Airdrop के नाम पर wallet कैसे खाली होता है? Fake claims और approvals की पहचान

AI से बनाया गया प्रतीकात्मक चित्र। यह असली तस्वीर या दस्तावेज़ नहीं है।

अचानक wallet में आया कोई token या 'अपना reward claim करें' वाला link सिर्फ़ चारा है। चोरी बाद में होती है, जब आप खर्च करने की कोई permission (approval) देते हैं, कोई message sign करते हैं या अपना recovery phrase टाइप करते हैं। हर request का मतलब क्या है, और अगर आप पहले ही click कर चुके हैं तो क्या करें, यहां जानें।

01 / छोटा जवाब

अचानक कोई token मिल जाने भर से किसी को आपके wallet का access नहीं मिल जाता। खतरा तब शुरू होता है जब आप उसके पीछे जाते हैं: किसी 'claim' साइट पर जाना, अपना wallet connect करना, और फिर खर्च करने की permission approve करना, कोई message sign करना या अपना recovery phrase डालना। MetaMask की अपनी गाइड एक सामान्य airdrop और airdrop phishing स्कैम के बीच ठीक यही फ़र्क बताती है।

यह गाइड crypto token और NFT airdrops के बारे में है, Apple के AirDrop फ़ाइल-शेयरिंग फ़ीचर के बारे में नहीं।

02 / चार अलग request, चार अलग खतरे

• Token मिलना। कोई भी किसी public address पर token भेज सकता है। आपके wallet या block explorer पर उसका दिखना कोई मंज़ूरी या भरोसे की मुहर नहीं है, और इसका मतलब यह भी नहीं कि उसकी कोई कीमत है।
• Wallet connect करना। इससे आपका address किसी साइट के साथ शेयर होता है। यह उसे खर्च करने की permission देने जैसा नहीं है।
• खर्च करने की permission (allowance) approve करना। इससे कोई smart contract आपके wallet से token निकाल सकता है, कभी-कभी बिना किसी सीमा के। Ethereum जैसी EVM chains पर ज़्यादातर drainers इसी तरीके से पैसे निकालते हैं।
• Message sign करना। कुछ signatures में कोई fee नहीं लगती और उसी वक्त कुछ ट्रांसफ़र नहीं होता, लेकिन बाद में इनसे किसी ट्रांसफ़र को मंज़ूरी दी जा सकती है। MetaMask चेतावनी देता है कि 'gasless' का मतलब सुरक्षित नहीं है।

कुछ भी claim करने के लिए अपना 12 या 24 शब्दों वाला recovery phrase कभी किसी साइट, फ़ॉर्म या चैट में न डालें। जिसके पास यह phrase है, पूरा wallet उसी के कंट्रोल में है।

03 / कुछ भी claim करने से पहले क्या जांचें

1. शुरुआत project के उस official channel से करें जो आपने खुद ढूंढा हो, न कि token में दिए link, किसी direct message या किसी पोस्ट के नीचे आए reply से।
2. Wallet का हर prompt पढ़ें: कौन-सी साइट मांग रही है, कौन-सा token, कौन-सा spender address, और कितनी रकम। 'फ़्री' claim के लिए unlimited allowance खतरे का संकेत है।
3. Countdown, 'आखिरी मौका' वाले banner और मशहूर logos को सबूत नहीं, दबाव बनाने का तरीका मानें।
4. अगर आपको पक्का नहीं पता कि कोई signature क्या करता है, तो उसे reject कर दें। जांचने के बाद आप कभी भी वापस आ सकते हैं।

Permission request पढ़ने की प्रैक्टिस हमारी Scam Lab में करें।

04 / Disconnect करना काफ़ी नहीं

किसी साइट को अपने wallet से disconnect करने पर वह permission रद्द नहीं होती जो आप पहले दे चुके हैं। MetaMask साफ़ कहता है कि disconnect करने से 'कोई भी token approval revoke नहीं होगा', यानी वह साइट तब भी आपके token निकाल सकती है। Allowance हटाने के लिए आपको उसे revoke करना होगा, जो एक on-chain transaction है और इसमें network fee लगती है। सिर्फ़ fee लगना फ़्रॉड का संकेत नहीं है।

ये बातें EVM chains पर token approvals पर लागू होती हैं। दूसरी blockchains permissions को अलग तरह से संभालती हैं; आप जिस chain का इस्तेमाल करते हैं, उसके लिए अपने wallet provider की गाइड देखें।

05 / अगर आप पहले ही click कर चुके हैं

• आपने permission approve की, लेकिन recovery phrase किसी को नहीं बताया: अपने wallet या किसी भरोसेमंद revoke tool से allowance revoke करें, और शक हो तो बाकी funds दूसरी जगह भेज दें।
• आपने अपना recovery phrase कहीं भी टाइप किया: मान लें कि wallet compromise हो चुका है। Revoke या disconnect करना काफ़ी नहीं है। अपने wallet provider के बताए compromise वाले कदम अपनाएं और जो बचा है उसे नए phrase से बने नए wallet में भेजें। पुराने address में gas के लिए पैसे भेजते न रहें; अपने-आप चलने वाली 'sweeper' scripts पैसा पहुंचते ही उसे निकाल सकती हैं।
• Transaction hashes, wallet addresses और claim साइट का address सेव करके रखें। भारत में 1930 पर या cybercrime.gov.in पर शिकायत करें, जहां cryptocurrency crimes की शिकायत ली जाती है।

हकीकत समझें: blockchain पर हुआ ट्रांसफ़र आपका wallet provider वापस नहीं कर सकता, और जो कोई fee लेकर पक्की recovery का वादा करे, वह दूसरा स्कैम चला रहा है। भारत में crypto स्कैम: क्या करें।

06 / पुष्ट जानकारी बनाम सामान्य सलाह

Wallet provider के documentation से: सिर्फ़ token मिलना चोरी नहीं है, signatures का गलत इस्तेमाल हो सकता है, disconnect करने से approvals revoke नहीं होते, और compromise के बाद के कदम। उपलब्ध नहीं: भारत में airdrop स्कैम से हुए नुकसान का कोई आधिकारिक आंकड़ा। यहां बताए कदम आम तौर पर दिखने वाले तरीकों पर आधारित हैं, किसी एक नामित मामले पर नहीं।