विषाक्त 'धूल': लापरवाही से कैसे लाखों की चोरी होती है

आप MetaMask, Rabby या Etherscan खोलते हैं और कुछ असामान्य गतिविधि देखते हैं: आपके वॉलेट में माइक्रोस्कोपिक मात्रा में USDT, USDC या ETH भेजी जा रही है। कभी यह $0.01 होता है, कभी $0.0001, और कभी तो मात्र 0 USDT। और तो और, भेजने वालों के पते उन पतों से संदेहास्पद रूप से मिलते-जुलते दिखते हैं जिनके साथ आपने पहले ही लेनदेन किया है।

कुछ मामलों में, आपको ऐसे आउटगोइंग ट्रांसफर भी दिखाई दे सकते हैं जिन्हें आपने कभी अधिकृत नहीं किया था।

आपका पहला विचार यह हो सकता है कि आपके वॉलेट को हैक कर लिया गया है। लेकिन अक्सर कारण काफी अलग होता है: एड्रेस पॉइज़निंग।

यह एक धोखाधड़ी की योजना है जिसमें हमलावर आपके लेनदेन के इतिहास में नकली पते डालते हैं, इस उम्मीद में कि आप अंततः गलत पते को कॉपी कर लेंगे और खुद ही उन्हें पैसे भेज देंगे।

2026 तक, इस तरह के हमले व्यापक और स्वचालित हो गए थे। एक ही पते की नकल करते समय हुई एक छोटी सी गलती के कारण करोड़ों डॉलर के नुकसान की रिपोर्टें सामने आई हैं।

एड्रेस पॉइज़निंग क्या है?

एड्रेस पॉइज़निंग एक उपयोगकर्ता के क्रिप्टो वॉलेट के लेनदेन इतिहास में उनके विश्वास पर किया गया हमला है।

मान लीजिए कि आप नियमित रूप से अपने दो स्वयं के वॉलेट के बीच या किसी एक्सचेंज के डिपॉजिट एड्रेस पर USDT ट्रांसफर करते हैं।

आप पहले से ही याद कर चुके हैं कि सही पता से शुरू होता है 0x6d90 और समाप्त होता है 2e48. जब आपको ट्रांसफर दोहराना होगा, तो आप अपना ट्रांजैक्शन इतिहास खोलेंगे, परिचित पता ढूंढेंगे और उसे कॉपी करेंगे।

यह ठीक वही है जिस पर घोटालेबाज़ भरोसा कर रहा है।

वे अपना खुद का क्रिप्टोकरेंसी पता बनाते हैं, जिसके पहले और आखिरी अक्षर आपके असली प्राप्तकर्ता के पते से मेल खाते हैं। फिर वे आपको नगण्य मात्रा में क्रिप्टोकरेंसी भेजते हैं या शून्य-मूल्य या नकली टोकन ट्रांसफर बनाते हैं।

अब यह धोखाधड़ी वाला पता आपके लेन-देन में दिखाई देता है।

मुख्य खतरा यह है कि माइक्रो-ट्रांज़ैक्शन प्राप्त होते ही पैसा गायब नहीं होता। चोरी बाद में होती है, जब उपयोगकर्ता स्वयं फर्जी पते पर फंड भेजता है।

एक समझौता किया हुआ पता कैसा दिखता है: 2026 का एक वास्तविक उदाहरण

30 जनवरी 2026 को, एथेरियम नेटवर्क पर एक हमला हुआ, जिसके परिणामस्वरूप एक उपयोगकर्ता ने हमलावर को 4,556 ETH भेज दिए। एनालिटिक्स फर्म बिटक्वेरी ने घटना के दिन ETH की कीमत के आधार पर इस ट्रांसफर के मूल्य का अनुमान लगभग $12.4 मिलियन लगाया।

शोधकर्ताओं ने निम्नलिखित पतों की पहचान की:

प्राप्तकर्ता का वास्तविक पता:
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48

हमलावर का पता:
0x6d9052b2df589de00324127fe2707eb34e592e48

दोनों पते से शुरू होते हैं 0x6d90 और समाप्त होता है 2e48.

