشر رقم إجمالي للخسائر (تحديث أبحاث Milk Sad، 2024). لم تتأثر Monero وLitecoin والعملات الأخرى، بحسب ما هو معروف.

ما الذي تفعله: إذا كانت لديك عبارة seed لـ Bitcoin من 12 كلمة أُنشئت في Cake Wallet في 2020 أو أوائل 2021، أو استوردت مثل هذه العبارة إلى محفظة أخرى، فاعتبرها مكشوفة. أنشئ محفظة جديدة بإصدار حالي وانقل أي أموال متبقية فورًا. تساعدك أداة تحديد نوع seed لدينا على معرفة النوع من عدد الكلمات فقط. لا تكتب الكلمات نفسها في أي موقع إلكتروني أبدًا.

ما الذي يثبته المصدر المفتوح وما الذي لا يثبته

تتيح الشيفرة المفتوحة المصدر لأي شخص قراءة كيف تنشئ Cake Wallet المفاتيح وتتواصل مع العُقد وتبني المعاملات. وبفضلها تمكّن باحثون من خارج الشركة من دراسة ثغرة seed لعام 2021 بالتفصيل، وهي تعني أن التغييرات على الشيفرة تحدث علنًا على GitHub.

لكنها لا تثبت أن التطبيق في المتجر بُني من تلك الشيفرة. تقول Cake إن إصداراتها ليست قابلة لإعادة الإنتاج بعد، لذا لا يمكنك تجميع الشيفرة بنفسك والحصول على ملف مطابق للمقارنة (Cake Wallet VERIFY.md، 2026). ما يمكنك التحقق منه هو أصالة التنزيل: في سبتمبر 2026 نشرت Cake مفتاح إصدار لتوقيع ملفات المجموع الاختباري ووسوم الإصدارات الجديدة، وكل إصدار يذكر بصمات SHA-256، وملفات APK لنظام Android من GitHub وAccrescent ومستودع F-Droid الخاص بـ Cake تشترك في شهادة توقيع واحدة. يوضح دليل التنزيل لدينا كيف تتحقق من الأمرين.

كذلك لم نجد أي تدقيق أمني مستقل منشور لتطبيق Cake Wallet حتى أكتوبر 2026. لكن Cake تطبّق سياسة للإفصاح عن الثغرات: يمكن للباحثين الإبلاغ عن المشكلات بشكل خاص عبر GitHub أو بالبريد الإلكتروني المشفّر، وتنشر Cake التنبيهات بعد صدور الإصلاحات.

تنبيهات أخرى

في 4 سبتمبر 2026 نشرت Cake التنبيه GHSA-695v-fhpj-fv8x على GitHub، بتصنيف متوسط. في الإصدارات من 6.1.2 إلى 6.3.0، كان يمكن تجهيز طلب دفع بأسلوب Ethereum على شبكة EVM خاطئة بسبب إسقاط معرّف السلسلة (chain ID). كان الخطر دفعة فاشلة أو موجّهة خطأً، لا سرقة مفاتيح، وقد أُصلح في الإصدار 6.4.4. حدّث التطبيق إلى أحدث إصدار. القائمة الكاملة للحوادث في صفحة السجل الأمني لدينا.

مسألة Lightning

يعمل Lightning، المضاف في الإصدار 6.0 (فبراير 2026)، على شبكة Spark عبر Breez SDK. تصفه Cake بأنه ذاتي الحفظ ولا يتطلب إدارة قنوات. لكن وثائقها تقول أيضًا إن تحويلات Spark يوقّعها بالمشاركة عدد صغير من المشغّلين المرخّصين الذين يمكنهم رؤية المبالغ والعناوين (وثائق Cake Wallet، 2026).

