वॉलेट ड्रेनर: दुर्भावनापूर्ण अनुमतियाँ आपका क्रिप्टो कैसे चुराती हैं
वॉलेट ड्रेनर आपको ऐसी अनुमतियों पर साइन करने के लिए बरगलाता है जिनसे हमलावर आपका वॉलेट खाली कर देते हैं। जानें कि ड्रेनर कैसे काम करते हैं, चेतावनी के संकेत क्या हैं और खुद को कैसे बचाएँ।
वॉलेट ड्रेनर एक दुर्भावनापूर्ण वेबसाइट या स्क्रिप्ट है जो आपको ऐसे ट्रांज़ैक्शन या मैसेज साइन करने के लिए बरगलाती है जो हमलावर को आपके टोकन और NFT ले जाने की अनुमति देते हैं, और फिर उसी अनुमति का इस्तेमाल करके आपका वॉलेट खाली कर देती है। हमलावर को आपके सीड फ़्रेज़ की ज़रूरत ही नहीं पड़ती; सारा काम आपका अपना सिग्नेचर कर देता है।
नकली एयरड्रॉप, नकली मिंट और प्रोजेक्ट्स के हैक हुए सोशल मीडिया अकाउंट के बाद सामने आने वाले कई नुकसानों के पीछे ड्रेनर ही होते हैं। इन्हें तैयार किट के रूप में बेचा गया है, जिन्हें कभी-कभी “drainer-as-a-service” कहा जाता है, यानी बिना तकनीकी कौशल वाले स्कैमर भी इनका इस्तेमाल कर सकते हैं। आप क्या साइन कर रहे हैं, यह समझना ही सबसे अच्छा बचाव है।
टोकन अनुमतियाँ कैसे काम करती हैं (और ड्रेनर इन्हें क्यों पसंद करते हैं)
Ethereum और दूसरी EVM चेन पर विकेंद्रीकृत ऐप्स आपके टोकन खुद नहीं ले जा सकते। पहले आप एक अनुमति (approval) देते हैं: किसी खास कॉन्ट्रैक्ट को आपकी ओर से किसी खास टोकन को एक तय राशि तक खर्च करने की इजाज़त। DEX और लेंडिंग प्रोटोकॉल को काम करने के लिए इसकी ज़रूरत होती है।
समस्या यह है कि कई ऐप्स सुविधा के लिए असीमित अनुमतियाँ माँगते हैं, और अनुमतियाँ तब तक सक्रिय रहती हैं जब तक आप उन्हें रद्द न करें। ड्रेनर बस आपसे किसी वैध कॉन्ट्रैक्ट की बजाय अपने कॉन्ट्रैक्ट को अनुमति देने के लिए कहता है। जैसे ही आप साइन करते हैं, हमलावर जब चाहे ट्रांसफ़र कर सकता है।
NFT के लिए इसका समकक्ष setApprovalForAll है, जो किसी ऑपरेटर को किसी कलेक्शन में आपके हर NFT को ले जाने देता है। मार्केटप्लेस इसका वैध इस्तेमाल करते हैं; ड्रेनर इसका इस्तेमाल पूरे के पूरे कलेक्शन एक साथ ले जाने के लिए करते हैं। विस्तार से जानने के लिए Instagram और TikTok पर क्रिप्टो स्कैम देखें।
ड्रेनर किन सिग्नेचर का इस्तेमाल करते हैं
| अनुरोध का प्रकार | यह कैसा दिखता है | यह खतरनाक क्यों है |
|---|---|---|
| टोकन अनुमति | “इस साइट को आपके USDC खर्च करने दें” | खर्च करने वाले (spender) को उस टोकन पर अधिकार देता है |
| सभी NFT के लिए अनुमति | “इस कलेक्शन के आपके सभी NFT तक पहुँच दें” | ऑपरेटर को उस कलेक्शन का हर NFT ट्रांसफ़र करने देता है |
| Permit या Permit2 सिग्नेचर | साइन करने के लिए एक मैसेज, अक्सर बिना गैस फ़ीस के | एक ऑफ़-चेन अनुमति जिसे हमलावर बाद में जमा कर सकता है |
| सीधा ट्रांसफ़र | “Claim” बटन जो असल में संपत्ति बाहर भेज देता है | क्लेम के भेष में तुरंत चोरी |
| ब्लाइंड साइनिंग | न पढ़ा जा सकने वाला hex डेटा | आप नहीं बता सकते कि आप किस चीज़ को मंज़ूरी दे रहे हैं |
बिना गैस वाले सिग्नेचर खास तौर पर धोखा देने वाले होते हैं। क्योंकि इनमें कोई फ़ीस नहीं लगती, लोग मान लेते हैं कि ये हानिरहित “लॉगिन” हैं। कुछ होते भी हैं। बाकी ऐसे permit होते हैं जो खर्च करने की अनुमति देते हैं। आइस फ़िशिंग और permit सिग्नेचर पर हमारा लेख इन्हें विस्तार से समझाता है।
ड्रेनर हमला आमतौर पर कैसे होता है