आइए देखें कि वॉलेट इंटरफ़ेस में ये कैसे दिखते हैं, जो पते के बीच के हिस्से को काट देता है:

इस संक्षिप्त प्रारूप में, पते एक जैसे दिखते हैं। उनके बीच के हिस्से पूरी तरह से अलग हैं, लेकिन उपयोगकर्ता शायद बता न पाए।

चोरी से पहले, हमलावर ने पीड़ित के वॉलेट में बार-बार नैनो मात्रा में ETH भेजा। ऐसा पहला ट्रांसफर 3 अक्टूबर 2025 को ही दर्ज किया गया था। कुछ महीने बाद, पीड़ित ने नकली पते पर 4,556 ETH ट्रांसफर कर दिए।

धोखेबाज विशेष रूप से अंतिम 4–5 अक्षरों और अंकों को क्यों निशाना बनाते हैं?

यह कैसे काम करता है, यह समझने के लिए, Ethereum और अन्य EVM नेटवर्क पर पतों की संरचना को जानना महत्वपूर्ण है।

एक Ethereum पते में निम्नलिखित 40 हेक्साडेसिमल अक्षरों से मिलकर बना होता है 0x. उपयोग किए गए अक्षर 0 से 9 तक के अंक और a से f तक के अक्षर हैं।

प्रत्येक अक्षर के कुल 16 संभावित मान होते हैं।

एक हमलावर अपने पते के कई अक्षरों को मनमाने ढंग से तब तक नहीं बदल सकता जब तक कि वह संबंधित निजी कुंजी को बनाए रखता है। इसके बजाय, वे तब तक बड़ी संख्या में नई निजी कुंजियाँ और पते उत्पन्न करते हैं जब तक कि उन्हें एक उपयुक्त संयोजन नहीं मिल जाता।

इस तरह के पतों को 'वैनिटी एड्रेस' के रूप में जाना जाता है — ऐसे पते जिनमें अक्षरों का एक पूर्व-चयनित पैटर्न होता है।

मिलान खोजने की कठिनाई घातीय रूप से बढ़ जाती है: प्रत्येक अतिरिक्त मेल खाने वाला हेक्साडेसिमल अक्षर प्रयासों की औसत संख्या को 16 गुना बढ़ा देता है।

ये आंकड़े केस की परवाह किए बिना तुलना करते समय समान रूप से वितरित पतों के लिए गणितीय अपेक्षाओं का प्रतिनिधित्व करते हैं। मिलान खोजने में वास्तविक समय हार्डवेयर और जनरेटर के कार्यान्वयन पर निर्भर करता है।

यहाँ दो परिस्थितियों के बीच अंतर करना महत्वपूर्ण है।

केवल अंतिम 4–5 अक्षरों को शामिल करने वाला मिलान अपेक्षाकृत कम गणनाओं की आवश्यकता होती है। ऐसे पते खोजना काफी सरल है।

पहले और आखिरी दोनों 4–5 अक्षरों को एक साथ मिलाना काफी अधिक जटिल है: अब हम अरबों या खरबों उम्मीदवारों की बात कर रहे हैं। हालांकि, अनुकूलित सॉफ़्टवेयर, जीपीयू और समानांतर कंप्यूटिंग के उपयोग से, ऐसे कार्य तकनीकी रूप से संभव बने रहते हैं।

धोखेबाजों को एकदम सटीक नक़ल की ज़रूरत नहीं होती। उनके लिए यह काफी है कि पते के ठीक वही हिस्से मेल खाते हों जिन्हें वॉलेट दिखाता है या जिन्हें कोई व्यक्ति जाँचता है।

इसलिए, प्रत्येक छोर से 4–5 अक्षर संगणकीय लागत और दृश्य समानता के बीच एक आम समझौता है।

इन्हीं इंटरफेसों के कारण ही पता के बीच का हिस्सा ellipsis के पीछे छिपा रहता है, जो इस तरह के हमलों को प्रभावी बनाता है।

इसके बावजूद, एक डुप्लिकेट पता बनाना एथेरियम की क्रिप्टोग्राफी का उल्लंघन नहीं है। असली पते की प्राइवेट की हमलावर के लिए अज्ञात रहती है।

$0.0001, 0 USDT और अन्य माइक्रो-राशियों को क्यों भेजें?