في 6 أكتوبر 2026 أعاد WalletScrutiny تصنيف Cake Wallet على أنها "Custodial" (احتجازية) لأن التطبيق، وفق تحليله، لا يوفّر طريقة لإعادة رصيد Lightning إلى السلسلة دون المشغّلين. هذا حكم يخص رصيد Lightning فقط؛ ولا يتعلق بـ Monero ولا بـ Bitcoin على السلسلة ولا بالعملات الأخرى. النهج الحذر هو الاحتفاظ في Lightning بمبالغ الإنفاق فقط. راجع Lightning في Cake Wallet.

الخصوصية مقابل الأمان

تتصل Cake Wallet افتراضيًا بعُقد Cake وخدماتها. هذا مريح، لكن تلك الخدمات يمكنها رؤية عنوان IP الخاص بك وبيانات المحفظة التي تطلبها. لمزيد من الخصوصية، استخدم عقدتك الخاصة أو Tor. تنبيه واحد: بالنسبة إلى Silent Payments، إذا كان خادم Bitcoin الخاص بك يفتقر إلى الفهرس المطلوب، تقول وثائق Cake إن التطبيق يعود إلى خادم تابع لـ Cake. التفاصيل في الخصوصية وTor والعُقد المخصصة.

أين تحدث الخسائر فعلًا

• التطبيقات المزيفة والمواقع المستنسخة التي تطلب عبارة seed. لا تثبّت إلا من المصادر الرسمية الواردة في دليل التنزيل لدينا، وافحص الروابط بـ أداة فحص التنزيل.
• الدعم المزيف. تقول Cake Wallet إن فريق الدعم لديها لن يطلب منك عبارة seed أبدًا، وإن أي شخص يراسلك أولًا عارضًا الدعم يكون محتالًا في جميع الحالات تقريبًا (وثائق Cake Wallet، 2026).
• تخزين عبارة seed على الإنترنت في لقطات الشاشة أو تطبيقات الملاحظات أو التخزين السحابي أو البريد الإلكتروني.
• عنوان أو شبكة خاطئة. لا يمكن عكس المعاملات. استخدم أداة فحص العناوين وأرسل مبلغًا تجريبيًا صغيرًا أولًا.
• خدمات "الاسترداد" التي تعد باستعادة العملات المسروقة. إنها عمليات احتيال.

المزيد من العلامات التحذيرية في تطبيقات Cake Wallet المزيفة وعمليات الاحتيال.

قائمة التحقق الأمنية

1. ثبّت التطبيق من App Store أو Google Play أو Accrescent أو مستودع F-Droid الخاص بـ Cake أو GitHub، بعد الوصول إليها بكتابة cakewallet.com بنفسك.
2. حافظ على تحديث التطبيق.
3. اكتب كل عبارة seed على ورق واحفظها بعيدًا عن الإنترنت. ولعبارة Monero من 25 كلمة، اكتب أيضًا ارتفاع الاستعادة. راجع نسخ seed احتياطيًا.
4. اضبط رمز PIN قويًا؛ وفكّر في Cake 2FA. تنبّه Cake إلى أن 2FA يحمي من شخص يملك هاتفك، لا من شخص يملك عبارة seed.
5. للمبالغ الأكبر، استخدم محفظة أجهزة أو Cupcake. راجع Ledger وTrezor.
6. استبدل أي محفظة Bitcoin قديمة من Cake ذات seed بأسلوب Electrum من 12 كلمة من الفترة ⁦2020–2021⁩.
7. لا تشارك عبارة seed أبدًا، وتجاهل أي شخص يتواصل معك أولًا.

إذا كنت تظن أن محفظتك مخترقة

نصيحة Cake هي إنشاء محفظة جديدة لكل عملة متأثرة فورًا ونقل أي أموال متبقية إليها، والتوقف عن استخدام المحفظة القديمة، والاحتفاظ بسجل لكل شيء، والإبلاغ عن السرقة للشرطة ولدعم Cake (وثائق Cake Wallet، 2026). قد تستغرق مزامنة محافظ Monero وقتًا أطول لدى المهاجم، ما قد يمنحك نافذة قصيرة للتصرف. لا ترسل أبدًا مزيدًا من المال إلى من يعرضون "المساعدة في الاسترداد".

الأسئلة الشائعة