फ़िशिंग, नक़ली ऐप और नुक़सानदेह मंज़ूरियाँ

जो चोर क्रिप्टोग्राफ़ी नहीं तोड़ सकते, उनके पास दो रास्ते हैं। वे आपका सीड फ़्रेज़ हासिल कर सकते हैं, या आपसे ऐसा कुछ साइन करवा सकते हैं जो आपके टोकन उन्हें सौंप दे। यह पाठ दोनों रास्तों के बारे में है।

पहला रास्ता: आपका सीड फ़्रेज़

फ़िशिंग साइटें। किसी वॉलेट या एक्सचेंज साइट की कॉपी ऐसे वेब पते पर होती है जो असली से एक अक्षर अलग है। इसका प्रचार विज्ञापनों, ईमेल और डायरेक्ट मैसेज से होता है। यह आपसे सीड फ़्रेज़ डालकर वॉलेट "रिस्टोर", "वेरिफ़ाई" या "सिंक" करने को कहती है।

नक़ली ऐप। लोकप्रिय वॉलेटों की नक़लें आधिकारिक ऐप स्टोर तक पहुँच जाती हैं। 2026 में कैस्परस्की को Apple के ऐप स्टोर में ऐसे 26 मिले। यूज़र्स के टाइप करते ही वे रिकवरी फ़्रेज़ पकड़कर हमलावरों को भेज देते थे।

नक़ली सपोर्ट। कोई आपके सार्वजनिक सवाल का जवाब निजी मैसेज और एक "सपोर्ट फ़ॉर्म" के लिंक से देता है।

तीनों का अंत एक जैसा होता है: आप अपने शब्द टाइप करते हैं और वॉलेट ख़ाली हो जाता है। पाठ 23 का नियम इन सबको हरा देता है। फ़्रेज़ सिर्फ़ तब डाला जाता है जब आप ख़ुद वॉलेट रिस्टोर करना चुनें, उस सॉफ़्टवेयर में जो आपने आधिकारिक स्रोत से इंस्टॉल किया।

दूसरा रास्ता: आपका सिग्नेचर

इस रास्ते में सीड फ़्रेज़ की ज़रूरत नहीं, और यह हार्डवेयर वॉलेट के ख़िलाफ़ भी काम करता है।

एथेरियम पर किसी ऐप के साथ टोकन इस्तेमाल करने के लिए आप पहले एक अप्रूवल साइन करते हैं। यह ऐप के स्मार्ट कॉन्ट्रैक्ट को आपके वॉलेट से वह टोकन ले जाने की इजाज़त देता है। ऐप अक्सर असीमित मात्रा माँगते हैं ताकि आपको सिर्फ़ एक बार मंज़ूरी देनी पड़े।

एक दुर्भावनापूर्ण साइट इसका ग़लत फ़ायदा उठाती है। वह कोई नया प्रोजेक्ट, एयरड्रॉप या क्लेम पेज बनकर आती है। आप अपना वॉलेट जोड़ते हैं और कुछ ऐसा साइन करते हैं जो रूटीन क़दम लगता है। असल में आपने हमलावर के कॉन्ट्रैक्ट को मंज़ूरी दे दी, जो फिर उस प्रकार का हर टोकन ले जाता है। इसके लिए बने औज़ारों को ड्रेनर कहते हैं। चेनालिसिस उन्हें ऐसी साइटें बताता है जो "web3 प्रोजेक्ट होने का स्वांग करती हैं"।

एक उदाहरण जनवरी 2024 का है, जब ख़ुद SEC का सोशल मीडिया खाता हैक हुआ था। SEC बनकर आए एक ड्रेनर ने लोगों को वॉलेट जोड़कर मुफ़्त टोकन क्लेम करने बुलाया।

अप्रूवल का असल मतलब

• यह तब तक रहता है जब तक आप उसे रद्द न करें, ऐप इस्तेमाल करना बंद करने के बाद भी।
• किसी साइट से अपना वॉलेट डिस्कनेक्ट करने से यह रद्द नहीं होता।
• असीमित का मतलब है उस प्रकार का हर टोकन, उनमें वे भी जो आप बाद में जोड़ें।
• अगर मंज़ूरी पाया कॉन्ट्रैक्ट हैक हो जाए या दुर्भावनापूर्ण निकले, तो वह इस इजाज़त का इस्तेमाल कर सकता है।

बचाव

सिग्नेचर पर रफ़्तार धीमी करें। पढ़ें कि आपका वॉलेट क्या दिखा रहा है। अगर उसमें "approve", "permit" या "set approval for all" लिखा है और आपको इसकी उम्मीद नहीं थी, तो ठुकरा दें।

सिर्फ़ ज़रूरत भर मंज़ूर करें। कई वॉलेट असीमित माँग को इस ट्रांज़ैक्शन की रकम तक घटाने देते हैं।

प्रयोग के लिए अलग वॉलेट रखें। नए ऐप आज़माने और चीज़ें क्लेम करने के लिए छोटे बैलेंस वाला वॉलेट रखें। बचत ऐसे वॉलेट में रखें जो कभी वेबसाइटों से न जुड़े।

पुरानी मंज़ूरियाँ रद्द करें। ब्लॉक एक्सप्लोरर और ख़ास टूल आपके एड्रेस की मंज़ूरियाँ दिखाते हैं और उन्हें रद्द करने देते हैं। हर रद्दगी एक ट्रांज़ैक्शन है और उसकी फ़ीस लगती है। साल में कुछ बार ऐसा करें, और कुछ ऐसा साइन करने के तुरंत बाद जिस पर पछतावा हो।

सुरक्षित पहुँचें। बुकमार्क इस्तेमाल करें। विज्ञापनों या मैसेजों के लिंक पर क्लिक न करें।

मुफ़्त पैसे को नज़रअंदाज़ करें। अचानक आए टोकन, बिना साइन-अप वाले एयरड्रॉप और "क्लेम" की जल्दबाज़ी वाली डेडलाइन चारा हैं।

दो नियम

किसी चीज़ को ठीक करने, वेरिफ़ाई करने या क्लेम करने के लिए कभी अपना सीड फ़्रेज़ टाइप न करें। ऐसा कोई ट्रांज़ैक्शन कभी साइन न करें जिसे आप समझा न सकें।