माइक्रो-ट्रांसफर का उद्देश्य मूल्य हस्तांतरित करना नहीं, बल्कि लेनदेन इतिहास में इच्छित पते को दर्ज करना है।

तकनीकी रूप से, धोखेबाज कई तरीकों का उपयोग करते हैं।

1. डस्ट ट्रांसफर

हमलावर वास्तव में अपने ही किसी समान दिखने वाले पते से वॉलेट में ETH, USDT या किसी अन्य टोकन की एक बहुत छोटी मात्रा भेजता है।

परिणामस्वरूप, यह पता इनकमिंग ट्रांजैक्शन के प्रेषक के रूप में दिखाई देता है।

भेजी गई संपत्तियों का मूल्य संभावित लाभ की तुलना में नगण्य हो सकता है। हालांकि, धोखेबाज़ फिर भी आवश्यक नेटवर्क शुल्क का भुगतान करता है।

यह महत्वपूर्ण है कि इकाइयों को भ्रमित न करें: 0.01 सेंट $0.0001 है, जबकि $0.01 एक सेंट है। इंटरफ़ेस एक पूर्णांकित मूल्य दिखा सकता है, इसलिए वास्तविक ट्रांसफर राशि और भी कम हो सकती है।

2. शून्य-मूल्य वाले ट्रांसफर

कुछ ERC-20 कॉन्ट्रैक्ट्स में, कॉल करना संभव है transferFrom शून्य राशि के लिए, टोकन खर्च करने की स्पष्ट अनुमति के बिना।

यह एक इवेंट को ट्रिगर करने की अनुमति देता है Transfer जिसका मान 0 है, जो पीड़ित के वॉलेट से एक लेनदेन के रूप में दिखाई दे सकता है।

इस तरह का हस्तांतरण अपने आप में यह नहीं दर्शाता कि हमलावर को निजी कुंजी या संपत्ति का निपटान करने की क्षमता प्राप्त हो गई है।

3. इवेंट स्पूफिंग — घटनाओं में छेड़छाड़

धोखेबाज अपने स्वयं के टोकन अनुबंधों को तैनात करते हैं और घटनाएँ उत्पन्न करते हैं Transferजो वास्तविक लेनदेन की नकल करते हैं।

उदाहरण के लिए, एक नकली टोकन प्रतीक के साथ बनाया जाता है USDT. इसका कॉन्ट्रैक्ट ब्लॉकचेन को एक ऐसे ट्रांसफर की सूचना देता है जो असली Tether से जुड़े लेनदेन जैसा दिखता है।

यदि वे असली और नकली टोकन कॉन्ट्रैक्ट्स के बीच पर्याप्त सावधानी से अंतर नहीं करते हैं, तो कुछ इंटरफ़ेस इसे उपयोगकर्ता के लेनदेन में दिखा सकते हैं।

परिणामस्वरूप, एक उपयोगकर्ता एक कथित आउटगोइंग ट्रांसफर देख सकता है जिसे उसने कभी अधिकृत नहीं किया था।

यही कारण है कि न केवल टोकन का नाम, बल्कि उसका कॉन्ट्रैक्ट एड्रेस और लेनदेन के आरंभकर्ता की भी जांच करना आवश्यक है।

और पढ़ें: एड्रेस पॉइज़निंग पर ईथरस्कैन की आधिकारिक गाइड।

2026 तक ये हमले कितने व्यापक हो गए थे?

एड्रेस पॉइज़निंग अब बहुत पहले ही एक दुर्लभ, मैन्युअल योजना होना बंद हो चुकी है।

यूज़ेनिक्स सिक्योरिटी 2025 सम्मेलन में प्रकाशित 'ब्लॉकचेन एड्रेस पॉइज़निंग' अध्ययन में, कार्नेगी मेलन विश्वविद्यालय के शोधकर्ताओं और उनके सह-लेखकों ने 1 जुलाई 2022 से 30 जून 2024 की अवधि के दौरान एथेरियम और बीएनबी स्मार्ट चेन नेटवर्क का विश्लेषण किया।

शोधकर्ताओं ने पाया:

• पता जहरिंग के लगभग 270 मिलियन प्रयास।
• 17 मिलियन से अधिक पते जिन पर हमले किए गए थे।
• 6,633 सफल फंड पुनर्निर्देशन के पहचाने गए मामले।
• पीड़ितों द्वारा किए गए कुल कम से कम $83.8 मिलियन के ट्रांसफर।

