وضعیت کلاهبرداری در جوامع دیجیتال، ۲۰۲۶

۱. ابعاد ماجرا

چهار رقم ابعاد کلاهبرداری علیه جوامع آنلاین را در ۲۰۲۵ نشان می‌دهند. این ارقام چیزهای متفاوتی را می‌سنجند و با هم جمع نمی‌شوند، اما در کنار هم یک صنعت را نشان می‌دهند، نه یک مزاحمت.

مرکز شکایات جرایم اینترنتی FBI برای سال ۲۰۲۵ ۸٫۶ میلیارد دلار زیان گزارش‌شده از کلاهبرداری سرمایه‌گذاری در آمریکا ثبت کرد؛ بزرگ‌ترین دسته‌ای که رصد می‌کند و حدود ۴۰٪ کل زیان گزارش‌شده جرایم اینترنتی. از این مبلغ، ۷٫۲ میلیارد دلار کلاهبرداری سرمایه‌گذاری رمزارزی بود: همان «شکار بلندمدت» که در آن مهاجم طی هفته‌ها یا ماه‌ها رابطه می‌سازد، معمولاً از یک اپ دوست‌یابی یا پیام خصوصی در شبکه‌های اجتماعی شروع می‌کند و اغلب گفتگو را به تلگرام می‌کشاند، سپس یک سرمایه‌گذاری جعلی پیشنهاد می‌دهد و قربانی را خالی می‌کند. کلاهبرداری عاشقانه به معنای خاص آن حدود ۹۰۰ میلیون دلار دیگر اضافه می‌کند که جداگانه شمرده می‌شود. [1]

تلگرام در ۲۰۲۵ ۴۳٫۵ میلیون گروه و کانال را مسدود کرد. پیش از بازداشت بنیان‌گذارش در اوت ۲۰۲۴، حذف‌های روزانه بین ۱۰ تا ۳۰ هزار بود؛ پس از آن به ۸۰ تا ۱۴۰ هزار در روز رسید و در روزهای اوج از ۵۰۰ هزار گذشت. [2]

بین نوامبر ۲۰۲۴ و ژانویه ۲۰۲۵، کلاهبرداری‌های گروه‌های مخرب تلگرام، ربات‌های جعلی تأیید هویت و «گروه‌های ترید» آلوده به بدافزار، ۲٬۰۰۰٪ رشد کرد. بخشی از آن پاک‌سازی پلتفرم است که همه‌چیز را به هم ریخت؛ بیشترش مهاجمانی هستند که با ابزارهای هوش مصنوعی مقیاس گرفتند، ابزارهایی که آن‌قدر ارزان شده بودند که در حجم بالا قابل استفاده باشند. [3]

و بزرگ‌ترین بازارهای غیرقانونی آنلاین تاریخ در دارک‌وب نبودند. کانال‌های تلگرام بودند. Huione Guarantee و Xinbi Guarantee، بازارهای چینی‌زبان «ضمانت» (اسکرو) برای ابزارهای کلاهبرداری، پول‌شویی و دلالی کارگران قاچاق‌شده، پیش از آن‌که تلگرام در مه ۲۰۲۵ مسدودشان کند، بیش از ۳۵ میلیارد دلار استیبل‌کوین جابه‌جا کردند. [18] آنچه پس از مسدودسازی رخ داد در بخش ۵ آمده است.

در یک مقیاس

چهار بار شنیدن «میلیارد» ارقام را بی‌معنا می‌کند. وقتی کنار هم بگذاریم، بلندترین ستون خود صنعت است: درآمد مراکز کلاهبرداری جنوب‌شرق آسیا حدود ۴۰ میلیارد دلار در سال [21]؛ بازارها با ۳۵ میلیارد دلار گردش انباشته، زنجیره تأمین آن‌اند؛ ۸٫۶ میلیارد دلار زیان گزارش‌شده در آمریکا فقط چیزی است که قربانیان به FBI گفتند؛ و ۲٫۰۲ میلیارد دلار سرقت رمزارزی کره شمالی در ۲۰۲۵، تیتر اول سال، کوتاه‌ترین ستون نمودار است. [23] یک برنامه هک دولتی در برابر اقتصاد مجتمع‌های کلاهبرداری، خطای گردکردن است.

شاخص	رقم	چه چیزی را می‌سنجد	منبع
درآمد مراکز کلاهبرداری جنوب‌شرق آسیا	~۴۰ میلیارد دلار / سال	درآمد سالانه، برآورد	[21]
گردش بازارهای Huione + Xinbi	۳۵+ میلیارد دلار	گردش انباشته استیبل‌کوین تا مه ۲۰۲۵	[18]
زیان کلاهبرداری سرمایه‌گذاری در آمریکا، ۲۰۲۵	۸٫۶ میلیارد دلار	زیان گزارش‌شده به FBI	[1]
سرقت رمزارزی کره شمالی، ۲۰۲۵	۲٫۰۲ میلیارد دلار	وجوه سرقت‌شده، انتساب زنجیره‌ای	[23]

چرا حالا

سه نیرو به هم رسیدند. تلگرام عملاً لایه اجتماعی Web3 است: هر عرضه توکن، ایردراپ و جامعه پروژه آنجاست، پس پول به آنجا رفت و مهاجمان دنبالش رفتند. ابزار حمله کالا شد و بعد قیمتش فروریخت: محصولات مدل زبانی جیلبریک‌شده در خود تلگرام فروخته می‌شوند، از حدود ۲۰۰ دلار در ماه در ۲۰۲۳ تا ۲۲۰ دلار برای مجوز مادام‌العمر در ۲۰۲۵ (بخش ۴). و نظارتی که بیشتر جوامع به کار می‌برند برای تهدید پیش از هوش مصنوعی ساخته شده: فهرست واژه‌ها، امضاها، محدودیت‌های ساده نرخ؛ هیچ‌کدام کلاهبرداری گفتگومحور، شخصی‌سازی‌شده و چندمرحله‌ای را از قبل نمی‌بینند.

نتیجه این‌که جوامع به دو شکل می‌میرند: از خود اسپم، چون ابزارها کم می‌آورند، یا از نظارت افراطی که مدیران از سر ناچاری به کار می‌گیرند و اعضای واقعی را فراری می‌دهد.

