क्रिप्टो फिशिंग अटैक प्रिवेंशन: ऑनलाइन सुरक्षित रहें

फिशिंग क्रिप्टोकरेंसी चोरी का सबसे प्रचलित अटैक वेक्टर है। क्रिप्टोग्राफिक कमजोरियों का दुरुपयोग करने के विपरीत (जो गणनात्मक रूप से असंभव है), फिशिंग मानव मनोविज्ञान का दुरुपयोग करता है — उपयोगकर्ताओं को अपने सीड फ्रेज, प्राइवेट कुंजियों, या एक्सचेंज क्रेडेंशियल स्वेच्छा से सौंपने के लिए धोखा देता है। उद्योग रिपोर्टों के अनुसार, फिशिंग अटैक सभी क्रिप्टोकरेंसी नुकसान का एक महत्वपूर्ण हिस्सा हैं, और ये तकनीकें सालाना अरबों डॉलर की चोरी करती हैं।

यह गाइड क्रिप्टो फिशिंग अटैक के प्रमुख प्रकारों को सूचीबद्ध करता है, आपको उन्हें पहचानना सिखाता है, और अपनी सुरक्षा के लिए ठोस प्रतिरोधक उपाय प्रदान करता है।

क्रिप्टो फिशिंग कैसे काम करता है

फिशिंग सोशल इंजीनियरिंग का एक रूप है जो आपको कोई ऐसा कार्य करने के लिए धोखे का उपयोग करता है जो हमलावर को लाभान्वित करता है। क्रिप्टोकरेंसी में, इसका मतलब आमतौर पर है:

1. क्रेडेंशियल हार्वेस्टिंग — आपके एक्सचेंज लॉगिन और 2FA कोड चोरी करना।
2. सीड फ्रेज चोरी — आपको अपना सीड फ्रेज एक नकली वॉलेट या वेबसाइट में दर्ज करने के लिए धोखा देना।
3. दुर्भावनापूर्ण ट्रांजैक्शन हस्ताक्षर — आपको एक स्मार्ट कॉन्ट्रैक्ट ट्रांजैक्शन को मंजूरी देने के लिए प्रेरित करना जो आपके वॉलेट को खाली करता है।
4. पता प्रतिस्थापन — एक वैध प्राप्तकर्ता पते को हमलावर के पते से बदलना।

सामान्य धागा धोखा है: किसी दुर्भावनापूर्ण चीज को वैध दिखना।

क्रिप्टो फिशिंग अटैक के प्रकार

1. नकली वॉलेट वेबसाइटें

हमलावर वैध वॉलेट वेबसाइटों (MetaMask, Ledger, Trezor, आदि) की पिक्सल-परफेक्ट प्रतियां बनाते हैं और उनके लिए ट्रैफिक चलाते हैं:

• वॉलेट-संबंधित खोज शब्दों के लिए Google/Bing विज्ञापन।
• टाइपोस्क्वाटिंग डोमेन (जैसे metamaask.io, ledger-wallet.com)।
• वास्तविक साइट के ऊपर या पास में रैंक करने के लिए SEO हेराफेरी।
• प्रायोजित सोशल मीडिया पोस्ट।

नकली साइट आपको अपना सीड फ्रेज दर्ज करके अपने वॉलेट को "कनेक्ट" या "पुनर्स्थापित" करने के लिए कहती है। एक बार दर्ज करने के बाद, हमलावर के पास आपका सीड फ्रेज होता है और सभी फंड खाली हो जाते हैं।

चेतावनी के संकेत:

• URL आधिकारिक डोमेन से भिन्न है (यहां तक कि एक वर्ण द्वारा)।
• साइट आपके सीड फ्रेज के लिए पूछती है। वैध वॉलेट वेबसाइटें कभी भी इसके लिए नहीं पूछती हैं।
• ब्राउज़र सुरक्षा चेतावनियां या HTTPS प्रमाणपत्र नहीं।
• साइट एक खोज विज्ञापन में दिखाई दी, न कि ऑर्गेनिक परिणामों में।

