वॉलेट सुरक्षेच्या सवयी: बनावट सपोर्ट, फिशिंग सही आणि क्लिपबोर्ड

ऑन-चेन फसवणुकीच्या कहाण्या एकेक करून उलगडून बघा — त्यातल्या दहापैकी नऊमध्ये तंत्रज्ञान फोडलेलं नसतं. MPC, मल्टिसिग अशा यंत्रणा खरोखर तोडून काढल्याची प्रकरणं फार दुर्मीळ. तुटतात त्या सवयी: «सपोर्ट»च्या मेसेजला उत्तर दिलं, डोमेन न बघता सही केली, ॲड्रेस पेस्ट करून पुढे सरकलो. हा वॉलेट विभागाचा सातवा आणि शेवटचा टप्पा. फसवणुकीच्या प्रकारांची जंत्री इथे मांडायची नाही; इथे एकच काम — पाच रोजच्या सवयी, त्या अंगवळणी पडल्या की बहुतेक खड्डे तुम्हाला वळसा घालून जातील.

«सपोर्ट» स्वतःहून तुम्हाला मेसेज करत असेल, तर काय करायचं?

बनावट धरून सोडून द्या; इथे विचार करण्यासारखं काही नाही. सपोर्टची गरज पडली तर संभाषण तुम्ही स्वतः बायनान्स ॲपमधून सुरू करायचं असतं — पलीकडचा माणूस तुमच्या दारात येत नाही. WhatsApp, Telegram किंवा X वर स्वतःला «बायनान्स सपोर्ट» किंवा «Binance India च्या अधिकृत ग्रुपचा ॲडमिन» म्हणवणारा कुणी DM करत असेल, तर प्रोफाइल फोटो कितीही अधिकृत दिसो आणि बोलणं कितीही तयारीचं असो — तो बनावटच.

आपल्याकडे या सापळ्याची सुरुवात बहुतेकदा गूगलवर होते. «Binance customer care number» किंवा «बायनान्स कस्टमर केअर नंबर» असं शोधलं की वर दिसणारे नंबर, तसंच स्थानिक बिझनेस डिरेक्टरीत सापडणारे «हेल्पलाइन» नंबर — जवळपास सगळे फसवणूक करणाऱ्यांचे. बायनान्सचं खरं सपोर्ट टेलिफोन हेल्पलाइनवर चालत नाही; त्याचं दार फक्त ॲपमधल्या किंवा अधिकृत साइटवरच्या सपोर्ट चॅटमधून उघडतं. एकदा तो नंबर फिरवला की पलीकडचा माणूस आवाजात पूर्ण आत्मविश्वास घेऊन बोलतो, «केस आयडी» देतो, आणि पंधरा मिनिटांत तुम्ही त्याच्या हातात असता.

त्यांची पटकथा ठरलेली आहे. तुमचं वॉलेट «गोठवलं गेलंय», अकाउंट «रिस्क कंट्रोलमध्ये आलंय», «सिस्टीम अपग्रेडसाठी सिंक करावं लागेल», किंवा «तुमचा एअरड्रॉप पडून आहे, फक्त क्लेम करून द्यायचा आहे» — पुढे लिंक येते, किंवा OTP मागितला जातो, किंवा «पडताळणीसाठी» रिकव्हरी पासवर्ड. आणि सगळ्यात नवा प्रकार म्हणजे स्क्रीन शेअर: AnyDesk, TeamViewer, Quick Support अशा ॲपची लिंक पाठवून «मी स्वतः सेटिंग करून देतो» म्हटलं जातं. लक्षात ठेवा — स्क्रीन शेअर म्हणजे तुमचं वॉलेट सरळ त्याच्या हातात देणं. तुम्ही काहीही न पाठवता तो सगळं वाचू शकतो, आणि तुम्ही बोलण्यात गुंतलेले असताना पडद्यामागे काम होऊन जातं. बायनान्सचा कोणताही कर्मचारी असं ॲप इन्स्टॉल करायला सांगत नाही.