इस अंतिम आंकड़े को स्वचालित रूप से अपरिवर्तनीय नुकसान की निर्णायक राशि नहीं माना जा सकता: कुछ ज्ञात घटनाओं में कुछ ट्रांसफर पुनः प्राप्त किए गए थे।

स्रोत: यूज़निक्स सिक्योरिटी 2025 — ब्लॉकचेन एड्रेस पॉइज़निंग।

मार्च 2026 में, ईथरस्कैन ने गतिविधि में वृद्धि पर अतिरिक्त डेटा प्रकाशित किया।

3 दिसंबर 2025 को एथेरियम फुसाका अपग्रेड के बाद के 90 दिनों में, पिछले 90 दिनों की तुलना में $0.01 से कम मूल्य के USDT ट्रांसफर की संख्या 4.2 मिलियन से बढ़कर 29.9 मिलियन हो गई।

यह 612 प्रतिशत की वृद्धि को दर्शाता है।

इसका मतलब यह नहीं है कि सभी 29.9 मिलियन लेनदेन धोखाधड़ी वाले थे: ईथरस्कैन स्पष्ट रूप से उल्लेख करता है कि हर डस्ट ट्रांसफर एक हमला नहीं होता है। हालांकि, बड़े पैमाने पर एड्रेस पॉइज़निंग अभियान इस स्तर की गतिविधि में योगदान करते हैं।

इसके अलावा, मेटामास्क ने जून 2026 में बताया कि उसके भागीदार ब्लोकाइड ने जनवरी 2025 और फरवरी 2026 के बीच 65.4 मिलियन लेनदेन को एड्रेस पॉइज़निंग के रूप में चिह्नित किया था।

यह आंकड़ा सिस्टम द्वारा पता लगाए गए मामलों की संख्या को दर्शाता है, न कि सफल चोरी की संख्या को।

वास्तविक जीवन के मामले: कैसे उपयोगकर्ताओं ने लाखों डॉलर गंवाए

मई 2024 — लगभग $68–71 मिलियन WBTC

3 मई 2024 को, एक एथेरियम उपयोगकर्ता ने 1,155 WBTC एक हमलावर के पते पर भेज दिए, जिसने पहले इस्तेमाल किए गए पते की नकल की थी।

प्रारंभिक लेनदेन के समय, संपत्तियों का मूल्य लगभग $68 मिलियन का अनुमान था। अन्य रिपोर्टों में संपत्तियों के मूल्यांकन में बदलाव के कारण लगभग $71 मिलियन का आंकड़ा दिया गया है।

चेनएनालिसिस ने लेनदेन के क्रम का पुनर्निर्माण किया और एड्रेस पॉइजनिंग तंत्र की पुष्टि की।

सार्वजनिक बातचीत के बाद, हमलावर ने अधिकांश धनराशि पीड़ित को वापस कर दी।

एक महत्वपूर्ण विवरण: यद्यपि बड़ी राशि सफलतापूर्वक वसूल कर ली गई थी, चेनएनालिसिस ने मुख्य पीड़ित को लौटाई गई धनराशि को ध्यान में रखने के बाद भी, व्यापक अभियान से हमलावर के मुनाफे का अनुमान लगभग $1.49 मिलियन लगाया।

स्रोत: चेनएनालिसिस — एनाटॉमी ऑफ़ एन एड्रेस पॉइज़निंग स्कैम।

दिसंबर 2025 — लगभग $50 मिलियन USDT

20 दिसंबर 2025 को, सबसे स्पष्ट घटनाओं में से एक घटी।

एक उपयोगकर्ता ने अपने वॉलेट्स के बीच बड़ी मात्रा में USDT ट्रांसफर करने की योजना बनाई।

सबसे पहले, उन्होंने असली पते पर 50 USDT का एक परीक्षण ट्रांसफर किया। फिर हमलावर के स्वचालित सिस्टम ने एक डुप्लिकेट पता बनाया जो प्राप्तकर्ता के पते से पहले पाँच और आखिरी चार अक्षरों में मेल खाता था।