रोकथाम:

• आधिकारिक वॉलेट वेबसाइटों को बुकमार्क करें और हमेशा बुकमार्क का उपयोग करें।
• कोई भी जानकारी दर्ज करने से पहले URL को एक-एक करके सत्यापित करें।
• कभी भी किसी वेबसाइट पर अपना सीड फ्रेज दर्ज न करें। बिंदु।
• वॉलेट सॉफ़्टवेयर केवल आधिकारिक स्रोतों से डाउनलोड करें (ऐप स्टोर, GitHub रिलीज़)।

2. नकली ब्राउज़र एक्सटेंशन

दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन जो वैध क्रिप्टो वॉलेट (विशेष रूप से MetaMask) की नकल करते हैं, Chrome Web Store, Firefox Add-ons और अन्य एक्सटेंशन मार्केटप्लेस में पाए गए हैं:

• एक्सटेंशन असली जैसा दिखता है।
• जब आप एक वॉलेट "बनाते" या "आयात" करते हैं, तो एक्सटेंशन आपके सीड फ्रेज को कैप्चर करता है।
• कुछ दुर्भावनापूर्ण एक्सटेंशन असली एक्सटेंशन से ट्रांजैक्शन को इंटरसेप्ट करते हैं।

रोकथाम:

• एक्सटेंशन केवल आधिकारिक वॉलेट की वेबसाइट लिंक से इंस्टॉल करें।
• ब्राउज़र एक्सटेंशन स्टोर में एक्सटेंशन ID और डेवलपर नाम को सत्यापित करें।
• उपयोगकर्ताओं की संख्या और समीक्षाओं को जांचें (नकली एक्सटेंशन में आमतौर पर कम होते हैं)।
• इंस्टॉलेशन के बाद, आधिकारिक वॉलेट की वेबसाइट पर एक्सटेंशन को सत्यापित करें।

3. ईमेल फिशिंग

हमलावर एक्सचेंज, वॉलेट प्रदाता, या क्रिप्टो सेवाओं का प्रतिरूपण करते हुए ईमेल भेजते हैं:

• "आपके खाते से समझौता हुआ है — तुरंत अपनी पहचान सत्यापित करें।"
• "अज्ञात डिवाइस से नई लॉगिन का पता चला है — अपने खाते को सुरक्षित करने के लिए यहां क्लिक करें।"
• "आपकी निकासी लंबित है — लॉगिन करके पुष्टि करें।"
• "Ledger के लिए फर्मवेयर अपडेट आवश्यक है — अपडेट करने के लिए यहां क्लिक करें।"

ईमेल में एक नकली साइट की लिंक होती है जो आपके क्रेडेंशियल को कैप्चर करती है।

चेतावनी के संकेत:

• प्रेषक का पता आधिकारिक डोमेन से मेल नहीं खाता (सावधानीपूर्वक जांचें — [email protected] [email protected] नहीं है)।
• सामान्य ग्रीटिंग ("प्रिय ग्राहक" बजाय आपके नाम के)।
• जरूरी भाषा ("अभी कार्य करें," "तुरंत कार्रवाई आवश्यक")।
• लिंक जो होवर करने पर विभिन्न डोमेन की ओर इशारा करते हैं।
• सीड फ्रेज या प्राइवेट कुंजियों के लिए अनुरोध (वैध कंपनियां कभी भी इसके लिए नहीं पूछती हैं)।

रोकथाम:

• ईमेल में लिंक पर कभी क्लिक न करें जो एक्सचेंज या वॉलेट से दावा करते हैं।
• URL टाइप करके या बुकमार्क का उपयोग करके सीधे आधिकारिक वेबसाइट पर नेविगेट करें।
• ईमेल फिल्टरिंग और एंटी-फिशिंग सुरक्षा सक्षम करें।
• फिशिंग ईमेल को प्रतिरूपित कंपनी को रिपोर्ट करें।