- 1चारा। लिंक किसी नकली एयरड्रॉप घोषणा, आधिकारिक पोस्ट पर किए गए रिप्लाई, हैक हुए Discord सर्वर, प्रायोजित सर्च विज्ञापन या “सपोर्ट” की पेशकश करने वाले डायरेक्ट मैसेज के ज़रिए आता है।
- 2भरोसेमंद दिखने वाली साइट। पेज किसी असली प्रोजेक्ट के डिज़ाइन की नकल करता है और आपसे वॉलेट कनेक्ट करने को कहता है।
- 3संपत्ति की स्कैनिंग। ड्रेनर स्क्रिप्ट आपके बैलेंस जाँचती है और सबसे पहले आपकी सबसे कीमती संपत्तियों के लिए अनुमति माँगती है।
- 4सिग्नेचर। प्रॉम्प्ट को “claim”, “verify”, “mint” या “sync” के रूप में पेश किया जाता है, साथ में काउंटडाउन टाइमर जैसी जल्दबाज़ी पैदा की जाती है।
- 5सफ़ाया। संपत्तियाँ अक्सर कुछ ही सेकंड में बाहर ट्रांसफ़र कर दी जाती हैं और ट्रेस करना मुश्किल बनाने के लिए जल्दी से स्वैप या ब्रिज कर दी जाती हैं।
ड्रेनर अनुभवी उपयोगकर्ताओं पर भी क्यों काम करते हैं
ड्रेनर साफ़ तौर पर नकली दिखने वाली वेबसाइटों पर निर्भर नहीं रहते। कई हमले किसी असली प्रोजेक्ट के हैक हुए अकाउंट से शुरू होते हैं, इसलिए घोषणा असली लगती है, क्योंकि वह असली अकाउंट से ही पोस्ट की गई होती है। कुछ ठीक उसी समय सामने आते हैं जब कोई असली एयरड्रॉप या मिंट ट्रेंड कर रहा होता है, जब लोग ट्रांज़ैक्शन साइन करने की उम्मीद कर रहे होते हैं और सबसे पहले पहुँचने की जल्दी में होते हैं। संबंधित लेख: SIM स्वैप हमले। और गहराई से जानना चाहें तो नकली टोकन माइग्रेशन और स्वैप स्कैम पढ़ें।
इसके अलावा, वॉलेट प्रॉम्प्ट एक जैसे ही दिखते हैं, चाहे आप किसी भरोसेमंद DEX को अनुमति दे रहे हों या ड्रेनर कॉन्ट्रैक्ट को। फ़र्क बारीकियों में है: खर्च करने वाले का एड्रेस, टोकन और राशि। अनुभवी उपयोगकर्ता तब फँसते हैं जब आदत हावी हो जाती है और वे “confirm” पर वैसे ही क्लिक कर देते हैं जैसे पहले सैकड़ों बार कर चुके हैं। हम इसे क्रिप्टो चुराने वाले दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन में और विस्तार से बताते हैं। संबंधित लेख: क्रिप्टो उपयोगकर्ताओं के लिए ईमेल अकाउंट सुरक्षा।
साइन करने से पहले चेतावनी के संकेत
- आप किसी DM, रिप्लाई, विज्ञापन या ऐसे लिंक से आए हैं जिसे आपने खुद नहीं खोजा।
- साइट किसी ऐसे टोकन के लिए अनुमति माँग रही है जिसे आप ट्रेड करने का इरादा नहीं रखते थे।
- अनुमति की राशि असीमित है, या खर्च करने वाले का एड्रेस अनजाना है।
- आपसे ऐसा मैसेज साइन करने को कहा जा रहा है जिसे आप पढ़ नहीं सकते, या आपका वॉलेट ब्लाइंड साइनिंग की चेतावनी दे रहा है।
- दबाव बनाया जा रहा है: “क्लेम 10 मिनट में खत्म हो जाएगा”, “आपका वॉलेट निलंबित कर दिया जाएगा”।
- डोमेन थोड़ा अलग है, हाल ही में रजिस्टर हुआ है या कोई असामान्य एक्सटेंशन इस्तेमाल करता है। देखें क्रिप्टो फ़िशिंग साइटें।
खुद को कैसे बचाएँ
- 1नए मिंट, एयरड्रॉप और अनजाने ऐप्स के लिए बर्नर वॉलेट इस्तेमाल करें, और उसमें सिर्फ़ उतना रखें जितना ज़रूरी हो। लंबी अवधि की होल्डिंग्स एक अलग वॉलेट में रखें जो शायद ही कहीं कनेक्ट होता हो। बर्नर वॉलेट पर हमारी गाइड इसे सेट करने का तरीका बताती है।
- 2हर प्रॉम्प्ट पढ़ें। साइन करने से पहले एक्शन, टोकन, राशि और खर्च करने वाले की जाँच करें। अगर समझ न आए, तो अस्वीकार करें।
- 3सीमित अनुमतियों को प्राथमिकता दें, जब आपका वॉलेट आपको अपनी राशि तय करने दे।