नकली पते को छोटे-छोटे ट्रांसफर के माध्यम से लेनदेन इतिहास में शामिल किया गया था।

परीक्षण के लगभग 26 मिनट बाद, उपयोगकर्ता ने 49,999,950 USDT को धोखाधड़ी वाले पते पर भेज दिया।

द ब्लॉक और स्लोमिस्ट के अनुसार, हमलावर ने जल्दी से USDT को DAI में, और फिर ETH में बदल दिया। संपत्तियों का एक महत्वपूर्ण हिस्सा टॉरनेडो कैश के माध्यम से स्थानांतरित किया गया था।

पीड़ित ने मूल राशि की वापसी के लिए 1 मिलियन डॉलर का इनाम दिया। एक सत्यापित रिपोर्ट ने इनाम की पेशकश की पुष्टि की, लेकिन इस मामले में कोई वापसी की पुष्टि नहीं हुई है।

यह घटना एक और समस्या को उजागर करती है: एक परीक्षण हस्तांतरण कुछ त्रुटियों से बचाता है, लेकिन सुरक्षा की गारंटी नहीं देता है यदि परीक्षण के बाद, उपयोगकर्ता पहले से ही समझौता हो चुके इतिहास से पता फिर से कॉपी करता है।

स्रोत: द ब्लॉक, 20 दिसंबर 2025।

जनवरी 2026 — 4,556 ईटीएच, लगभग $12.4 मिलियन

30 जनवरी 2026 को, एक वॉलेट पर हमला हुआ था जिसने पहले उसी काउंटरपार्टी को कई बार ETH ट्रांसफर किए थे।

धोखाधड़ी वाला पता पहले चार और आखिरी चार अक्षरों में असली पते से मेल खाता था।

हमलावर ने अक्टूबर 2025 की शुरुआत में ही डस्ट ट्रांजैक्शन भेजना शुरू कर दिया था। जनवरी 2026 में ऐसे ही एक और ट्रांजैक्शन के बाद, उपयोगकर्ता ने 4,556 ETH धोखाधड़ी करने वाले प्राप्तकर्ता को भेज दिए।

लगभग 33 मिनट बाद, फंड को एक अन्य पते पर निकाल लिया गया।

बिटक्वेरी ने इसमें शामिल पक्षों के पते और संबंधित लेनदेन के हैश प्रकाशित किए हैं, जिससे लेनदेन श्रृंखला की स्वतंत्र जांच संभव हो सकी है।

स्रोत: बिटक्वेरी, अगस्त 2026 का विश्लेषण।

अगस्त 2026 – एक नकली परीक्षण ट्रांसफर के बाद लगभग $39,890

Bitquery द्वारा प्रकाशित विश्लेषण में 9 अगस्त 2026 की एक घटना का भी हवाला दिया गया है।

एक उपयोगकर्ता ने 115.147641 USDT का टेस्ट ट्रांसफर भेजा।

बारह सेकंड बाद, धोखाधड़ी वाले कॉन्ट्रैक्ट ने एक डुप्लिकेट पते पर ट्रांसफर की नकल करते हुए एक नकली इवेंट बनाया।

लगभग 13 मिनट बाद, उपयोगकर्ता ने गलत पते पर लगभग 39,890 USDT भेज दिए।

यह मामला विशेष रूप से बताने वाला है: यह हमला न केवल पते की उपस्थिति को दोहरा सकता है, बल्कि अभी-अभी किए गए लेनदेन की राशि को भी दोहरा सकता है।

स्रोत: बिटक्वेरी — एथेरियम पर एड्रेस पॉइज़निंग।

2026 में कौन से सुरक्षात्मक उपाय उपलब्ध हैं?

