क्या यह क्रिप्टो एड्रेस सुरक्षित है? कैसे जांचें

21 फ़रवरी, 2025 को हैकरों ने एक्सचेंज Bybit से लगभग $1.5 बिलियन का Ethereum चुरा लिया — जो अब तक की सबसे बड़ी क्रिप्टो चोरी है। FBI ने कुछ ही दिनों में इसका ठीकरा उत्तर कोरिया के Lazarus Group पर फोड़ा और मनी लॉन्ड्रिंग से जुड़े 51 Ethereum पते जारी किए। चुराया गया पैसा तेज़ी से घूमा: 48 घंटों के भीतर ही उसका एक बड़ा हिस्सा नए वॉलेट्स के ज़रिए धुल चुका था और चेन-दर-चेन स्वैप हो चुका था। उन तमाम गंतव्य पतों में से हर एक, एक नज़र में, बिल्कुल किसी सामान्य वॉलेट जैसा ही दिखता था: अक्षरों की एक लड़ी, न कोई नाम, न ऐसा कोई इतिहास जो आपको तब तक दिखे जब तक आप ढूंढने न निकलें।

क्रिप्टो पतों के साथ यही समस्या है। इनके साथ कोई साख जुड़ी नहीं आती। किसी प्रतिबंधित मिक्सर का वॉलेट और आपके नए क्लाइंट का वॉलेट — दोनों बस वही 42 हेक्स कैरेक्टर हैं। अगर आप गलत वाले को पैसा भेज देते हैं, या ऐसा भुगतान स्वीकार कर लेते हैं जिसका सूत्र किसी मिक्सर या चुराए-हुए-फंड वाले क्लस्टर तक जाता है, तो आप उसे वापस नहीं खींच सकते। इसलिए पैसा हिलने से पहले, सचमुच देख लेना फ़ायदे का सौदा है। यह रहा तरीका जो मैं अपनाता हूँ, क्या-क्या मुफ़्त है, और कहां कोई टूल अपनी कीमत वसूल कर लेता है।

उन चेतावनी संकेतों से शुरुआत करें जो सचमुच मायने रखते हैं

हर "अनजान" वॉलेट खतरनाक नहीं होता। ज़्यादातर तो बस नए होते हैं। जिन संकेतों की परवाह करना ज़रूरी है, वे विशिष्ट होते हैं।

प्रतिबंधों (Sanctions) की चपेट। यही वह चीज़ है जिसमें कानूनी दांत हैं। US Treasury का OFAC Specially Designated Nationals की एक सूची प्रकाशित करता है, और 2018 से उस सूची में विशिष्ट क्रिप्टो पते शामिल हैं। Sinbad को ही लें, एक Bitcoin मिक्सर जिसने Lazarus Group के लिए पैसा धोया, जिसमें जून 2023 में Atomic Wallet उपयोगकर्ताओं से चुराए गए $100 मिलियन का एक हिस्सा भी शामिल था। OFAC ने 29 नवंबर, 2023 को इस पर प्रतिबंध लगाया, SDN सूची में नामित पतों के साथ, और उसी दिन FBI और डच FIOD ने इसकी साइट ज़ब्त कर ली। अगर कोई पता उस सूची में है, तो उसे छूना कोई जोखिम का आकलन नहीं है। यह एक अनुपालन उल्लंघन है, और OFAC इसे strict-liability आधार पर लागू करता है, यानी नीयत आपको नहीं बचाती।

मिक्सर एक्सपोज़र। मिक्सर कई उपयोगकर्ताओं के फंड को एक साथ मिलाकर सूत्र तोड़ देते हैं। Tornado Cash इनमें मशहूर है। इसकी कहानी उलझ गई: OFAC ने अगस्त 2022 में इस पर प्रतिबंध लगाया, Fifth Circuit ने नवंबर 2024 में फैसला दिया कि Treasury ने अपरिवर्तनीय स्मार्ट कॉन्ट्रैक्ट्स पर प्रतिबंध लगाकर अपनी सीमा लांघी, और OFAC ने 21 मार्च, 2025 को इसे औपचारिक रूप से सूची से हटा दिया। तो प्रोटोकॉल स्वयं अब प्रतिबंधित नहीं है। लेकिन जो पैसा सीधे किसी मिक्सर से बाहर निकला है, वह हर एक्सचेंज और काउंटरपार्टी के लिए आज भी एक ख़तरे के झंडे जैसा ही पढ़ा जाता है, क्योंकि आप देख नहीं सकते कि वह उससे पहले कहां था। और प्रतिबंध हटने से लोग बरी नहीं हुए: 6 अगस्त, 2025 को एक जूरी ने सह-संस्थापक Roman Storm को बिना लाइसेंस मनी-ट्रांसमिटिंग व्यवसाय चलाने की साज़िश के लिए दोषी ठहराया। सूची से हटा देने का मतलब साफ़ होना नहीं है।