- 4ट्रांज़ैक्शन प्रीव्यू या सिमुलेशन सुविधाएँ चालू करें, अगर आपके वॉलेट में उपलब्ध हों; ये दिखाती हैं कि आपके वॉलेट से क्या बाहर जाएगा।
- 5नियमित रूप से रद्द करें। पुरानी अनुमतियों की समीक्षा करें और उन्हें हटाएँ। टोकन अनुमतियाँ कैसे रद्द करें पर हमारी चरण-दर-चरण गाइड इसका तरीका बताती है।
- 6सीधे साइट पर जाएँ। लिंक पर क्लिक करने की बजाय जाने-पहचाने URL खुद टाइप करें या सेव किए गए बुकमार्क इस्तेमाल करें।
अगर आपको लगता है कि आपका वॉलेट खाली कर दिया गया है
जल्दी कदम उठाएँ, क्योंकि हमलावर अक्सर बची हुई संपत्ति के लिए लौटते हैं:
- वे सभी अनुमतियाँ रद्द करें जिन्हें आप नहीं पहचानते।
- बचे हुए फ़ंड को नए सीड फ़्रेज़ वाले बिल्कुल नए वॉलेट में ले जाएँ, खासकर अगर आपने अपना सीड फ़्रेज़ कहीं भी डाला हो।
- ट्रांज़ैक्शन हैश, हमलावर के एड्रेस और साइट का URL नोट करें।
- साइट और एड्रेस की रिपोर्ट करें, उदाहरण के लिए हमारे धोखाधड़ी रिपोर्ट फ़ॉर्म के ज़रिए, और उस प्लेटफ़ॉर्म पर भी जहाँ आपको लिंक मिला था।
- फ़ीस लेकर फ़ंड वापस दिलाने की पेशकश करने वाले किसी भी व्यक्ति को नज़रअंदाज़ करें; रिकवरी स्कैम हाल के पीड़ितों को निशाना बनाते हैं।
यह भी देखें हमारी चेकलिस्ट: अगर आपका वॉलेट हैक हो जाए तो तुरंत क्या करें।
निष्कर्ष
वॉलेट ड्रेनर आपके वॉलेट की क्रिप्टोग्राफ़ी नहीं तोड़ते; वे आपसे ही चोरी को मंज़ूरी दिलवाते हैं। हर सिग्नेचर को नियंत्रण सौंपने की संभावना मानें, कीमती संपत्ति ऐसे वॉलेट में रखें जो कभी अनजानी साइटों से न जुड़े, और अपनी अनुमतियों की नियमित सफ़ाई करें। साइन करने से पहले तीस सेकंड रुककर सोचना आपके पास मौजूद सबसे असरदार सुरक्षा उपकरण है।
अक्सर पूछे जाने वाले सवाल
क्या वॉलेट ड्रेनर मेरा सीड फ़्रेज़ चुरा सकता है?
आमतौर पर नहीं। ज़्यादातर ड्रेनर आपका सीड फ़्रेज़ कभी देखते ही नहीं। वे आपको ऐसी अनुमतियों या ट्रांसफ़र पर साइन करने के लिए बरगलाते हैं जो उन्हें आपके टोकन ले जाने की अनुमति देते हैं। कुछ फ़िशिंग पेज सीधे सीड फ़्रेज़ भी माँगते हैं, जो एक अलग स्कैम है: किसी भी वैध साइट को इसकी कभी ज़रूरत नहीं होती।
क्या अनुमतियाँ रद्द करने से चोरी हुए फ़ंड वापस मिल जाते हैं?
नहीं। रद्द करने से अनुमतियाँ हट जाती हैं, ताकि हमलावर स्वीकृत टोकन में से और न ले सके, लेकिन जो पहले ही ट्रांसफ़र हो चुका है, वह जा चुका है। समस्या दिखते ही अनुमतियाँ रद्द करें, और अगर आपने कुछ भी संदिग्ध साइन किया है तो बची हुई संपत्ति को नए वॉलेट में ले जाएँ।
क्या हार्डवेयर वॉलेट ड्रेनर से बचाते हैं?
आंशिक रूप से। हार्डवेयर वॉलेट आपकी निजी कुंजी को ऑफ़लाइन रखता है, लेकिन अगर आप डिवाइस पर किसी दुर्भावनापूर्ण अनुरोध को मंज़ूरी देते हैं, तो वह उस पर साइन कर देगा। हार्डवेयर वॉलेट सबसे ज़्यादा तब मदद करते हैं जब आप डिवाइस पर दिखाई गई जानकारी पढ़ते हैं और जो कुछ भी समझ न आए उसे अस्वीकार करते हैं।
किसी साइट पर जाने के कई दिन बाद मेरा वॉलेट क्यों खाली हुआ?
संभवतः आपने पहले कोई अनुमति या permit साइन किया था जो अब भी मान्य था। हमलावर इंतज़ार कर सकते हैं और बाद में, उदाहरण के लिए जब आपका बैलेंस बढ़ जाए, उस अनुमति का इस्तेमाल कर सकते हैं। इसीलिए पुरानी अनुमतियों की नियमित रूप से समीक्षा करना और उन्हें रद्द करना ज़रूरी है। साइन किए गए permit भी अपनी समय-सीमा तक मान्य रह सकते हैं।