हाल के वर्षों में, सुरक्षा तंत्र न केवल ब्लॉकचेन एनालिटिक्स टूल्स में बल्कि सीधे उपयोगकर्ता वॉलेट्स के भीतर भी उभरे हैं।

1. एथरस्कैन के सार्वजनिक लेबल — पॉइज़निंग एड्रेस

Etherscan कुछ पहचाने गए धोखाधड़ी वाले पतों को विशेष सार्वजनिक लेबल के साथ चिह्नित करता है।

निम्नलिखित लेबल एक संदिग्ध वॉलेट के पेज पर दिखाई दे सकते हैं:

• Poisoning Address
• Fake_Phishing...
• Phish / Hack

कुछ पतों के लिए, Etherscan एड्रेस पॉइज़निंग हमलों में संलिप्तता के बारे में एक चेतावनी भी प्रदर्शित करता है।

उदाहरण के लिए, Etherscan पर इस पते को एड्रेस पॉइज़निंग के लिए एक दुर्भावनापूर्ण अभिनेता द्वारा उपयोग किए जाने के रूप में चिह्नित किया गया है।

ऐसे सार्वजनिक लेबल मैन्युअल रूप से कस्टम लेबल बनाने की आवश्यकता के बिना दिखाई देते हैं। एथरस्कैन पुष्टि करता है कि वह सक्रिय रूप से धोखाधड़ी वाले पतों और नकली टोकन को फ़्लैग करता है।

हालांकि, लेबल की अनुपस्थिति सुरक्षा साबित नहीं करती है। नए पते सिस्टम के उन्हें पहचानने का समय मिलने से पहले दिखाई दे सकते हैं। सार्वजनिक चेतावनियाँ एक अतिरिक्त संकेतक हैं, सुरक्षा की गारंटी नहीं।

2. Etherscan पर शून्य-मूल्य वाले ट्रांसफर और संदिग्ध टोकन छिपाना

एथरस्कैन डिफ़ॉल्ट रूप से शून्य-मूल्य वाले टोकन ट्रांसफ़र को छिपाता है और खराब प्रतिष्ठा वाले टोकन से जुड़े लेनदेन को फ़िल्टर करने के लिए तंत्र का उपयोग करता है।

उपयोगकर्ता टोकन इग्नोर लिस्ट भी लागू कर सकते हैं।

परिणामस्वरूप, कुछ धोखाधड़ी वाले लेनदेन अब इंटरफ़ेस को अव्यवस्थित नहीं करते हैं।

इससे गलती से किसी पते को कॉपी करने की संभावना कम हो जाती है, लेकिन यह ब्लॉकचेन से रिकॉर्ड को हटाता नहीं है।

3. एड्रेस हाइलाइट और Etherscan कस्टम लेबल

पता हाइलाइट सुविधा आपको एक्सप्लोरर इंटरफ़ेस में समान पतों को दृश्य रूप से हाइलाइट करने की अनुमति देती है।

इसे के माध्यम से सक्षम किया जा सकता है Site Settingsयदि इसे अक्षम किया गया है।

इसके अतिरिक्त, Etherscan प्राइवेट नेम टैग्स — पतों के लिए कस्टम लेबल — का समर्थन करता है।

उदाहरण के लिए, एक सत्यापित प्राप्तकर्ता को 'मेरा USDT वॉलेट' या 'एक्सचेंज – जमा पता' लेबल किया जा सकता है।

ये टैग आपके लॉग-इन किए हुए Etherscan खाते में उपलब्ध हैं और परिचित पतों को यादृच्छिक डुप्लिकेट से अलग करने में आपकी मदद करते हैं।

महत्वपूर्ण: एक व्यक्तिगत टैग पते के प्रारंभिक सत्यापन का स्थान नहीं लेता है। इसे केवल सही प्राप्तकर्ता की पुष्टि हो जाने के बाद ही असाइन किया जाना चाहिए।

4. मेटामास्क में एड्रेस पॉइज़निंग का स्वचालित पता लगाना

17 जून 2026 को, मेटामास्क ने एड्रेस पॉइज़निंग डिटेक्शन की शुरुआत की घोषणा की।

यह तंत्र उपयोगकर्ता द्वारा भेजने से पहले दर्ज किए गए पते की तुलना पहले उपयोग किए गए पतों से करता है।

यदि पता जाना-पहचाना लगता है — उदाहरण के लिए, यदि पहला और आखिरी अक्षर मेल खाते हैं लेकिन बीच का हिस्सा अलग है — तो वॉलेट लेनदेन को निष्पादित करने से पहले एक चेतावनी प्रदर्शित करता है।