۲. سه دوران

کلاهبرداری در سه دوران به تلگرام رسید. هر کدام سطح ماجرا را از قبلی بالاتر برد و هیچ‌کدام بازنشسته نشد.

دوران اول، پیش از رمزارز: نویز. اسکریپت‌ها، دعوت‌های انبوه، اسپم کلیدواژه‌ای، تبلیغ گذری. یک محتوا هزاران بار: هش کن، مسدود کن، تمام. یک مزاحمت بود، نه شکار؛ چون چیز زیادی برای دزدیدن در اتاق نبود. نظارت قاعده‌محور کلاسیک برای همین ساخته شده و از پس آن خوب برمی‌آید.

دوران دوم، رمزارز، پیش از مدل‌های زبانی: کلاهبرداری. پول وارد اتاق شد و اسپم به کلاهبرداری بدل شد: «قصابی خوک»، پیام‌های مدیر جعلی، درینرهای کیف‌پول، هدایای جعلی. آنچه در خطر بود از توجه هدررفته به کیف‌پول‌های خالی‌شده رسید. اما حملات هنوز با دست انسان اجرا می‌شد، پس به نیروی کار وابسته بود و درز داشت: گرامر شکسته، ریتم کپی‌پیست، پاسخ از منطقه زمانی اشتباه. اینجا بود که ابزارهای کلاسیک شروع به باختن کردند.

دوران سوم، مدل‌های زبانی: مقیاس هوش مصنوعی. هوش مصنوعی محتوا را می‌نویسد و شخصیت‌ها را اداره می‌کند. گلوگاه نیروی کار از بین رفت: یک اپراتور هزاران گفتگوی هم‌زمان را می‌گرداند، هر پیام یکتا و در موضوع، بدون امضایی برای تطبیق. این جوان‌ترین دوران است و منحنی پیچیدگی‌اش هنوز رو به بالا خم می‌شود.

مهاجم امروز هر سه را روی هم می‌چیند: اسپم قدیمی برای حجم ارزان، دستورالعمل‌های دوران رمزارز، و ابزار مدل زبانی برای اجرای همه این‌ها در مقیاس. دفاع باید در هر سه هم‌زمان دوام بیاورد. یک چیز را این چارچوب عمداً کنار گذاشته: مسئله یک بازیگر پشت حساب‌های بسیار، یک دوران نیست. نخ ساختاری زیر هر سه دوران است و بخش جداگانه خود را دارد.

۳. ده روشی که حملات مدرن ابزارهای کلاسیک را شکست می‌دهند

این‌ها الگوهای مشخصی هستند که از کنار نظارت قاعده‌محور رد می‌شوند، تقریباً به ترتیب شیوع. سه مورد اول با جزئیات بیشتر.

۰۱ · پیام خصوصی «مدیر» با چت پاک

اصلی‌ترین مسیر کلاهبرداری ۲۰۲۵ از نظر زیان قربانیان. کلاهبردار به یک گروه عمومی می‌پیوندد و تماشا می‌کند. وقتی عضوی سؤالی می‌پرسد یا گلایه‌ای می‌کند، ظرف چند دقیقه پیامی خصوصی از پروفایلی دریافت می‌کند که نام و آواتار یکی از مدیران را کپی کرده، اغلب با جابه‌جایی یک کاراکتر (صفر به جای O، ال کوچک به جای I بزرگ). پیام داخل گروه، اگر اصلاً باشد، بی‌ضرر است. محموله اصلی، درخواست عبارت بازیابی یا لینک KYC جعلی، فقط در پیام خصوصی است؛ جایی که هیچ ربات نظارتی نمی‌بیند. [4] [5] [6]

ابزارهای کلاسیک به سه دلیل این را از دست می‌دهند: پیام عمومی هیچ واژه ممنوع، لینک یا رسانه‌ای ندارد؛ هیچ‌چیز هنگام پیوستن نام و آواتار عضو تازه را با مدیران واقعی مقایسه نمی‌کند؛ و هیچ‌چیز رصد نمی‌کند که «این حساب سه دقیقه پیش آمده و همین حالا دارد به اعضای فعال پیام می‌دهد». دفاع عبارت است از بررسی شباهت پروفایل هنگام پیوستن، سیگنال‌های رفتاری، و مسیری برای گزارش پیام‌هایی که ربات مستقیم نمی‌بیند.

۰۲ · اسپم گفتگومحور تولیدشده با مدل زبانی

چرخش آهسته. حسابی می‌پیوندد و پیام‌های طبیعی و مرتبطی می‌فرستد که با فرهنگ گروه جور است. به سؤال‌ها جواب می‌دهد، درست. طی چند نوبت، گاهی چند روز، اعتبار می‌سازد. بعد می‌چرخد: یک لینک، یک پیشنهاد، یک درخواست برای ادامه در خصوصی. هر پیام تولید شده، نه کپی؛ پس تکراری‌ای برای تشخیص نیست، امضایی نیست، و لحن جور است چون به مدل گفته شده جور باشد. ابزارها تجاری‌اند: FraudGPT در ۲۰۲۳ حدود ۲۰۰ دلار در ماه آگهی می‌شد [7]؛ WormGPT 4 به ۵۰ دلار در ماه یا ۲۲۰ دلار مادام‌العمر، همراه با کد منبع، فروخته می‌شود. [8] هیچ‌چیز که به یک پیام نگاه کند نیتی را که فقط در طول یک گفتگو پیدا می‌شود نمی‌گیرد؛ تشخیصی که می‌گیرد باید پنجره لغزان گفتگو را بخواند و در عمل یعنی یک مدل دیگر.

۰۳ · تعویض محموله با ویرایش

ساده‌ترین دورزدن در این گزارش، و بیشتر ربات‌ها هنوز در برابرش بازند. اسپمر پیامی پاک می‌فرستد که از همه فیلترها رد می‌شود، صبر می‌کند تا پنجره محدودیت تازه‌واردها تمام شود، سپس پیام را ویرایش می‌کند و لینک یا متن کلاهبرداری را درون آن می‌گذارد. بیشتر ربات‌های نظارتی به رویداد message تلگرام گوش می‌دهند و نه به edited_message، پس ویرایش هرگز وارد خط تشخیص نمی‌شود. اصلاحش یک روز کار است: هر دو رویداد را پردازش کن و همه بررسی‌ها را در هر ویرایش دوباره اجرا کن. اگر جامعه‌ای را اداره می‌کنید، از کسی که ربات‌تان را نگه می‌دارد بپرسید آیا ویرایش‌ها را پردازش می‌کند.

