Coinbase चोरी मामला: यह स्मार्ट-कॉन्ट्रैक्ट हैक नहीं, सोशल इंजीनियरिंग का जाल था

उपलब्ध सार्वजनिक साक्ष्य किसी पुष्ट Coinbase स्मार्ट-कॉन्ट्रैक्ट एक्सप्लॉइट की ओर नहीं, बल्कि एक अज्ञात और आर्थिक लाभ के लिए काम करने वाले फ़िशिंग या सोशल-इंजीनियरिंग ऑपरेटर—या संभवतः ऐसे ऑपरेटरों के समूह—की ओर इशारा करते हैं। नवीनतम रिपोर्टों के अनुसार, 16 अगस्त को करीब 5 लाख डॉलर की क्रिप्टो को Ether में बदला गया और Tornado Cash के जरिए भेजा गया। इससे लगभग तीन सप्ताह पहले करीब 20 लाख डॉलर का एक समान ट्रांसफर रिपोर्ट किया गया था। संबंधित वॉलेट्स में अब भी करोड़ों डॉलर की क्रिप्टो होने की बात कही गई है।

हालांकि, यह पहचान अभी अस्थायी है। ब्लॉकचेन एनालिटिक्स में किसी वॉलेट को “Coinbase hacker” कहना जांच संबंधी अनुमान है, कानूनी निष्कर्ष नहीं। 300 मिलियन डॉलर से अधिक का आंकड़ा जांचकर्ताओं या मीडिया का कुल अनुमान है; इससे यह साबित नहीं होता कि Coinbase यूज़र्स से जुड़ी हर चोरी एक ही व्यक्ति या समूह ने की।

Coinbase यूज़र्स से कथित चोरी कैसे हुई

इस अभियान का मुख्य तरीका कोड नहीं, बल्कि इंसानी भरोसे का दुरुपयोग बताया गया है। रिपोर्टों के मुताबिक, पीड़ितों से ऐसे लोगों ने संपर्क किया जो खुद को Coinbase सपोर्ट प्रतिनिधि बताते थे। इसके बाद उन्हें लॉगिन जानकारी बताने, ट्रांजैक्शन मंजूर करने, क्रिप्टो ट्रांसफर करने या किसी अन्य तरीके से अकाउंट का नियंत्रण छोड़ने के लिए दबाव डाला गया। अभियान पर आई रिपोर्टें इसे स्मार्ट-कॉन्ट्रैक्ट एक्सप्लॉइट से अलग बताती हैं।

यह अंतर अहम है। स्मार्ट-कॉन्ट्रैक्ट एक्सप्लॉइट में हमलावर आम तौर पर किसी ऑन-चेन ऐप के कोड या लॉजिक की खामी का फायदा उठाता है। इसके विपरीत, सपोर्ट-इम्पर्सोनेशन स्कैम में हमलावर अकाउंटधारक को खुद ट्रांसफर मंजूर करने या उसके लिए जरूरी पहुंच देने के लिए राजी करता है। यहां कमजोर कड़ी यूज़र का भरोसा और निर्णय लेने की प्रक्रिया होती है—जिसे निजी जानकारी और झूठी जल्दबाजी के माहौल से और विश्वसनीय बनाया जा सकता है।

300 मिलियन डॉलर के अनुमान का मतलब क्या है

फरवरी 2025 में ब्लॉकचेन जांचकर्ताओं ZachXBT और tanuki42 ने बताया कि दिसंबर 2024 और जनवरी 2025 के दौरान Coinbase यूज़र्स को 6.5 करोड़ डॉलर से अधिक का नुकसान हुआ। उन्होंने यह भी अनुमान लगाया कि इसी तरह के सोशल-इंजीनियरिंग स्कैम से सालाना नुकसान 300 मिलियन डॉलर से अधिक हो सकता है। उनकी समीक्षा में पीड़ितों की रिपोर्ट और ऑन-चेन गतिविधियां शामिल थीं, लेकिन उन्होंने माना कि उपलब्ध डेटा अधूरा था।

