एड्रेस पॉइज़निंग: 5 करोड़ डॉलर वाला कॉपी-पेस्ट घोटाला

20 दिसंबर 2025 को किसी ने 4,99,99,950 USDT — यानी 5 करोड़ डॉलर से कुछ ही कम — गलत पते पर भेज दिए। न कोई हैक। न चोरी हुई चाबी। उन्होंने अपनी ही ट्रांज़ैक्शन हिस्ट्री से पता कॉपी किया और पेस्ट कर दिया, ठीक वैसे ही जैसे सौ बार पहले किया था। छब्बीस मिनट पहले उन्होंने एहतियातन 50 डॉलर का टेस्ट ट्रांसफ़र भी किया था। घोटालेबाज़ नज़र रखे हुए था। उसने उसी हिस्ट्री में लगभग हूबहू दिखने वाला एक पता घुसाया और इंतज़ार करता रहा। एक पेस्ट, और पैसा गया। CoinDesk ने इसे अपनी तरह के सबसे बड़े नुकसानों में से एक बताया।

यही है एड्रेस पॉइज़निंग। इसमें कोई चालाक कोड नहीं है। यह एक ऐसी चाल है जो क्रिप्टो में लगभग हर किसी की एक आदत का शिकार करती है: पता ताज़ा स्रोत से लेने के बजाय पुरानी ट्रांज़ैक्शन से कॉपी कर लेना। और 2025 में यह दुर्लभ रहना बंद हो गया।

चाल काम कैसे करती है

हमलावर सबसे पहले एक "हमशक्ल" पता बनाता है — ऐसा पता जिसके शुरू के कुछ और आख़िर के कुछ अक्षर उस पते से मिलते हों जिसे आप अक्सर इस्तेमाल करते हैं। सस्ता सॉफ़्टवेयर अरबों की-पेयर तब तक ब्रूट-फ़ोर्स करता रहता है जब तक उन हिस्सों का मेल न मिल जाए जिन्हें आपकी आँख सचमुच पढ़ती है। फिर वे उस नकली पते को आपकी ट्रांज़ैक्शन हिस्ट्री तक पहुँचा देते हैं, ताकि वह असली के ठीक बगल में बैठा रहे।

वे ऐसा तीन आम तरीकों से करते हैं:

• ज़ीरो-वैल्यू ट्रांसफ़र। घोटालेबाज़ $0 का ट्रांसफ़र भेजता है, जो आपके भरोसे के किसी पते के स्पूफ़ किए हुए हमशक्ल से आया दिखता है। इसमें आपके दस्तख़त की ज़रूरत नहीं, इसलिए यह सीधे आपकी हिस्ट्री में आ बैठता है। बाद में आप स्क्रॉल करके पीछे जाते हैं, वह पता उठाते हैं जो "सही लगता है", और सचमुच पैसा भेज देते हैं।
• डस्ट। हमशक्ल पते से बहुत छोटी रकम — चंद सेंट। असर वही: यह आपकी हिस्ट्री में किसी सामान्य पुराने भुगतान जैसा दिखता हुआ आ जाता है।
• क्लिपबोर्ड हाईजैकिंग। आपके डिवाइस पर बैठा मैलवेयर, पेस्ट करते ही चुपचाप आपका कॉपी किया पता हमलावर के पते से बदल देता है। अदला-बदली आपको दिखती ही नहीं।

पहले दो तरीके हावी हैं, क्योंकि हमलावर को इनकी लागत लगभग शून्य पड़ती है और ये एक साथ लाखों निशानों तक फैल जाते हैं।

यह दुर्लभ नहीं, औद्योगिक है

जनवरी 2025 से अब तक सिक्योरिटी फ़र्म Blockaid ने ऑन-चेन 6.5 करोड़ से ज़्यादा एड्रेस-पॉइज़निंग ट्रांज़ैक्शन पकड़े हैं — रोज़ाना 1,60,000 से ऊपर। इनमें से अधिकांश नाकाम रहते हैं। लेकिन करीब 3,16,000 कामयाब हुए: किसी असली इंसान ने असली पैसा किसी पॉइज़न्ड पते पर भेज दिया। यानी हर 200 कोशिशों में लगभग 1 निशाने पर लगती है।

और जो लगती है, बड़ी लगती है। मई 2025 में एक ट्रेडर ने नकली ज़ीरो-वैल्यू ट्रांसफ़र के चक्कर में $8,43,000 गँवाए — फिर तीन घंटे बाद उसी तरह $17.5 लाख और भेज दिए, कुल मिलाकर करीब $26 लाख। दिसंबर वाला 5 करोड़ डॉलर का नुकसान अब तक का रिकॉर्ड है।