ताज़ा-फंडेड बर्नर वॉलेट्स। एक वॉलेट जो कल बना, एक बार फंड हुआ, बाकी कोई इतिहास नहीं, और आपसे पहले भेजने को कह रहा है — यह किताब का सबसे पुराना पैटर्न है। लॉन्ड्रर इन्हें हज़ारों की संख्या में खड़ा कर देते हैं। अकेले में यह किसी बात का सबूत नहीं है, पर जब यह जल्दी हिलने के दबाव के साथ मिल जाए, तो इसे आपको रोक देना चाहिए।

ज्ञात स्कैम और ड्रेनर पते। वॉलेट ड्रेनर — ऐसे दुर्भावनापूर्ण कॉन्ट्रैक्ट जो एक बार आपके अप्रूव करते ही वॉलेट खाली कर देते हैं — ने Scam Sniffer के अनुसार 2024 में लगभग 332,000 पतों से करीब $494 मिलियन उड़ा लिए। कुल मिलाकर ऑन-चेन स्कैम से होने वाली आमदनी 2025 में कम-से-कम $14 बिलियन तक पहुंची, और Chainalysis को उम्मीद है कि जैसे-जैसे और पते पहचाने जाएंगे यह आंकड़ा $17 बिलियन के पार चढ़ेगा। इनमें से कई वॉलेट पहले से ही टैग किए हुए हैं। आपको बस जांच करनी है।

वे मुफ़्त जांचें जो कोई भी चला सकता है

बिना कुछ भी चुकाए आप हैरान कर देने वाली दूरी तय कर सकते हैं।

• एक ब्लॉक एक्सप्लोरर। Ethereum और ज़्यादातर EVM चेनों के लिए Etherscan डिफ़ॉल्ट है; Bitcoin के लिए Blockstream और Mempool.space हैं; Solana के लिए Solscan है। पता चिपकाइए और पढ़िए। यह कितना पुराना है? कितने ट्रांज़ैक्शन? क्या बैलेंस और प्रवाह किसी असली इंसान जैसा लगता है या किसी पास-थ्रू जैसा? Etherscan और इसके समकक्ष सार्वजनिक लेबल भी लगाते हैं। स्कैम में पकड़े गए पतों को पेज पर ही एक चमकीला "Fake_Phishing" टैग मिल जाता है, साथ ही ज्ञात-खराब कॉन्ट्रैक्ट्स पर चेतावनियां भी। अगर आपको वह बैनर दिखे, तो बात ख़त्म। पलट कर चले जाइए।
• OFAC SDN सूची। यह sanctionssearch.ofac.treas.gov पर मुफ़्त में खोजी जा सकती है, और इसमें क्रिप्टो पते शामिल हैं। किसी बड़े भुगतान से पहले एकमुश्त जांच के लिए इसमें एक मिनट लगता है।
• कम्युनिटी लेबल साइटें। Chainabuse और इसी तरह के स्कैम-रिपोर्ट डेटाबेस आपको किसी पते को उपयोगकर्ताओं द्वारा दर्ज की गई धोखाधड़ी रिपोर्टों के सामने खोजने देते हैं। यह प्रामाणिक नहीं है, पर एक हिट एक मज़बूत संकेत है।

