क्रिप्टो इनवॉइस फ़्रॉड: बदला हुआ एक पता

जिस सप्लायर को आप नौ बार भुगतान कर चुके हैं, वह दसवाँ इनवॉइस भेजता है। वही टेम्पलेट, वही सिग्नेचर ब्लॉक, वही व्यक्ति जिससे मंगलवार को आपकी बात हुई थी। सिर्फ़ एक लाइन अलग है: वॉलेट पता। आप भुगतान कर देते हैं। नब्बे सेकंड बाद वह रकम बदली जा चुकी है, टुकड़ों में बँट चुकी है और आगे बढ़ चुकी है — और दोनों में से किसी सिरे पर कोई बैंक नहीं है जिसे फ़ोन किया जा सके।

एफ़बीआई के इंटरनेट क्राइम कंप्लेंट सेंटर ने 2025 में बिज़नेस ईमेल कॉम्प्रोमाइज़ की 24,768 शिकायतें दर्ज कीं, जिनमें 3.05 अरब डॉलर का नुकसान बताया गया — इससे पिछले साल यह 21,442 शिकायतें और 2.77 अरब डॉलर था। इसमें से ज़्यादातर पैसा आज भी बैंक वायर से ही जाता है। लेकिन यह ठगी उसी रास्ते के पीछे चलती है जो पीड़ित असल में इस्तेमाल करता है, और अब इनवॉइस का एक बढ़ता हिस्सा USDT और USDC में सेटल होता है।

ब्लॉकचेन पर कोई हमला नहीं करता

कमज़ोर कड़ी चेन नहीं है। ईमेल थ्रेड है।

इसके दो आम रूप हैं। पहले में, कोई किसी मेलबॉक्स के भीतर बैठा है — आपके या आपके सप्लायर के — और असली पत्राचार पढ़ रहा है। वह इंतज़ार करता है कि एक असली इनवॉइस बाहर जाए, फिर एक छोटा-सा फ़ॉलो-अप भेजता है: हमने अपना बैंकिंग प्रोवाइडर बदल लिया है, कृपया नीचे दिया गया अपडेटेड पता इस्तेमाल करें। यह उसी थ्रेड में आता है, उसी डिस्प्ले नाम से, अक्सर ऊपर वाले संदेश को कोट करते हुए। IC3 इसके क्लासिक रूप को एक लाइन में बताता है: जिस वेंडर के साथ आप नियमित रूप से काम करते हैं, वह बदले हुए भुगतान पते के साथ इनवॉइस भेजता है।

दूसरे रूप में, उस स्ट्रिंग के अलावा कुछ भी दोबारा नहीं लिखा जाता। हमलावर ऐसा पता रख देता है जिसके पहले चार और आख़िरी चार अक्षर असली पते से मेल खाते हैं। जो भी भुगतान का पता उसी तरह जाँचता है जैसे ज़्यादातर लोग जाँचते हैं — शुरुआत पर नज़र, अंत पर नज़र, मंज़ूरी — वह इसे पास कर देगा। यह वही कमज़ोरी है जिसका फ़ायदा एड्रेस पॉइज़निंग उठाती है, बस यहाँ यह ट्रांज़ैक्शन हिस्ट्री के बजाय एक दस्तावेज़ पर लागू होती है।

दोनों एक ही वजह से काम करते हैं। पीड़ित से कुछ भी असामान्य करने को नहीं कहा जा रहा। उससे बस वह इनवॉइस चुकाने को कहा जा रहा है जिसका वह पहले से इंतज़ार कर रहा था।

क्रिप्टो में दूसरा मौका नहीं मिलता

ग़लत जगह गया बैंक वायर बुरा है। वह कभी-कभी वापस भी आ जाता है। वहाँ एक कॉरेस्पॉन्डेंट बैंक होता है, रिकॉल की एक प्रक्रिया होती है, पाने वाली संस्था में एक कंप्लायंस डेस्क होती है, और घंटों या दिनों में नापी जाने वाली एक खिड़की होती है।