याच टोळ्या UPI च्या बाजूनेही येतात, आणि तो सापळा आपल्याकडे सर्वात जास्त पसरलेला आहे. «चुकून तुमच्या नंबरवर ₹8,000 पाठवले, प्लीज परत करा» असा मेसेज येतो; कधी स्क्रीनशॉटही जोडलेला असतो. मग म्हणतात, «ही collect request स्वीकारा, म्हणजे पैसे तुमच्या खात्यात येतील». इथेच सगळा खेळ आहे: UPI मधली collect request म्हणजे पैसे मागण्याची विनंती, पैसे देण्याची — ती स्वीकारली आणि PIN टाकला की पैसे तुमच्या खात्यातून जातात, येत नाहीत. UPI वर कधीही पैसे घेण्यासाठी PIN लागत नाही; PIN फक्त पैसे देताना लागतो. हाच डाव P2P वर USDT विकणाऱ्यांवरही चालवला जातो — «पेमेंट केलं आहे बघा» म्हणून बनावट स्क्रीनशॉट पाठवला जातो, आणि खात्यात रक्कम खरंच जमा झाली आहे का हे बँकेच्या ॲपमध्ये न बघता माणूस कॉइन सोडून देतो.

SIM स्वॅपचा उल्लेख इथेच करून टाकू, कारण त्याचा परिणाम याच सगळ्याला जोडलेला आहे. बनावट कागदपत्रं देऊन तुमच्या नंबरचं डुप्लिकेट सिम काढून घेणं आपल्याकडे नियमितपणे घडतं; ते जमलं की तुमच्या नंबरवर येणारा प्रत्येक OTP त्यांच्या हातात जातो. म्हणून टू-स्टेप व्हेरिफिकेशन ऑथेंटिकेटर ॲपवर ठेवा, SMS वर नको. दुसरी बाजू अशी की बराच काळ वापरात नसलेला नंबर टेलिकॉम कंपनी दुसऱ्या ग्राहकाला देऊन टाकते — जुन्या, बंद पडलेल्या नंबरवर अकाउंट अडकून राहिलं असेल, तर उद्या तो OTP अनोळखी माणसाच्या फोनवर वाजेल.

एवढं लक्षात ठेवलं तरी पुरे: खरा सपोर्ट स्वतःहून तुमच्याकडे येत नाही, आणि रिकव्हरी पासवर्ड कधीही मागत नाही. असा मेसेज आला की उत्तर देऊ नका, लिंक उघडू नका, स्क्रीन शेअर करू नका. खरंच शंका असेल तर स्वतः ॲप उघडा आणि तिथून विचारा. आणि बनावट प्रोफाइल दिसलं की त्या प्लॅटफॉर्मवर रिपोर्ट करून टाका — तुमचं काम दोन सेकंदांचं, पण पुढच्या माणसाची वाचवणूक होऊ शकते.

सही करण्याआधी नेमक्या कोणत्या दोन गोष्टी बघायच्या?

एक डोमेन, दोन विनंतीचा मजकूर. सहीची विंडो समोर आली की आधी बघा — विनंती पाठवणारी वेबसाइट आणि तुम्ही जिथे जायचं ठरवलं होतं, ती एकच आहे का? फिशिंग साइटची सगळी भिस्त तुम्ही ते न बघण्यावर आहे. एका अक्षराचा फरक असलेली नकली डोमेनं गल्लोगल्ली फिरतात, आणि दिसायला मूळ साइटशी हुबेहूब जुळतात. मग विनंती स्वतः वाचा: ही फक्त लॉगिनची पडताळणी आहे, की ट्रान्सफर आहे, की अप्रूव्हल? अप्रूव्हल म्हणजे नेमकं काय आणि ते कसं सांभाळायचं, हे मागच्या टप्प्यावर सविस्तर आलं आहे.