यह लापरवाहों को नहीं, सतर्क लोगों को निशाना बनाता है

आपको लगेगा कि इसमें नए लोग फँसते हैं। उल्टा है। पॉइज़निंग उन वॉलेट पर फ़ायदा देती है जो बहुत पैसा, बहुत बार हिलाते हैं — एक्सचेंज, OTC डेस्क, ट्रेज़री, सक्रिय ट्रेडर। आपकी हिस्ट्री में जितनी ज़्यादा ट्रांज़ैक्शन, हमशक्ल पते को छिपाने की उतनी ही जगहें, और उतनी ही ज़्यादा संभावना कि आप मसल मेमोरी के भरोसे तेज़ी से काम कर रहे हैं। हमलावर वक़्त भी साधते हैं: वे किसी काउंटरपार्टी को असली ट्रांसफ़र होने का इंतज़ार करते हैं, फिर कुछ ही मिनट बाद हिस्ट्री को पॉइज़न कर देते हैं, ताकि जब आप वही भुगतान दोहराने लौटें तो नकली पता सबसे ताज़ा दिखने वाली एंट्री हो। दिसंबर वाला नुकसान बिल्कुल इसी पैटर्न पर हुआ — एक असली टेस्ट ट्रांसफ़र, एक लगाया हुआ पता, और आधे घंटे से भी कम में पूरी रकम।

पूरी कहानी पते में है

असहज हिस्सा यह है। ऑन-चेन कोई "अनडू" नहीं होता, और किसी पते के साथ कोई नाम जुड़ा नहीं होता। आपकी आँख को नकली और असली एक जैसे लगते हैं — शुरू और आख़िर में मेल खाते हुए, फ़र्क सिर्फ़ बीच के उस हिस्से में जिसे आप कभी नहीं देखते। आपका वॉलेट आपको कुछ ऐसा दिखाता है 0x71C7…9F2A, और नकली भी वही दिखाता है। यह छोटा किया हुआ प्रीव्यू ही वह चीज़ है जिस पर पूरा घोटाला टिका है।

तो इलाज कोई प्लगइन या प्रोडक्ट नहीं है। यह एक आदत है, साथ में एक जाँच।

असल में बचाता क्या है

• हिस्ट्री से कभी मत भेजिए। पता हर बार सामने वाले से या मूल स्रोत से लीजिए, भले ही इसमें ज़्यादा वक़्त लगे। आपकी हिस्ट्री ही इकलौती जगह है जो हमलावर के काबू में है।
• सिर्फ़ सिरे नहीं, बीच पढ़िए। पते के बीच के 6–8 अक्षर किसी भरोसेमंद स्रोत से मिलाइए। यही वह हिस्सा है जिसकी नकल हमशक्ल पता नहीं कर सकता।
• टेस्ट कीजिए — फिर दोबारा जाँचिए। छोटा टेस्ट ट्रांसफ़र अच्छी बात है, लेकिन पुष्टि कीजिए कि वह असली मंज़िल पर पहुँचा, और बड़ी रकम भेजने से पहले पता दोबारा मिलाइए। 5 करोड़ डॉलर गँवाने वाले ने टेस्ट भेजा तो था; बस दोबारा देखा नहीं।
• एड्रेस बुक इस्तेमाल कीजिए। जिन पतों को बार-बार इस्तेमाल करते हैं, उन्हें वॉलेट की अलाउलिस्ट में सेव कीजिए, ताकि आप कच्ची हिस्ट्री स्क्रॉल करने के बजाय सेव किया हुआ कॉन्टैक्ट चुनें।
• पैसा छोड़ने से पहले स्क्रीन कीजिए। किसी बिज़नेस पेमेंट पर, या किसी भी ऐसे पते पर जिसे आपने ख़ुद टाइप नहीं किया, पहले पते की ख़ुद जाँच कीजिए। एक तेज़ स्क्रीन बता देती है कि वह जाने-पहचाने घोटालों, मिक्सर या प्रतिबंधों से जुड़ा है या नहीं — और यह आपको छोटे किए हुए प्रीव्यू के बजाय पूरी स्ट्रिंग देखने पर मजबूर करती है।

एड्रेस पॉइज़निंग इसलिए चलती है क्योंकि यह उबाऊ है। यह कुछ तोड़ती नहीं; यह आधे सेकंड के ऑटोपायलट का इंतज़ार करती है। लाखों डॉलर गँवाने वाले लोग लापरवाह नहीं हैं — वे तेज़ हैं। पूरा पता पढ़ने में जो दस सेकंड लगते हैं, उतना धीमे हो जाइए, पता अपनी हिस्ट्री के बजाय स्रोत से लीजिए, और क्रिप्टो का सबसे महँगा कॉपी-पेस्ट आपके साथ होगा ही नहीं।