पहले कभी उपयोग नहीं किए गए पते पर भेजते समय भी एक अलग चेतावनी दिखाई जाती है।

MetaMask के अनुसार, लॉन्च के समय, यह सुविधा EVM नेटवर्क के लिए मोबाइल ऐप और ब्राउज़र एक्सटेंशन में उपलब्ध हो गई।

नई चेतावनियाँ तकनीकी रूप से गलत ट्रांसफर को असंभव नहीं बनाती हैं: उपयोगकर्ता के पास स्वयं लेनदेन की पुष्टि करने की क्षमता बनी रहती है।

आधिकारिक स्रोत: मेटामास्क — एड्रेस पॉइज़निंग डिटेक्शन, जून 2026।

5. पता पुस्तिका और विश्वसनीय प्राप्तकर्ताओं की सूचियाँ

नियमित ट्रांसफर के लिए सबसे विश्वसनीय संगठनात्मक तरीका पहले से सत्यापित पतों को सहेजना है।

उदाहरण के लिए, MetaMask में आप का उपयोग कर सकते हैं Contacts. समान एड्रेस बुक या विश्वसनीय प्राप्तकर्ता सुविधाएँ अन्य वॉलेट्स और सेवाओं में भी उपलब्ध हैं।

सिद्धांत सरल है: प्राप्तकर्ता का पता एक बार विश्वसनीय स्रोत के खिलाफ सत्यापन के बाद जोड़ा जाता है, और बाद के हस्तांतरण आने वाले लेनदेन इतिहास के पते पर जाने के बजाय विशेष रूप से सहेजे गए पते पर किए जाते हैं।

कॉर्पोरेट लेनदेन के लिए, अतिरिक्त उपाय उपयोगी होते हैं: अधिकृत पते, नए प्राप्तकर्ताओं की अलग से पुष्टि, और बड़ी भुगतानों के लिए बहु-पक्षीय प्राधिकरण।

6. हार्डवेयर वॉलेट सहित, पूर्ण पता सत्यापन

एक हार्डवेयर वॉलेट प्राइवेट की की सुरक्षा करता है, लेकिन यह स्वयं एड्रेस पॉइजनिंग के खिलाफ सुरक्षा की गारंटी नहीं देता है।

यदि कोई उपयोगकर्ता गलत पते पर ट्रांसफर की पुष्टि करता है, तो हार्डवेयर डिवाइस उस विशेष लेनदेन पर निष्ठापूर्वक हस्ताक्षर करेगा।

इसलिए, पुष्टि करने से पहले, प्राप्तकर्ता के पते को एक स्वतंत्र, विश्वसनीय स्रोत के खिलाफ सत्यापित करना आवश्यक है, जिसमें उसका मध्य भाग भी शामिल है।

बड़ी रकम के लिए, यह सुनिश्चित करना विशेष रूप से महत्वपूर्ण है कि पता भेजने वाले इंटरफ़ेस और साइनिंग डिवाइस दोनों द्वारा सत्यापित किया गया हो।

अगर आपके वॉलेट में पहले से ही संदिग्ध लेनदेन आ चुके हैं तो आपको क्या करना चाहिए?

केवल किसी संदिग्ध लेनदेन की प्राप्ति अपने आप में हैक का प्रमाण नहीं है।

यदि आप कोई संदिग्ध लेनदेन देखते हैं:

1. प्रेषक का पता कॉपी न करें, भले ही वह पहले उपयोग किए गए पते से कुछ अक्षरों तक मेल खाता हो।
2. ब्लॉकचेन एक्सप्लोरर में लेनदेन की जाँच करें। टोकन कॉन्ट्रैक्ट, राशि, लेनदेन के वास्तविक आरंभकर्ता और किसी भी जोखिम संकेतक पर ध्यान दें।
3. अज्ञात टोकन के साथ इंटरैक्ट न करें। उनके द्वारा विज्ञापित वेबसाइटों पर न जाएँ और किसी भी प्रस्तावित लेनदेन पर हस्ताक्षर न करें।
4. वॉलेट फ़िल्टर और ईथरस्कैन का उपयोग करें। संदिग्ध टोकन और शून्य-मूल्य वाले ट्रांसफ़र को इंटरफ़ेस से छिपाया जा सकता है।
5. भेजने से पहले केवल एक सत्यापित पता ही उपयोग करें। लेनदेन इतिहास में हाल की प्रविष्टियों या संक्षिप्त पतों पर भरोसा न करें।
6. यदि फंड पहले ही किसी धोखेबाज़ को भेज दिए गए हैं, तो लेनदेन हैश और पतों को सहेजें। तुरंत अपने सेवा प्रदाता से संपर्क करें, साथ ही टोकन जारीकर्ता (यदि ऐसा कोई प्रक्रिया मौजूद है) और पुलिस से भी संपर्क करें। धनवापसी की कोई गारंटी नहीं है।