۰۴–۰۶ · مسئله امضا

سه الگو با یک ریشه مشترک: تشخیص کلاسیک امضاها را تطبیق می‌دهد و حملات مدرن شکل ظاهری را می‌شکنند.

همگلیف و کاراکترهای عرض‌صفر. یک а، е یا о سیریلیک به جای حرف لاتین، یا یک U+200B/U+200C/U+200D نامرئی وسط واژه، «airdrop» یا «metamask» را طوری می‌شکند که فهرست مسدودسازی دیگر تطبیق نکند، در حالی که خواننده چیز عجیبی نمی‌بیند. نرمال‌سازی یونیکد و نقشه کاراکترهای مشابه پیش از هر بررسی کلیدواژه‌ای مشکل را حل می‌کند؛ بیشتر ربات‌ها این کار را نمی‌کنند.
کلاهبرداری با تصویر و اسکرین‌شات. URL، آدرس کیف‌پول یا شناسه «رسمی» داخل یک JPEG، استیکر یا اسکرین‌شات از پیام سنجاق‌شده جعلی قرار می‌گیرد. بدون OCR متن برای ربات نامرئی است، و پاسخ معمول، مسدودکردن همه رسانه‌ها، در یک چت زنده قابل استفاده نیست.
انبوه حساب‌های قدیمی. صنعتی حساب‌های تلگرام سه‌ماهه تا پنج‌ساله را با سابقه و آواتار باورپذیر پرورش می‌دهد و عمده می‌فروشد، دقیقاً برای عبور از بررسی‌های قدمت حساب. [14] هیچ بررسی تک‌حسابی آن‌ها را تشخیص نمی‌دهد؛ فقط تشخیص رفتار هماهنگ میان حساب‌ها این کار را می‌کند.

۰۷–۱۰ · مسئله رفتار

چهار الگو که در آن‌ها حمله در گفته نیست، بلکه در رفتار حساب یا زمینه‌ای است که با خود آورده.

دورزدن کپچا و خستگی از کپچا. سرویس‌های حل‌کننده با چند سنت چالش‌ها را رد می‌کنند، در حالی که چالش‌های آن‌قدر سخت که مهاجم را کند کنند، اعضای واقعی را هم می‌پرانند که تسلیم می‌شوند و می‌روند. پاسخ، چالش‌های تطبیقی با ریسک است که فقط تازه‌وارد مشکوک می‌بیند؛ کاری که کمتر ربات مستقرشده‌ای خوب انجام می‌دهد.
قیف تماشاگر به پیام خصوصی. حساب می‌پیوندد، هرگز پست نمی‌گذارد، فهرست اعضا را استخراج می‌کند و پیام خصوصی باز می‌کند. هیچ قاعده درون‌گروهی را فعال نمی‌کند، و همین سازوکار پشت بخش بزرگی از زیان‌های شکار بلندمدت در بخش ۱ است. [1]
فیشینگ فوق‌شخصی‌سازی‌شده. داده‌های لورفته به‌علاوه یک مدل زبانی، پیامی می‌سازد که به پروژه، کیف‌پول یا فعالیت زنجیره‌ای خود قربانی اشاره می‌کند. مثل یک تماس واقعی خوانده می‌شود. کلاهبرداری در دقتِ جزئیات است، که امضایی ندارد.
ربات‌های «پشتیبانی» مخرب. ربات‌هایی به نام کیف‌پول‌ها و صرافی‌های بزرگ. تأیید شخص‌ثالث برای حساب‌ها و ربات‌ها از ژانویه ۲۰۲۵ وجود دارد [32]، اما استفاده از آن ناچیز است و هر رباتی هنوز می‌تواند با هر نامی راه بیفتد. [4]

۴. تهدید هوش مصنوعی با جزئیات

اقتصاد ماجرا

وقتی FraudGPT در ژوئیه ۲۰۲۳ ظاهر شد، به‌صورت اشتراکی از ۲۰۰ دلار در ماه فروخته می‌شد و در تلگرام با ادعای هزاران فروش تبلیغ می‌شد. [7] تا نوامبر ۲۰۲۵، WormGPT 4 به ۵۰ دلار در ماه یا ۲۲۰ دلار برای مجوز مادام‌العمر همراه با کد منبع فروخته می‌شد. [8] هزینه یک سال ابزار از حدود ۲٬۴۰۰ دلار به ۶۰۰ دلار، یا ۲۲۰ دلار یک‌باره رسید: ۹۱٪ سقوط در دو سال، و تازه‌واردها حتی از این هم پایین‌تر می‌زنند. وقتی ابزار حمله این‌قدر سریع ارزان شود، خروجی‌اش حجم مهاجمان است.

کانال توزیع، خود تلگرام است. پلتفرمی که از آن دفاع می‌شود، بازار ابزارهایی است که علیه خودش به کار می‌رود: یک حلقه بسته.

روشن‌ترین سنجش بزرگ‌مقیاس «قبل و بعد»، یافته SlashNext درباره رشد ۱٬۲۶۵٪ حجم فیشینگ در دوازده ماه پس از عرضه ChatGPT است (سه‌ماهه چهارم ۲۰۲۲ تا سه‌ماهه سوم ۲۰۲۳). [9] این یک همبستگی با عصر هوش مصنوعی مولد است، نه انتساب قطعی؛ اما از آن زمان هیچ نشانه‌ای از برگشتن منحنی به پایین دیده نشده است.

ابزارها چه می‌توانند بکنند: گفتگوی منسجم چندمرحله‌ای را ادامه دهند، با لحن یک کانال خاص هماهنگ شوند، و از داده‌های لورفته و پروفایل‌های عمومی شخصی‌سازی کنند.