ग़लत जगह गया ऑन-चेन भुगतान सेकंडों में सेटल हो जाता है और उसी का हो जाता है जिसके पास चाबी है। कोई रिकॉल नहीं है। बचा हुआ इकलौता ज़रिया टोकन जारी करने वाला है, और जारी करने वाले कोई सपोर्ट डेस्क नहीं हैं।

टेदर ने लगभग 10,000 पतों को ब्लैकलिस्ट किया है और 5 अरब डॉलर से ज़्यादा USDT फ़्रीज़ किया है। सर्किल की सूची कहीं छोटी है — क़रीब 370 पते और लगभग 10.9 करोड़ डॉलर। ये फ़्रीज़ असली हैं और इन्होंने असली पीड़ितों को असली पैसा लौटाया है। लेकिन सर्किल के जेरेमी अलेयर ने अप्रैल 2026 में कहा कि अदालती आदेश के बिना USDC फ़्रीज़ नहीं किया जाएगा, और कंपनी इस क्षमता को अपने विवेक पर इस्तेमाल की जाने वाली चीज़ नहीं मानती। अदालती आदेश पाने का मतलब है वकील, एक अधिकार-क्षेत्र, नाम लिया गया प्रतिवादी और वे हफ़्ते जो आपके पास नहीं हैं। फ़्रीज़ को लॉटरी का टिकट मानिए, रिकवरी की योजना नहीं।

"लेकिन पता तो साफ़ निकला था"

अब वह हिस्सा जो सुनने में असहज है, और जो कोई आपको स्क्रीनिंग बेच रहा है उसे यह खुलकर कहना चाहिए: ठग का नया-नवेला वॉलेट अक्सर सैंक्शन जाँच पास कर जाता है। वह एक घंटे पहले बना है। उसका कोई इतिहास नहीं है और वह किसी सूची में नहीं है। साफ़ होना और सुरक्षित होना एक बात नहीं है।

फिर भी स्क्रीनिंग अपनी जगह बनाती है, तीन वजहों से।

पहली, इसमें से बहुत सारा पैसा नए वॉलेट में ज़्यादा देर नहीं टिकता। वह दोबारा-दोबारा इस्तेमाल होने वाले कलेक्शन पतों पर पहुँचता है, जिनकी पहले से एक साख होती है। चेनालिसिस के मुताबिक़ 2025 में अवैध पतों पर कम से कम 154 अरब डॉलर आए, जो साल-दर-साल 162% की छलांग है, और प्रतिबंधित संस्थाओं को मिली रकम में 694% की बढ़ोतरी हुई। यह पहले से जाने-पहचाने ठिकानों की बहुत बड़ी संख्या है, और उनमें से किसी की ओर जा रहा भुगतान वही है जिसे आप निकलने से पहले रोकना चाहेंगे।

दूसरी, स्क्रीनिंग आपको उम्र और व्यवहार के बारे में बताती है, सिर्फ़ यह नहीं कि पता किसी सूची में है या नहीं। जो पता दो घंटे पुराना है और जिसने कभी कुछ नहीं पाया, वह उस कंपनी का ट्रेज़री खाता नहीं हो सकता जिसने आपको नौ बार इनवॉइस भेजा है। यही बेमेल असली संकेत है। सूची में नाम मिल जाना ऊपर से मिला फ़ायदा है।

तीसरी, अगर आपको ऐसे वॉलेट में भुगतान मिलता है जिसके बारे में बाद में पता चले कि उसमें अपराध की कमाई आई थी, तो आपका अपना पता भी वह इतिहास विरासत में ले लेता है। एक्सचेंज जमा को आते वक़्त ही जाँचते हैं। आपको समस्या का पता तब चलता है जब आपकी निकासी समीक्षा के लिए रोक दी जाती है, तब नहीं जब पैसा आता है।