4. सोशल मीडिया स्कैम

प्रतिरूपण खाते

हमलावर सोशल मीडिया खाते बनाते हैं जो क्रिप्टो प्रभावशाली, प्रोजेक्ट संस्थापकों, या समर्थन कर्मचारियों की नकल करते हैं। वे उपयोगकर्ताओं की प्रतिक्रिया करते हैं जो मदद के लिए पूछते हैं:

• "मुझे DM करें और मैं आपके वॉलेट को ठीक करने में मदद करूंगा।"
• "मुझे अपना सीड फ्रेज भेजें ताकि हम समस्या का निदान कर सकें।"
• "हम एक गिवअवे कर रहे हैं — 0.1 ETH भेजें और 1 ETH वापस पाएं।"

रोकथाम:

• खाते की प्रामाणिकता को सत्यापित करें (चेकमार्क, फॉलोवर की संख्या, खाते की आयु, पोस्ट का इतिहास)।
• कोई भी वैध समर्थन कभी भी आपके सीड फ्रेज या प्राइवेट कुंजी के लिए नहीं पूछेगा।
• कोई भी वैध गिवअवे आपको पहले क्रिप्टो भेजने की आवश्यकता नहीं है।

नकली एयरड्रॉप और टोकन दावे

हमलावर "मुफ्त एयरड्रॉप" दावों के लिए लिंक वितरित करते हैं:

• "अपने मुफ्त UNISWAP टोकन प्राप्त करें" (एक नकली साइट की लिंक के साथ)।
• नकली टोकन आपके वॉलेट में "Visit claimreward.xyz to claim" जैसे नाम के साथ दिखाई देते हैं।
• दावा वेबसाइट आपको अपने वॉलेट को कनेक्ट करने और एक दुर्भावनापूर्ण ट्रांजैक्शन को मंजूरी देने के लिए कहती है।

रोकथाम:

• कभी भी ऐसे टोकन के साथ इंटरैक्ट न करें जो आपके वॉलेट में अनायास दिखाई दिए हों।
• कभी भी ऐसी साइटों पर ट्रांजैक्शन को मंजूरी न दें जहां आप जानबूझकर नहीं गए हों।
• एयरड्रॉप की घोषणाओं को केवल प्रोजेक्ट के आधिकारिक चैनलों के माध्यम से सत्यापित करें।

5. Discord और Telegram स्कैम

Discord और Telegram पर क्रिप्टो समुदायों को भारी लक्ष्य बनाया जाता है:

• नकली समर्थन चैनल — हमलावर आधिकारिक समर्थन की नकल करने वाले चैनल बनाते हैं।
• DM फिशिंग — आप किसी सार्वजनिक चैनल में एक सवाल पोस्ट करने के बाद, हमलावर आपको DM करते हैं और समर्थन कर्मचारी का नाटक करते हैं।
• नकली प्रशासक संदेश — प्रशासकों का प्रतिरूपण करके उपयोगकर्ताओं को नकली साइटों की ओर निर्देशित करना।
• समझौता किए गए सर्वर — हमलावर प्रशासक पहुंच प्राप्त करते हैं और आधिकारिक चैनलों में नकली लिंक पोस्ट करते हैं।

रोकथाम:

• Discord सेटिंग्स में सर्वर सदस्यों से DM अक्षम करें।
• सत्यापित करें कि मदद आधिकारिक समर्थन चैनलों से आ रही है, DM से नहीं।
• ऐसे किसी भी व्यक्ति के लिए संदिग्ध रहें जो आपके वॉलेट के बारे में निजी बातचीत शुरू करता है।
• प्रोजेक्ट की आधिकारिक वेबसाइट के विरुद्ध घोषणाओं की जांच करें।

6. QR कोड फिशिंग

हमलावर QR कोड प्रस्तुत करते हैं जो दुर्भावनापूर्ण पते या URL को एनकोड करते हैं:

• एक भौतिक स्थान (पोस्टर, स्टिकर) में एक QR कोड जो एक नकली साइट की ओर जाता है।
• एक QR कोड जो व्यापारी के पते की जगह हमलावर के पते को एनकोड करता है।
• ऑनलाइन छवियों या वीडियो में QR कोड।

रोकथाम:

• कोई भी कार्रवाई करने से पहले किसी भी QR कोड की डिकोडेड सामग्री को सत्यापित करें।
• QR कोड से प्राप्त पते की तुलना एक स्वतंत्र चैनल के माध्यम से अपेक्षित पते से करें।
• अविश्वसनीय स्रोतों से QR कोड स्कैन न करें।

7. पता जहर देना

यह परिष्कृत अटैक वॉलेट UI में पता ट्रंकेशन का दुरुपयोग करता है:

1. हमलावर एक पता उत्पन्न करता है जो एक पते के पहले और अंतिम कुछ वर्णों से मेल खाता है जिसके साथ आपने हाल ही में लेनदेन किया है।
2. हमलावर आपको इस समान दिखने वाले पते से एक छोटी ट्रांजैक्शन (डस्ट) भेजता है।
3. जब आप बाद में अपने ट्रांजैक्शन इतिहास से एक पता कॉपी करते हैं, तो आप गलती से असली पते की जगह हमलावर के समान दिखने वाले पते को कॉपी कर सकते हैं।

रोकथाम:

• हमेशा पूरे पते को सत्यापित करें, केवल पहले और अंतिम कुछ वर्णों को नहीं।
• ट्रांजैक्शन इतिहास से पते को कॉपी न करें — मूल स्रोत का उपयोग करें।
• कुछ वॉलेट अब पता जहर देने के प्रयासों को हाइलाइट करते हैं।

8. क्लिपबोर्ड अपहरण

मैलवेयर जो आपके क्लिपबोर्ड की निगरानी करता है और क्रिप्टोकरेंसी पते को हमलावर के पते से बदलता है:

• आप फंड भेजने के लिए एक वैध पता कॉपी करते हैं।
• मैलवेयर इसे चुप-चाप हमलावर के पते से बदल देता है।
• आप पेस्ट करते हैं और भेजते हैं — फंड हमलावर के पास जाते हैं।

रोकथाम:

• हमेशा पेस्ट किए गए पते को कम से कम पहले 6 और अंतिम 6 वर्णों की तुलना करके सत्यापित करें।
• हार्डवेयर वॉलेट का उपयोग करें जो प्राप्ति पते को डिवाइस स्क्रीन पर सत्यापन के लिए प्रदर्शित करते हैं।
• एंटी-मैलवेयर सॉफ़्टवेयर चलाएं और अपने सिस्टम को अपडेट रखें।
• उच्च-मूल्य ट्रांजैक्शन के लिए पते को मैन्युअल रूप से टाइप करने पर विचार करें (हालांकि यह टाइपो जोखिम की शुरुआत करता है)।

9. नकली मोबाइल ऐप्स

ऐप स्टोर में नकली वॉलेट और एक्सचेंज ऐप:

• असली ऐप के समान दिखते हैं लेकिन क्रेडेंशियल या सीड फ्रेज चोरी करने के लिए कोड होता है।
• नकली समीक्षाओं से उच्च रेटिंग हो सकती है।
• अक्सर एक नई वैध ऐप रिलीज़ के तुरंत बाद दिखाई देते हैं।

रोकथाम:

• केवल आधिकारिक वेबसाइट पर लिंक से डाउनलोड करें।
• ऐप स्टोर में डेवलपर नाम को सत्यापित करें।
• ऐप के प्रकाशन की तारीख और समीक्षा गिनती की जांच करें।
• नकली ऐप्स को ऐप स्टोर को रिपोर्ट करें।