چرا امضاها شکست می‌خورند

پیش از هوش مصنوعی، یک پیام کلاهبرداری برای هزاران قربانی کپی می‌شد؛ یک بار هش‌کردنش همه تکرارها را مسدود می‌کرد. برای همین ربات‌های نظارتی حول تطبیق کلیدواژه، عبارت‌های باقاعده و فهرست‌های مسدودسازی تکامل یافتند. پس از هوش مصنوعی، یک نیت واحد («عبارت بازیابی‌ات را بفرست») در بی‌نهایت شکل ظاهری پدیدار می‌شود؛ هش‌ها هرگز برخورد نمی‌کنند و کلیدواژه‌ها هرگز تطبیق نمی‌یابند. تشخیص باید از آنچه گفته شد به آنچه بازیگر انجام می‌دهد برود: حساب چطور پیوست، پیش از پست چه کرد، چطور تعامل کرد، کی چرخید، چه هویت و اعتباری با خود دارد. سنجش نیت در یک پنجره گفتگو با مدلی دیگر کار می‌کند و گران است؛ انضباط هزینه یکی از مسائل باز این حوزه است (بخش ۸).

چرخش عاملی

دو پرونده ۲۰۲۶ نشان می‌دهند تهدید هوش مصنوعی حالا کجاست: نه در تولید اسپم، بلکه در اداره کمپین.

در مه ۲۰۲۶، Trend Micro تحقیق خود درباره «Patriot Bait» را منتشر کرد. یک اپراتور روسی‌زبان کانالی با ۱۷ هزار مشترک را در تلگرام می‌گرداند که خود را یک کهنه‌سرباز آمریکایی جا می‌زد. کانال از فوریه ۲۰۲۱ وجود داشت؛ از سپتامبر ۲۰۲۵ تا مه ۲۰۲۶ با هوش مصنوعی اداره شد. یک هماهنگ‌کننده پایتونی که اپراتور آن را «Quantum Patriot» نامیده بود، از طریق ۷۳ کلید API سرقتی به یک مدل پیشرو متصل می‌شد تا نقش شخصیت را بازی کند، و یک چت‌بات جداگانه مستقیم با قربانیان حرف می‌زد. اپراتور مدل را با این‌که خود را آزمونگر نفوذ مجاز معرفی کرد جیلبریک کرد؛ نقشی که مدل در حافظه‌اش ذخیره کرد و از آن پس هر گفتگویی از همان وضعیت جیلبریک‌شده آغاز می‌شد. به گفته Trend Micro، آنچه پیش‌تر به تیمی از نویسنده، مدیر شبکه‌های اجتماعی، کارمند IT و برنامه‌نویس بدافزار نیاز داشت، اکنون می‌تواند با یک بازیگر، یک سرور، یک ربات تلگرام و دسترسی API به مدل‌های پیشرو خودکار شود. [10] مقاله ScamAgents این الگو را صورت‌بندی می‌کند: عامل‌های خودمختار چندمرحله‌ای با حافظه و رفتار تطبیقی، که حفاظ‌های ایمنی فعلی در برابرشان به‌طور مستند ناکارآمدند. [11]

برای تشخیص، این دو لبه دارد. ابزار کلاسیک اقتصاد تیمی کلاهبرداری را فرض می‌گرفت: اثر انگشت‌های متعدد در هر کمپین. یک عامل تنها این را فرومی‌ریزد: یک IP، یک حساب مدل، یک سبک عملیاتی؛ که در سطح کمپین آسان‌تر و در سطح پیام سخت‌تر قابل شناسایی است، چون هر پیام مثل نوشته یک انسان متفکر خوانده می‌شود.

شوی ترومن

در ژانویه ۲۰۲۶، Check Point تحقیقش درباره کمپینی را منتشر کرد که از اکتبر ۲۰۲۵ دنبال می‌کرد؛ کمپینی حول اپی به نام OPCOPRO که به یاد فیلم ۱۹۹۸ درباره مردی که تمام دنیایش یک دکور است، نام‌گذاری شد. گروه‌های تلگرام و واتساپ با کنترل شدید، اغلب هماهنگ، با «کارشناسان» تولیدشده با هوش مصنوعی و همتایان مصنوعی پر می‌شوند. اعضا می‌پرسند، همتایان پاسخ می‌دهند، کارشناسان توصیه می‌کنند. غوطه‌وری هفته‌ها طول می‌کشد. اپ‌های همراه در فروشگاه‌های اپل و گوگل پوسته‌های WebView هستند که موجودی، معاملات و قراردادهایشان سمت سرور جعل می‌شود، پس قربانیان رشد سودشان را می‌بینند. بعد درخواست می‌آید: بیشتر سرمایه‌گذاری کن، کارمزد برداشت را بپرداز، مالیات را بده. [12]

این همه‌چیزِ پیش از خود در این گزارش را شکست می‌دهد. پیام اسپمی در کار نیست؛ کل زمینه، خودِ حمله است. هر تشخیص‌دهنده پیام‌محور خطا می‌کند، هر اکتشاف تماشاگر‌به‌پیام‌خصوصی خطا می‌کند، چون خود جامعه جعلی است. آنچه این را می‌گیرد، اعتبار میان‌پلتفرمی است، شناختن یک اثر انگشت در گروه‌های بسیار، یا تأیید هویتی آن‌قدر قوی که اعضای مصنوعی را افشا کند. مدل تهدید یک لایه بالا رفته: از حمله درون جوامع واقعی به جوامعی که خودشان حمله‌اند.

۵. یک بازیگر، هویت‌های بسیار

مسئله دشوار دیگر در کنار هوش مصنوعی، و مسئله ساختاری. در امنیت به آن مسئله سیبیل می‌گویند: یک بازیگر که برای دستکاری یک سیستم، حساب‌های بسیاری را کنترل می‌کند.

اقتصاد ماجرا

حساب‌های قدیمی تلگرام در بازارهای زیرزمینی هر کدام ۱ تا ۱۰ دلار فروخته می‌شوند؛ حساب‌های سه‌ماهه تا پنج‌ساله به‌صورت عمده موجودند. قیمت‌ها از بازاریابی خودِ فروشندگان پرورش حساب آمده که راهنماهای گام‌به‌گام را به‌عنوان مواد فروش منتشر می‌کنند؛ این صنعت آن‌قدر عادی شده که تبلیغ می‌کند. [14] یک شبکه متوسط ۵۰ تا ۲۰۰ حساب را در یک عملیات هماهنگ می‌گرداند؛ شبکه‌های حرفه‌ای به هزاران می‌رسند، اغلب از طریق پروتکل MTProto تلگرام. Solidus Labs یک شبکه، PumpCell، را مستند کرد که پامپ‌اند‌دامپ هماهنگ چندزنجیره‌ای را در ده‌ها کانال تلگرام اجرا می‌کرد و در یک ماه حدود ۸۰۰ هزار دلار به جیب زد. [15] با قیمت‌های بازار، انبوهی ۱۰۰ حسابی حدود ۵۰۰ دلار آب می‌خورد؛ یک کلاهبرداری موفق ۵ هزار تا چند میلیون دلار می‌پردازد. نکته در نسبت است، نه ارقام دقیق.