मई 2025 की एक बाद की रिपोर्ट में एक ही सप्ताह के दौरान समन्वित सोशल-इंजीनियरिंग स्कैम से Coinbase यूज़र्स को करीब 4.5 करोड़ डॉलर के अतिरिक्त नुकसान का अनुमान दिया गया। ये आंकड़े हमलों के लगातार और संगठित होने की ओर इशारा करते हैं, लेकिन अपने-आप में यह साबित नहीं करते कि सभी घटनाओं या बाद की मिक्सर गतिविधियों को एक ही वॉलेट ऑपरेटर नियंत्रित कर रहा था।

एक जांच में 25 से अधिक पीड़ितों से जुड़े एक कंसॉलिडेशन एड्रेस की भी पहचान की गई। इस तरह का क्लस्टर जांचकर्ताओं को ट्रांजैक्शनों को जोड़ने और अभियान का पैटर्न समझने में मदद कर सकता है, लेकिन यह अब भी अप्रत्यक्ष संकेत है—किसी वास्तविक व्यक्ति की पहचान का निर्णायक प्रमाण नहीं।

Coinbase का ग्राहक-डेटा मामला: महत्वपूर्ण संदर्भ, लेकिन पक्की कड़ी नहीं

Coinbase ने मई 2025 में बताया था कि अपराधियों ने विदेशों में काम करने वाले कुछ कस्टमर-सपोर्ट कर्मचारियों को रिश्वत देकर ग्राहकों की जानकारी हासिल की। कथित तौर पर इस डेटा का इस्तेमाल Coinbase बनकर यूज़र्स को क्रिप्टो भेजने के लिए ठगने में किया जाना था। कंपनी ने सुधारात्मक कदमों और स्वैच्छिक ग्राहक-रिफंड की लागत 18 करोड़ से 40 करोड़ डॉलर के बीच आंकी थी।

ऐसा डेटा सपोर्ट स्कैम को काफी विश्वसनीय बना सकता है। यदि कॉल करने वाले को ग्राहक का नाम, संपर्क विवरण या अकाउंट से जुड़ी जानकारी मालूम हो, तो वह असली प्रतिनिधि जैसा लग सकता है। लेकिन यहां उपलब्ध सार्वजनिक साक्ष्य यह साबित नहीं करते कि अंदरूनी डेटा हासिल करने वाले अपराधी और व्यापक चोरी से जुड़े वॉलेट्स को नियंत्रित करने वाले लोग एक ही थे। इसलिए दोनों मामलों को साझा जोखिम के संदर्भ के रूप में देखा जाना चाहिए, पुष्ट साझा पहचान के रूप में नहीं।

जांचकर्ता को दी गई सार्वजनिक चुनौती

मई 2025 में जांचकर्ताओं से जुड़े एक वॉलेट ने कथित तौर पर THORChain के जरिए करीब 4.25 करोड़ डॉलर के Bitcoin को Ether में बदला। उसी वॉलेट से ब्लॉकचेन जांचकर्ता ZachXBT को “L bozo” संदेश भी भेजा गया।

इस संदेश से इतना पता चलता है कि वॉलेट नियंत्रित करने वाला व्यक्ति जांचकर्ता को सार्वजनिक रूप से उकसाने को तैयार था। इससे उसकी पहचान, स्थान या अन्य सभी चोरी से उसका संबंध साबित नहीं होता।

Tornado Cash से रिकवरी क्यों मुश्किल हो जाती है

क्रिप्टो मिक्सर का उद्देश्य किसी डिपॉजिट और बाद के विदड्रॉल के बीच सीधे संबंध को जटिल बनाना होता है। Tornado Cash साझा पूल और प्राइवेसी-केंद्रित ट्रांजैक्शन व्यवस्था का इस्तेमाल करता है। इसलिए किसी एक पते से जमा की गई रकम बाद में किसी अलग पते पर निकाली जा सकती है। ब्लॉकचेन रिकॉर्ड मिटता नहीं, लेकिन डिपॉजिट से विदड्रॉल तक की सीधी कड़ी स्थापित करना कहीं कठिन हो जाता है।