पैसा पाने वाली तरफ़ एक उलटा दाँव भी है। जुलाई 2025 में GENIUS एक्ट के क़ानून बनने के बाद से, सुरक्षा कंपनी ब्लॉकएड ने इस दौरान बने 1.7 करोड़ से ज़्यादा टोकनों में से 54,000 से अधिक नक़ली स्टेबलकॉइन गिने हैं। भुगतान किसी ऐसी चीज़ में "पहुँच" सकता है जो वॉलेट के इंटरफ़ेस में USDC जैसी दिखती है और जिसकी क़ीमत शून्य है। टिकर नहीं, कॉन्ट्रैक्ट जाँचिए।

असल में इसे रोकता क्या है

इसमें से किसी के लिए नई तकनीक नहीं चाहिए। चाहिए बस यह कि भुगतान का पता किसी संदेश में बदली जा सकने वाली टेक्स्ट की लाइन बनना बंद करे।

• किसी भी नए या बदले हुए पते की पुष्टि उस चैनल से अलग चैनल पर कीजिए जिस पर अनुरोध आया था। वह नंबर मिलाइए जो आपके पास पहले से था, सिग्नेचर वाला नहीं।
• पूरी स्ट्रिंग मिलाइए। पहले चार और आख़िरी चार अक्षर नहीं।
• किसी भी नए ठिकाने पर पहले छोटा-सा टेस्ट भुगतान भेजिए, और असली ट्रांसफ़र से पहले पाने वाले से रकम की पुष्टि करवाइए।
• पते की जाँच भुगतान से पहले कीजिए, भुगतान पर विवाद हो जाने के बाद नहीं।
• पते को ईमेल से पूरी तरह बाहर निकाल दीजिए — इनवॉइस इस तरह जारी कीजिए कि भुगतान का पता बनाते समय ही तय हो जाए, और भुगतान करने वाले को एक लिंक दिखे, न कि ऐसी स्ट्रिंग जिसे कोई दोबारा टाइप कर सके।

अगर भुगतान आपको मिलना है, तो यही बात उलटी दिशा में लागू होती है। जब कोई क्लाइंट ज़ोर देकर कहे कि उसने भुगतान कर दिया और आपके पास कुछ नहीं आया, तो हो सकता है छेड़ा गया दस्तावेज़ आपका ही रहा हो। भुगतान की जानकारी संदेश के भीतर सादे टेक्स्ट में भेजने का मतलब है कि उस संदेश की हर फ़ॉरवर्ड की गई कॉपी किसी और के लिए एक मौक़ा है। इसका मतलब यह भी है कि आपके पास यह साबित करने का कोई तरीक़ा नहीं कि आपने मूल रूप से भेजा क्या था।

एक आंतरिक नियम बनाइए और उसे लिख लीजिए: भुगतान की जानकारी में कोई भी बदलाव, चाहे किसी की तरफ़ से हो और चाहे रकम कितनी भी हो, ट्रांसफ़र निकलने से पहले फ़ोन पर बोलकर सत्यापित होगा। इसे उबाऊ और ग़ैर-बातचीत योग्य बनाइए, ताकि शुक्रवार शाम छह बजे, जब सप्लायर की आवाज़ में झुंझलाहट हो, किसी को अपने विवेक से फ़ैसला न लेना पड़े।

इस कहानी में कोई लापरवाह नहीं है। फ़ाइनेंस वाले व्यक्ति ने वही इनवॉइस चुकाया जिसका इंतज़ार था, उसी कंपनी का जिसे वह जानता था, उसी थ्रेड में जिसे वह महीनों से पढ़ रहा था। बात ठीक यही है — यह हमला बनाया ही इसलिए गया है कि रोज़ का काम लगे। जो आदत कुछ भी ख़र्च नहीं कराती, वह यह है: बदले हुए भुगतान पते को अपडेट नहीं, एक घटना मानिए, और पैसा जाने से पहले देख लीजिए कि वह असल में जा कहाँ रहा है।