چرا دفاع را می‌شکند

هر دفاع کلاسیک یک فرض مشترک دارد: هر حساب یک بازیگر مستقل است. حساب‌های هماهنگ آن را می‌شکنند. مسدودسازی مهم نیست وقتی بازیگر ۵۰ حساب ذخیره دارد و می‌تواند یکی دیگر را به یک دلار بخرد. بررسی قدمت کمکی نمی‌کند وقتی حساب قدیمی یک محصول است. اعتبار صفر می‌شود وقتی انبوه می‌چرخد. فهرست‌های مسدودسازی فدراسیونی، از بهترین دفاع‌های کلاسیک، با یک هیدرا می‌جنگند. شکاف ساختاری این است که هیچ ابزار نظارتی مستقرشده‌ای نمی‌تواند N حساب را به یک بازیگر برگرداند. بدون آن، دفاع یک بازی «بزن‌موش» با موش‌های بی‌پایان است.

هیدرا در مقیاس پلتفرم

اثبات در بزرگ‌ترین مقیاس ممکن. Huione و Xinbi Guarantee بیش از ۳۵ میلیارد دلار استیبل‌کوین، عمدتاً USDT، جابه‌جا کرده بودند: فروش ابزار کلاهبرداری، پول‌شویی، بانک‌های سیم‌کارت، حساب‌های قدیمی و کیت‌های درینر، و دلالی کارگران قاچاق‌شده برای مجتمع‌های کلاهبرداری. [18] در ۱۳ مه ۲۰۲۵، تلگرام بزرگ‌ترین حذف هدفمند خود را انجام داد و هزاران کانال مرتبط را برداشت؛ پس از تحقیق Elliptic و اعلام Huione Group از سوی خزانه‌داری آمریکا به‌عنوان «نگرانی اصلی پول‌شویی». ظرف چند هفته، Tudou Guarantee، رقیبی که Huione پنج ماه پیش از مسدودسازی ۳۰٪ آن را خریده بود، حدود ۷۰ برابر رشد حجم روزانه دید؛ Xinbi با همان شناسه حساب برگشت و ورودی‌هایش ۹۰٪ بیشتر شد. [19] [20] حذف دقیقاً همان‌طور که طراحی شده بود کار کرد. بازار حتی کند هم نشد، چون بازیگران پشت آن هرگز به هویت‌هایی که بشود حذفشان کرد فروکاسته نشدند.

۶. فراتر از کانال

بزرگ‌ترین زیان‌های ۲۰۲۵ در تلگرام تمام نشدند. در تلگرام شروع شدند.

گروه‌های وابسته به دولت کره شمالی در ۲۰۲۵ حدود ۲٫۰۲ میلیارد دلار رمزارز دزدیدند، ۵۱٪ بیش از سال قبل، که بیش از ۳۰۰ میلیون دلار آن به جلسات دیپ‌فیک در Zoom و Teams نسبت داده می‌شود؛ جایی که مهاجمان خود را چهره‌های معتبر صنعت جا می‌زدند. [23] [24] یک مورد شکل ماجرا را نشان می‌دهد: هم‌بنیان‌گذار THORChain حدود ۱٫۳۵ میلیون دلار از دست داد، پس از آن‌که پیامی از حساب تلگرام هک‌شده یک دوست به تماس تصویری با یک مخاطب دیپ‌فیک و سپس بدافزاری برای macOS انجامید که کیف‌پولش را خالی کرد. [25] کلاهبرداری‌های «کمک فوری» با ویس دیپ‌فیک در ۲۰۲۵ حدود ۵ میلیون دلار خسارت زد، و حالا سه ثانیه صدا برای سرویس‌های مصرفی شبیه‌سازی صدا کافی است تا کپی قانع‌کننده‌ای بسازند؛ یک ویس در یک گروه کفایت می‌کند. [26]

زنجیره چهار گام دارد. ورود: یک پیام خصوصی بی‌ضرر از حساب هک‌شده یک دوست («یه تماس کوتاه بگیریم؟»)، بی‌لینک، بی‌کلیدواژه، بی‌حساب تازه‌ای که بشود نشانش کرد. چرخش: یک دعوت تقویمی یا دامنه جلسه مشابه، یک کلیک به بیرون از پلتفرم. دیپ‌فیک: تماس زنده با چهره‌ها و صداهای شبیه‌سازی‌شده، و بعد «دوربینت کار نمی‌کنه، این فیکس رو نصب کن». خالی‌کردن: فیکس همان بدافزار است. تنها گامی که دفاع تلگرامی می‌تواند ببیند اولی است، و اولی چیزی برای تشخیص ندارد. اعتبار میان‌پلتفرمی و عادت تأیید از مسیر دیگر تنها دفاع‌هایی هستند که اصلاً کاربرد دارند، و هیچ ابزاری که در ۲۰۲۴–۲۰۲۶ عرضه شده قیف میان‌پلتفرمی را پوشش نمی‌دهد.