जांचकर्ता फिर भी ट्रांजैक्शन का समय, रकम, वॉलेट का दोहराया गया व्यवहार, ब्रिज, डिसेंट्रलाइज़्ड एक्सचेंज और केंद्रीकृत एक्सचेंज के डिपॉजिट एड्रेस देख सकते हैं। इन संकेतों से संभावित संबंध बनाया जा सकता है। लेकिन किसी खास विदड्रॉल को किसी व्यक्ति से जोड़ने या एक्सचेंज अथवा अदालत के सामने फंड फ्रीज़ कराने के लिए केवल सहसंबंध हमेशा पर्याप्त नहीं होता। जितने लंबे समय तक संपत्तियां किसी आसानी से पहचाने जा सकने वाले कस्टोडियन से बाहर रहती हैं, रिकवरी उतनी ही कठिन हो सकती है।

नवंबर 2024 के Tornado Cash फैसले का असर

26 नवंबर 2024 को अमेरिका की Fifth Circuit Court of Appeals ने कहा कि Treasury Department का Office of Foreign Assets Control (OFAC) Tornado Cash के अपरिवर्तनीय स्मार्ट कॉन्ट्रैक्ट्स पर प्रतिबंध लगाकर अपनी वैधानिक सीमा से आगे चला गया था। अदालत के अनुसार, संबंधित कानून के तहत ये स्मार्ट कॉन्ट्रैक्ट “property” नहीं थे, जिन्हें ब्लॉक किया जा सके।

यह फैसला प्रतिबंध लगाने के कानूनी आधार से जुड़ा था। इसने चोरी या मनी लॉन्ड्रिंग को वैध नहीं बनाया, संभावित आपराधिक जिम्मेदारी खत्म नहीं की और न ही मिक्सर के जरिए भेजे गए फंड की रिकवरी की गारंटी दी। इसी तरह, मिक्सर का इस्तेमाल अपने-आप किसी व्यक्ति को निर्दोष या दोषी साबित नहीं करता। फैसला और आपराधिक इस्तेमाल का सवाल अलग-अलग मुद्दे हैं।

Coinbase यूज़र्स के लिए व्यावहारिक सबक

इस मामले का सबसे लगातार बना रहने वाला खतरा Coinbase के ब्लॉकचेन इंफ्रास्ट्रक्चर की कोई रहस्यमय तकनीकी विफलता नहीं, बल्कि फोन, मैसेज या लिंक के दूसरी तरफ मौजूद एक बेहद विश्वसनीय ठग है।

यूज़र्स को चाहिए:

• बिना मांगे आए Coinbase-सपोर्ट कॉल, टेक्स्ट और डायरेक्ट मैसेज को संदिग्ध मानें।
• पासवर्ड, सीड फ्रेज, वन-टाइम कोड या प्राइवेट की कभी साझा न करें।
• कथित सपोर्ट एजेंट के कहने पर किसी डिवाइस का रिमोट एक्सेस न दें।
• अचानक आए संदेशों में दिए गए सपोर्ट लिंक पर क्लिक करने से बचें।
• मदद लेने के लिए आधिकारिक Coinbase ऐप खोलें या वेबसाइट का पता खुद टाइप करें।
• चोरी होने पर संदेश, फोन नंबर, वॉलेट एड्रेस और ट्रांजैक्शन हैश सुरक्षित रखें और तुरंत रिपोर्ट करें।

16 अगस्त की फंड मूवमेंट से पता चलता है कि इस रिपोर्टेड अभियान से जुड़े फंड अब भी सक्रिय हैं। लेकिन बड़ा सबक सीधा है: मजबूत तकनीकी सुरक्षा भी तब कमजोर पड़ सकती है, जब हमलावर किसी वैध यूज़र को ट्रांसफर मंजूर करने के लिए सफलतापूर्वक मना ले।