दुर्भावनापूर्ण स्मार्ट कॉन्ट्रैक्ट अनुमोदन

DeFi में फिशिंग का एक विशेष रूप से खतरनाक रूप उपयोगकर्ताओं को दुर्भावनापूर्ण स्मार्ट कॉन्ट्रैक्ट इंटरैक्शन को मंजूरी देने के लिए धोखा देना शामिल है:

टोकन अनुमोदन स्कैम

जब आप एक DeFi प्रोटोकॉल के साथ इंटरैक्ट करते हैं, तो आमतौर पर स्मार्ट कॉन्ट्रैक्ट को अपने टोकन खर्च करने की अनुमति देते हैं। एक दुर्भावनापूर्ण साइट असीमित अनुमोदन का अनुरोध कर सकता है, जिससे यह आपके वॉलेट से किसी भी समय किसी विशेष टोकन को खाली करने की अनुमति दे सकता है — यहां तक कि आपके साइट छोड़ने के बाद भी।

रोकथाम:

• हस्ताक्षर करने से पहले हर ट्रांजैक्शन अनुमोदन को सावधानीपूर्वक समीक्षा करें।
• एक वॉलेट का उपयोग करें जो मानव-पठनीय ट्रांजैक्शन विवरण प्रदर्शित करता है।
• टोकन अनुमोदन को आवश्यक राशि तक सीमित करें ("असीमित" नहीं)।
• Revoke.cash जैसे उपकरणों का उपयोग करके अनावश्यक अनुमोदनों को नियमित रूप से समीक्षा करें और रद्द करें।

अंधा हस्ताक्षर

कुछ फिशिंग अटैक ऐसे ट्रांजैक्शन प्रस्तुत करते हैं जो वॉलेट UI द्वारा पूरी तरह से डिकोड नहीं किए जा सकते हैं, जिससे "अंधा हस्ताक्षर" होता है — एक ट्रांजैक्शन को मंजूरी देना जिसके प्रभाव आप सत्यापित नहीं कर सकते। यह विशेष रूप से NFT मार्केटप्लेस के आदेशों और जटिल DeFi इंटरैक्शन के साथ खतरनाक है।

रोकथाम:

• कभी भी ऐसे ट्रांजैक्शन को मंजूरी न दें जिसे आप पूरी तरह नहीं समझते हैं।
• ऐसे वॉलेट का उपयोग करें जो ट्रांजैक्शन सिमुलेशन का समर्थन करते हैं (हस्ताक्षर करने से पहले अपेक्षित परिणाम दिखाते हैं)।
• यदि कोई dApp आपको कुछ अपठनीय पर हस्ताक्षर करने के लिए कहता है, तो इस पर हस्ताक्षर न करें।

SafeSeed उपकरण

SafeSeed पेपर वॉलेट क्रिएटर पूरी तरह से आपके ब्राउज़र में वॉलेट उत्पन्न करता है — बाहरी सेवाओं के लिए कोई कनेक्शन नहीं, कोई ट्रांजैक्शन हस्ताक्षर नहीं, कोई स्मार्ट कॉन्ट्रैक्ट अनुमोदन नहीं। क्रिप्टोकरेंसी को प्राप्त करने और ठंड भंडारण में संग्रहीत करने के लिए, पेपर वॉलेट दुर्भावनापूर्ण dApps के माध्यम से फिशिंग का जोखिम पूरी तरह से समाप्त करते हैं।

एक फिशिंग-प्रतिरोधी सेटअप बनाना

1. हार्डवेयर वॉलेट का उपयोग करें

हार्डवेयर वॉलेट रक्षा की एक महत्वपूर्ण परत प्रदान करते हैं: वे अपनी स्वयं की स्क्रीन पर ट्रांजैक्शन विवरण प्रदर्शित करते हैं, जिसे आपके कंप्यूटर पर मैलवेयर द्वारा हेराफेरी नहीं की जा सकती। यहां तक कि अगर आप एक नकली साइट पर जाते हैं, तो हार्डवेयर वॉलेट हस्ताक्षर करने से पहले वास्तविक ट्रांजैक्