چه کسانی کلاهبرداری‌ها را می‌گردانند

سمت عرضه صنعتی است و روزبه‌روز بیشتر زیر کیفرخواست. UNODC برآورد می‌کند مراکز کلاهبرداری جنوب‌شرق آسیا سالانه حدود ۴۰ میلیارد دلار درآمد دارند و تلگرام را برای بازیگران غیرقانونی «راحت و مقیاس‌پذیر» توصیف می‌کند. [21] این مراکز تا حد زیادی با کار اجباری می‌چرخند: طبق همان برآوردها حدود ۱۰۰ هزار نفر به مجتمع‌های کامبوج و ۱۲۰ هزار نفر به میانمار قاچاق شده‌اند. «کلاهبرداری» که به جامعه شما پیام می‌دهد، در بخش بزرگی از موارد، قربانی قاچاق است که دارد بدهی ساختگی‌اش را می‌پردازد. در اکتبر ۲۰۲۵، وزارت دادگستری آمریکا رئیس Prince Group کامبوج را به اداره مجتمع‌های کلاهبرداری با کار اجباری متهم کرد و ۱۲۷٬۲۷۱ بیت‌کوین، حدود ۱۵ میلیارد دلار، را توقیف کرد؛ بزرگ‌ترین مصادره تاریخ آمریکا. [22] همان ماه، یورش به مجتمع KK Park در میانمار بیش از ۲ هزار کارگر را از یک مجتمع از میان صدها مجتمع آزاد کرد. برای کسی که جامعه‌ای را اداره می‌کند، این انتظارات را درست می‌کند: حریف صنعتی با درآمد یک کشور متوسط است و ربات نظارتی، خط مقدم.

۷. پول کجاست

جوامع رمزارزی به چهار دلیل بار نامتناسبی تحمل می‌کنند. ارزش هر قربانی: یک شکار بلندمدت موفق شش یا هفت رقم می‌آورد، یک مرتبه بالاتر از فیشینگ مصرفی. سطح حمله: گروه‌های رمزارزی ذاتاً بازند و هر عضو یک ضربه تا اتصال کیف‌پول فاصله دارد. کمپین‌های مستند: PumpCell یکی از بسیار شبکه‌هاست. [15] جعل برند: ربات‌ها و کانال‌های «پشتیبانی» جعلی کیف‌پول‌ها و صرافی‌های بزرگ همچنان همه‌گیرند، در حالی که تأیید هویت به کار گرفته نمی‌شود. [4] [5]

اکوسیستم‌های مختلف، حمله‌های مختلف می‌خورند. در TON، توزیع بومی تلگرام فیشینگ با مینی‌اپ را الگوی غالب کرده، با خالی‌شدن کیف‌پول از طریق webview درون‌اپ. [5] در زنجیره‌های EVM، اتریوم و Base حجم را در درینرها، ایردراپ‌های جعلی و درخواست‌های امضای مخرب می‌گیرند که مجوز توکن را در لباس دریافت جایزه می‌گیرند. در Solana، حلقه‌های پامپ میم‌کوین، عرضه‌های جعلی و ربات‌های درینر که فیشینگ عبارت بازیابی را خودکار می‌کنند. میان‌زنجیره‌ای، بازیگران PumpCell‌مانند هم‌زمان در چند زنجیره کمپین می‌گردانند و از طریق پل‌ها پول‌شویی می‌کنند؛ عملیات تک‌زنجیره‌ای خبر کهنه است.

TON در تیررس

رابط اعتماد بومی تلگرام، همان سطح حمله است. کپی‌های جعلی Fragment بازار حراج نام کاربری را تقلید می‌کنند و وقتی کاربر «دریافت» یا «فهرست» می‌کند، از طریق TON Connect کیف‌پول را خالی می‌کنند. مینی‌اپ‌های «TON Giveaway» و «Wallet Support» برای رویدادها و جریان‌های پشتیبانی جعلی، مجوز کیف‌پول می‌خواهند. و تأیید قراردادهای مخرب از طریق TON Connect شبیه یک ورود عادی است، اما مجوز خالی‌کردن می‌دهد. [27] [28] مینی‌اپ‌ها درون تلگرام اجرا می‌شوند، اعتماد ضمنی است، و هیچ ابزار نظارتی مانیفست مینی‌اپ‌ها، تأیید قراردادها یا اعتبار مینی‌اپ‌ها را بررسی نمی‌کند. همان جریانی که مدافعان می‌خواهند برای تأیید هویت به کار ببرند، امروز توسط مهاجمان سوءاستفاده می‌شود؛ هر کار دفاعی روی هویت این سطح حمله را از روز اول به ارث می‌برد.

اقتصاد درینرها

درینرهای کیف‌پول مثل نرم‌افزار فروخته، پشتیبانی و به‌روز می‌شوند؛ در تلگرام. Inferno Drainer در ۲۰۲۳ «بازنشسته» شد و در ۲۰۲۵ با آدرس‌های فرمان‌وکنترل رمزگذاری‌شده روی زنجیره برگشت، پس سروری برای توقیف نیست، و با زیرساخت پراکسی که مشتریانش می‌گردانند؛ Check Point حدود ۹ میلیون دلار خالی‌شده در نخستین نیم‌سال بازگشت را مستند کرد. [29] وقتی اپراتورهای Inferno کنار رفتند، کد را به Angel Drainer سپردند که AngelX آن بیش از ۳۰۰ dApp مخرب را به‌طور خاص علیه TON و Tron مستقر کرده است. [30] TrickMo، تروجان بانکی اندروید، در ۲۰۲۶ فرمان‌وکنترل خود را به شبکه همتابه‌همتای خود TON برد: بی‌DNS، بی‌میزبان، چیزی برای از کار انداختن نیست. [31] این موضوع به گزارشی درباره کلاهبرداری در جوامع تعلق دارد چون هر درینری به کانال تحویل نیاز دارد، و آن کانال، جامعه است: ایردراپ جعلی در گروه، لینک مینی‌اپ در پیام خصوصی.

۸. چه چیزی هنوز کار می‌کند و چه چیزی به سقف خورده

آنچه هنوز کار می‌کند

شش چیز هنوز جایشان را دارند و لایه‌های تازه باید روی آن‌ها بنشینند، نه به جایشان.

کپچای هنگام پیوستن با محدودیت تازه‌واردها. مرورهای فروشندگان حدود ۹۵٪ کاهش اسپم گزارش می‌کنند؛ این رقم را جهت‌نما بدانید نه حسابرسی‌شده، اما با تجربه مدیران به‌عنوان پربازده‌ترین فیلتر منفرد همخوان است. [16] پاسخ به خستگی از کپچا، چالش‌های تطبیقی با ریسک است، نه حذف کپچا.
قفل‌ها روی لینک، فوروارد، رسانه و دعوت، دنباله بلند اسپم کم‌زحمت را تقریباً بی‌هزینه از بین می‌برند.
فهرست‌های مسدودسازی فدراسیونی مثل CAS، مسدودسازی یک جامعه را به همه مشترکان منتقل می‌کنند: ارزان، دقیق، برد رایگان. [17]
محدودیت نرخ ضدسیل هنوز نیمه ساده‌لوح انبوه‌ها را شکست می‌دهد.
گزارش اعضا سیگنال ارزانی با انسان در حلقه است که بیشتر جوامع کم از آن استفاده می‌کنند.
بررسی قدمت حساب مهاجمان تفننی را می‌گیرد، هرچند مزارع حرفه‌ای را نه.