हालाँकि, केवल एक इनकमिंग माइक्रो-ट्रांज़ैक्शन के कारण अपने सीड फ़्रेज़ को स्वचालित रूप से बदलने, सभी संपत्तियों को एक नए वॉलेट में स्थानांतरित करने या सभी अनुमतियों को रद्द करने की कोई आवश्यकता नहीं है।

हालांकि, यदि सत्यापन में वास्तविक अनधिकृत आउटगोइंग लेनदेन का पता चलता है, तो यह एक संभावित समझौते का स्पष्ट संकेत है और वॉलेट की सुरक्षा का तत्काल आकलन करने की आवश्यकता है।

क्या ऐसे हमलों को पूरी तरह से रोका जा सकता है?

आमतौर पर किसी सार्वजनिक ब्लॉकचेन पते पर तीसरे पक्षों द्वारा लेनदेन भेजने को पूरी तरह से रोकना असंभव होता है।

कोई भी नेटवर्क प्रतिभागी आपको संपत्ति भेज सकता है। कुछ मामलों में, वे एक टोकन इवेंट भी बना सकते हैं जो एक्सप्लोरर में आपके एड्रेस के प्रदर्शित होने के तरीके को प्रभावित करता है।

इसलिए, सुरक्षा प्रणालियों का मुख्य कार्य ब्लॉकचेन पर स्पैम लेनदेन को प्रकट होने से रोकना आवश्यक रूप से नहीं है, बल्कि उन्हें विश्वसनीय पतों के स्रोत के रूप में उपयोग किए जाने से रोकना है।

2026 तक, सबसे व्यावहारिक सुरक्षा कई स्तरों पर आधारित होगी: संदिग्ध लेनदेन को फ़िल्टर करना, धोखाधड़ी वाले पतों को फ़्लैग करना, भेजने के समय डुप्लिकेट का पता लगाना, और पूर्व-सत्यापित पता पुस्तिकाओं का उपयोग करना।

निष्कर्ष

$0.01, $0.0001 या 0 USDT के अजीब ट्रांसफर बड़े पैमाने पर 'एड्रेस पॉइज़निंग' हमले का हिस्सा हो सकते हैं।

धोखेबाजों को जरूरी नहीं कि वॉलेट हैक करना पड़े, प्राइवेट की प्राप्त करनी पड़े या स्मार्ट कॉन्ट्रैक्ट की कमजोरी का फायदा उठाना पड़े।

कुछ मामलों में, एक समान पता बनाना, एक न्यूनतम राशि भेजना और उपयोगकर्ता के इसे अपने लेनदेन इतिहास से कॉपी करने का इंतजार करना ही काफी होता है।

अंतिम चार या पाँच अक्षरों में मेल होना पते की प्रामाणिकता का प्रमाण नहीं है। दोनों सिरों पर कई अक्षरों का मेल भी जानबूझकर किए गए ब्रूट-फोर्स अनुमान का परिणाम हो सकता है।

2026 में प्रमुख सुरक्षा नियम: लेनदेन का इतिहास एक इवेंट लॉग है, न कि एक विश्वसनीय पता पुस्तिका।

प्राप्तकर्ता का पूरा पता जांचें, MetaMask की सुरक्षा चेतावनियों और Etherscan लेबलों का उपयोग करें, और बार-बार होने वाले ट्रांसफर के लिए, पतों को एक पूर्व-सत्यापित संपर्क सूची में संग्रहीत करें।

पते के बीच में एक छोटा सा अनदेखा अंतर, स्कैमर आपके वॉलेट को भरने के लिए जितने भी माइक्रोट्रांजेक्शन का उपयोग करते हैं, उससे कहीं ज़्यादा महँगा पड़ सकता है।