मैनुअल रास्ते की अड़चन: यह धीमा है, चेन-दर-चेन है, और यह सिर्फ़ वही पकड़ता है जो पहले से लेबल किया हुआ और स्पष्ट हो। यह आपको यह नहीं बताएगा कि कोई पता किसी मिक्सर से दो हॉप की दूरी पर है, या कि उसे पिछले हफ़्ते किसी चुराए-हुए-फंड वाले क्लस्टर से पैसा मिला था। ब्लॉक एक्सप्लोरर को ढंग से पढ़ने में अभ्यास लगता है, और भुगतान स्वीकार करने वाले ज़्यादातर लोगों के पास किसी ट्रांज़ैक्शन ग्राफ़ को हाथ से ट्रेस करने के लिए दस मिनट नहीं होते।

जहां एक स्क्रीनिंग टूल समय बचा देता है

एक स्क्रीनिंग टूल एक ही क्वेरी में वह कर देता है जिसमें आपको एक दोपहर लग जाती: यह पते को हर बड़ी चेन पर एक साथ प्रतिबंध सूचियों के सामने जांचता है, नापता है कि वह मिक्सरों, स्कैम क्लस्टरों, डार्कनेट मार्केट्स और चुराए हुए फंड के कितने करीब बैठा है, और कारणों सहित एक जोखिम स्कोर लौटाता है। इसका मूल्य कोई जादू नहीं है। यह कवरेज और रफ़्तार है। आपको वह अप्रत्यक्ष एक्सपोज़र मिलता है जिसे मैनुअल जांच छोड़ देती है, और वह आपको टैब खोलने के बजाय सेकंडों में मिल जाता है।

यह बात अब EU में और भी ज़्यादा मायने रखती है, कम नहीं। पुनर्संशोधित Transfer of Funds Regulation के तहत, जो 30 दिसंबर, 2024 से MiCA के साथ-साथ लागू है, क्रिप्टो प्रोवाइडरों को ट्रांसफ़र के साथ सत्यापित प्रेषक और प्राप्तकर्ता की जानकारी जोड़नी होगी, और €1,000 से ऊपर के, किसी सेल्फ़-होस्टेड वॉलेट से या उसकी ओर जाने वाले, ट्रांसफ़र के लिए यह सत्यापित करना होगा कि उसे कौन नियंत्रित करता है। पुराने प्रोवाइडरों के लिए संक्रमण की खिड़की 1 जुलाई, 2026 को बंद होती है। अगर आप एक फ़्रीलांसर हैं और कोई विनियमित प्रोवाइडर नहीं, तब भी दिशा साफ़ है: "मुझे नहीं पता था कि वॉलेट किसका था" अब कोई अच्छा जवाब नहीं रहा।

अगर आप क्लाइंटों को इनवॉइस भेजते हैं, तो इसका सबसे साफ़-सुथरा रूप है भुगतान प्रवाह में ही अंतर्निहित स्क्रीनिंग, ताकि पैसा आने से पहले ही payer का वॉलेट अपने-आप जांच लिया जाए और आपको यह याद रखने की ज़रूरत ही न पड़े कि इसे करना है। यही पूरा विचार Constatum के address risk check के पीछे है: एक वॉलेट चिपकाइए, या किसी इनवॉइस के पीछे बैठे payer पर इसे चलने दीजिए, और प्रतिबद्ध होने से पहले एक सीधा जवाब पाइए।

ईमानदार निचोड़

स्क्रीनिंग कोई गारंटी नहीं है। आज का एक साफ़ नतीजा कल बिगड़ सकता है अगर वह वॉलेट अगले हफ़्ते कोई बेवकूफ़ी कर बैठे, और एक फ़्लैग किया गया नतीजा कभी-कभी बस इतना ही मतलब रखता है कि उस पते ने तीन हॉप पीछे किसी जोखिम भरी चीज़ को छू लिया था — इसमें उसके मालिक का कोई कसूर नहीं। स्कोर को सबूत मानिए, फ़ैसला नहीं। पर देखते हुए कि Bybit के बाद चुराया गया पैसा दो दिन से भी कम में ताज़ा वॉलेट्स के ज़रिए घूम गया, और देखते हुए कि प्रतिबंध की चपेट एक कानूनी समस्या है, महज़ एक बुरा एहसास भर नहीं — देखने में लगने वाले वे तीस सेकंड क्रिप्टो का सबसे सस्ता बीमा हैं। भेजने से पहले देखिए। स्वीकार करने से पहले देखिए। पता अपने-आप आपको कुछ नहीं बताएगा।