آنچه به سقف خورده

تشخیص قاعده‌محور در برابر محتوای تولید هوش مصنوعی، چون وقتی هر پیام یکتاست امضایی نیست. اکتشاف‌های قدمت در برابر حساب‌های قدیمی پرورش‌یافته، چون صنعت پرورش این دفاع را به کالا بدل کرد. اعتبار تک‌پلتفرمی، چون مهاجمان از پلتفرمی به پلتفرم دیگر می‌روند و مسدودسازی‌ها نمی‌روند. فیلترهای ایستای کلیدواژه، چون ترفندهای همگلیف و عرض‌صفر آن‌ها را بی‌صدا شکست می‌دهند؛ ربات «پاک» گزارش می‌دهد در حالی که دورزدن از وسطش رد می‌شود. هیچ‌کدام از این‌ها بی‌ارزش نیستند؛ هنوز سر تفننی توزیع را می‌گیرند. فقط دیگر کافی نیستند.

پاسخ خودِ پلتفرم

تلگرام در هجده ماه بیش از یک دهه قبل در برابر سوءاستفاده حرکت کرده، و روایت صادقانه باید این را بگوید. در سپتامبر ۲۰۲۴ موضعش درباره اشتراک داده را برگرداند: آدرس‌های IP و شماره‌های تلفن حالا با درخواست قانونی معتبر به مجریان قانون داده می‌شود، و درخواست‌های اجراشده آمریکا از ۱۴ در سال به حدود ۹۰۰ رسید. [34] در ژانویه ۲۰۲۵ تأیید شخص‌ثالث برای حساب‌ها و ربات‌ها را عرضه کرد، همان سازوکار ضدجعل که مدافعان خواسته بودند؛ استفاده از آن تاکنون ناچیز است. [32] در ۲۰۲۵ پیام‌های پولی را معرفی کرد، کارمزد به ازای هر پیام برای غیرمخاطب‌ها، اصطکاک اقتصادی که مستقیم قیف پیام خصوصی را هدف می‌گیرد. [33] و حذف‌های انبوه بخش ۱ را اجرا کرد. مهاجمان سازگار شدند: کانال‌های پشتیبان از پیش آماده، شناسه‌های «ذخیره» که از قبل اعلام می‌شوند، و ورود با درخواست عضویت که نظارت خودکار را هم بیرون نگه می‌دارد. مهاجرت از تلگرام تقریباً دیده نمی‌شود؛ مخاطب در تلگرام است، پس مجرمان می‌مانند. [2]

توان اجرا حدود هفده برابر شد، از حداکثر ۳۰ هزار حذف در روز به حداکثر ۱۴۰ هزار، با اوج‌هایی بالای نیم میلیون. هر الگوی حمله در این گزارش با تمام مقیاس روی همین منحنی کار می‌کند. حجم حذف ضروری است و آشکارا کافی نیست؛ شکاف‌های باقی‌مانده ساختاری‌اند و در سطح جامعه قرار دارند.

۹. آنچه در حال ظهور است

سه جهت، که «چگونه»شان هنوز به‌طور عمومی حل نشده.

تشخیص با کمک هوش مصنوعی. استفاده از مدل‌ها در خط نظارت دارد اتفاق می‌افتد چون باید بیفتد؛ تشخیص امضامحور در برابر اسپم تولیدی مرده است. مسئله باز، هزینه است: یک مدل برای هر پیام در هر حجم واقعی صورتحساب را منفجر می‌کند، پس معماری‌هایی که کار می‌کنند با دقت مسیردهی می‌کنند و قضاوت گران را برای پیام‌هایی نگه می‌دارند که لازمش دارند.

لایه‌های سیگنال رفتاری. تشخیصی که از گفته کاربر فراتر می‌رود و به رفتار حساب نگاه می‌کند: چطور پیوست، پیش از پست چه کرد، چطور تعامل کرد، کی چرخید. در ربات‌های مستقرشده تقریباً غایب است و بزرگ‌ترین فرصت ازدست‌رفته این حوزه.

هویت قابل‌تأیید. اعتماد مشروط به کیف‌پول، مدرک یا اثبات انسان‌بودن برای زمینه‌های پرریسک. تنها چیزی است که اقتصاد یک بازیگر و حساب‌های بسیار را می‌شکند، چون هویتی که به چیزی هزینه‌دار لنگر انداخته را نمی‌شود ۲۰۰ تا ۲۰۰ تا به ۵۰۰ دلار خرید. گلوگاه، پذیرش است؛ برای رأی‌گیری DAO، کانال‌های آلفا و عضویت‌های پولی جهتی قابل‌دفاع است؛ یک قطعه از یک پاسخ هم‌گرا، نه کل پاسخ.

انتخاب میان این‌ها، و اجرای هر کدام در مقیاس، کار دو سه سال آینده است. پیش‌بینی‌ها و راهنمای عملی مدیران در بخش دوم این مجموعه می‌آید.

روش‌شناسی

این گزارش بر پایه ارائه مه ۲۰۲۶ با همین نام نوشته شده است. هر رقم پیش از انتشار دوباره با منبع اولیه یا نخستین گزارش آن تطبیق داده شد و هر یک نشانگر شماره‌داری به فهرست زیر دارد. هرجا رقمی از بازاریابی یک فروشنده یا مرور فروشندگان آمده، متن آن را می‌گوید. محاسبات تمثیلی (هزینه یک انبوه حساب در برابر عایدی یک کلاهبرداری) با همین عنوان مشخص شده‌اند. هیچ‌چیز در اینجا درباره شرکت یا محصولی با نام مشخص، نتیجه‌ای فراتر از آنچه منبع نقل‌شده می‌گوید بیان نمی‌کند. اصلاحات در تاریخچه تغییرات ثبت می‌شود و شماره نسخه را بالا می‌برد.

منابع

FBI IC3 — 2025 Internet Crime Report · ۲۰۲۶
Check Point Research — Telegram's crackdown in 2026, and why cyber criminals are still winning · ۲۰۲۶
Cointelegraph به نقل از Scam Sniffer — Malicious Telegram group scams have increased 2,000% since November · ژانویه ۲۰۲۵
Aura — 12 latest Telegram scams
Kaspersky — Telegram phishing and scams in 2025 · ۲۰۲۵
Coinbase — How scammers are targeting crypto communities
Dark Reading — FraudGPT malicious chatbot now for sale on dark web · ژوئیه ۲۰۲۳
The Register — WormGPT 4: $50 a month or $220 for life · نوامبر ۲۰۲۵
SlashNext — The State of Phishing 2023 (+۱٬۲۶۵٪ حجم فیشینگ پس از ChatGPT) · اکتبر ۲۰۲۳
Trend Micro — Inside the influence and fraud 'Patriot Bait' campaign · مه ۲۰۲۶
arXiv 2508.06457 — ScamAgents: how AI agents can simulate human-level scam calls · ۲۰۲۵
Check Point — The 'Truman Show' scam: trapped in an AI-generated reality · ژانویه ۲۰۲۶
arXiv 2409.14596 (USENIX Security 2025) — DarkGram: 339 cybercriminal Telegram channels, 23.8M followers · ۲۰۲۵
Mobileproxy.space (بازاریابی فروشنده) — Telegram account farming in 2026 · ۲۰۲۶
CoinDesk به نقل از Solidus Labs — Telegram ring ran pump-and-dump network that netted $800K in a month · دسامبر ۲۰۲۵
Andrew Kotchnev، Medium (مرور فروشندگان) — Top 5 CAPTCHA bots for Telegram in 2026 · ۲۰۲۶
Combot Anti-Spam System — CAS
Elliptic — Telegram market takedown: Huione and Xinbi Guarantee · مه ۲۰۲۵
TRM Labs — How Telegram's ban on Huione and Xinbi reshaped the guarantee-services landscape · ۲۰۲۵
CoinDesk — Illicit crypto trade quickly rebounds despite Telegram's shutdown of $35B Huione marketplace · ژوئیه ۲۰۲۵
دفتر مقابله با مواد مخدر و جرم سازمان ملل (UNODC) — Inflection Point: global implications of scam centres in Southeast Asia · آوریل ۲۰۲۵
وزارت دادگستری آمریکا — Chairman of Prince Group indicted; 127,271 BTC forfeiture · اکتبر ۲۰۲۵
Chainalysis — Crypto hacking and stolen funds, 2025 year in review · ۲۰۲۶
The Hacker News — BlueNoroff deepfake Zoom scam · ژوئن ۲۰۲۵
crypto.news — THORChain co-founder loses $1.35M to North Korean Zoom scam · ۲۰۲۵
Trend Micro — AI voice cloning · آوریل ۲۰۲۶
DailyCoin — TON ecosystem phishing attacks on the rise
Infosecurity Magazine — Telegram exploited in Toncoin scam
Check Point Research — Inferno Drainer reloaded: the return of the most sophisticated crypto drainer · ۲۰۲۵
Cryptopolitan — Inferno Drainer hands over to Angel Drainer
BleepingComputer — TrickMo Android banker adopts TON blockchain for covert comms · مه ۲۰۲۶
TechCrunch — Telegram rolls out third-party account verification · ژانویه ۲۰۲۵
Telegram — Star Messages, Gateway 2.0 and more · ۲۰۲۵
Fortune — Telegram to provide user info to governments on legal request · سپتامبر ۲۰۲۴

استناد به این گزارش

منتشرشده با مجوز CC BY 4.0. با لینک به این صفحه نقل‌قول و بازنشر کنید.

Targa-Praetorian (2026). وضعیت کلاهبرداری در جوامع دیجیتال — نسخه تلگرام، ۲۰۲۶ (v1.0). https://targa.dev/fa/research/state-of-scams-2026

@techreport{targa_state_of_scams_2026,
  title  = {وضعیت کلاهبرداری در جوامع دیجیتال — نسخه تلگرام، ۲۰۲۶},
  author = {{Targa-Praetorian}},
  year   = {2026},
  url    = {https://targa.dev/fa/research/state-of-scams-2026},
  note   = {v1.0, CC BY 4.0}
}

تغییرات

v1.0 · 17 اکتبر 2026 — نخستین ویرایش بر پایه ارائه مه ۲۰۲۶؛ هر رقم دوباره با منبع آن تطبیق داده شد.

امتیاز گروه شما چند است؟

بررسی رایگان گروه نشانه‌های عمومی یک گروه را می‌خواند و نشان می‌دهد کجا آسیب‌پذیر است. نیازی به حساب نیست.

بررسی یک گروه

یافته‌های کلیدی

۱. ابعاد ماجرا

در یک مقیاس

چرا حالا

۲. سه دوران

۳. ده روشی که حملات مدرن ابزارهای کلاسیک را شکست می‌دهند

۰۱ · پیام خصوصی «مدیر» با چت پاک

۰۲ · اسپم گفتگومحور تولیدشده با مدل زبانی

۰۳ · تعویض محموله با ویرایش

۰۴–۰۶ · مسئله امضا

۰۷–۱۰ · مسئله رفتار

۴. تهدید هوش مصنوعی با جزئیات

اقتصاد ماجرا

چرا امضاها شکست می‌خورند

چرخش عاملی

شوی ترومن

۵. یک بازیگر، هویت‌های بسیار

اقتصاد ماجرا

چرا دفاع را می‌شکند

هیدرا در مقیاس پلتفرم

۶. فراتر از کانال

چه کسانی کلاهبرداری‌ها را می‌گردانند

۷. پول کجاست

TON در تیررس

اقتصاد درینرها

۸. چه چیزی هنوز کار می‌کند و چه چیزی به سقف خورده

آنچه هنوز کار می‌کند

آنچه به سقف خورده

پاسخ خودِ پلتفرم

۹. آنچه در حال ظهور است

روش‌شناسی

منابع

استناد به این گزارش

تغییرات

امتیاز گروه شما چند است؟

راهنماهای مرتبط