ती नकली डोमेनं तुमच्यापर्यंत पोहोचतात कशी? दोन वाटा. पहिली — जाहिरात. गूगल आणि X वर जाहिरात विकत घेऊन ती खऱ्या साइटच्या वरच्या रकान्यात बसतात; तुम्ही «binance wallet» शोधता आणि पहिल्याच निकालावर टिचकी मारता. सर्च निकालांतली पहिली ओळ म्हणजे सर्वात विश्वासार्ह ओळ नव्हे — «Sponsored» किंवा «Ad» असा शिक्का असेल तर तो सोडून खालचा खरा निकाल शोधा, किंवा त्याहून बरं म्हणजे पत्ता स्वतः टाइप करा आणि तो बुकमार्क करून ठेवा. दुसरी वाट — एअरड्रॉपच्या लिंका. Telegram ग्रुपमध्ये किंवा X वर «फक्त आजची विंडो, वॉलेट कनेक्ट करा आणि टोकन क्लेम करा» अशी लिंक फिरत राहते. ती साइट खऱ्या प्रकल्पासारखीच दिसते; क्लेमचं बटण दाबलं की सहीची विनंती येते, आणि त्या विनंतीत क्लेम नसतो — तुमच्या टोकनवरचा अप्रूव्हल असतो. फुकट काहीतरी मिळतंय ही घाई हेच त्यांचं मुख्य हत्यार आहे.

समजलं नाही तर नकार द्या. सहीला नकार दिल्याने कोणतीही फी लागत नाही आणि वॉलेटला काही होत नाही; तपासून मग सही केली तरी काही बिघडत नाही. उलट एक चुकीचा अप्रूव्हल म्हणजे मालमत्ता हळूहळू रिकामी होण्याची सुरुवात असू शकते — आणि ती सही तुम्हीच केलेली असल्यामुळे नंतर सांगायलाही जागा उरत नाही.

ॲड्रेस कॉपी-पेस्ट केला, तरी पुन्हा बघायची गरज काय?

कारण क्लिपबोर्ड पळवला जाऊ शकतो. यंत्रणा एका ओळीत: एखादं मालवेअर पार्श्वभूमीत तुमच्या क्लिपबोर्डवर नजर ठेवून बसतं; तुम्ही वॉलेटचा ॲड्रेस कॉपी केलात हे कळताच तो गुपचूप बदलून टाकतं — जागी येतो सुरुवातीचे आणि शेवटचे आकडे जवळपास तसेच असलेला फसवणूक करणाऱ्याचा ॲड्रेस. पेस्ट केल्यावर तुम्ही ताडून बघणार नाही, हीच त्याची पैज.

त्यावरची सवय: पेस्ट केल्यावर ॲड्रेसचे सुरुवातीचे आणि शेवटचे चार ते सहा आकडे मूळ जागेशी ताडून बघा, जुळले तरच पाठवा. मधली अक्षरं वाचायची गरज नाही — बदल नेमका तिथेच केलेला असतो, कारण माणूस टोकंच बघतो हे त्यांना माहीत आहे. रक्कम मोठी असेल तर आधी छोटी चाचणी पाठवा: ₹1,00,000 ची बदली एकदम करण्यापेक्षा आधी ₹200 इतकं पाठवा, ते पोहोचल्याची खात्री करा, मग उरलेलं. ऑन-चेन ट्रान्सफरला मागे घेण्याचं बटण नाही — चुकीच्या ॲड्रेसवर गेलं म्हणजे गेलं, आणि तिथे कुणी कस्टमर केअर बसलेलं नाही.

रिकव्हरी पासवर्ड नेमका कधी लागतो?

एकाच वेळी: नव्या फोनवर तुम्ही स्वतः अधिकृत रिकव्हरी प्रक्रिया चालवता तेव्हा. याखेरीज कोणतंही वेबपेज, फॉर्म, पॉपअप किंवा «सपोर्ट» तुम्हाला रिकव्हरी पासवर्ड टाकायला सांगत असेल, तर ते फिशिंगच आहे — याला अपवाद नाही. कुणी तो विचारला, या एका गोष्टीवरून तो फसवणूक करणारा आहे हे ठरतं; बाकी काहीही तपासायची गरज नाही.

कारण Keyless च्या रचनेत आहे. बायनान्स वॉलेटला बीज वाक्य (seed phrase) नाही; किल्ली तीन तुकड्यांत विभागलेली असते आणि रिकव्हरी पासवर्ड हा क्लाउड बॅकअपमधल्या तुकड्याचं कुलूप आहे. तो तुकडा आणि तो पासवर्ड — दोन्ही एका हातात आले, की वॉलेटच्या ताब्यापासून फार अंतर उरत नाही. बॅकअपची यंत्रणा नेमकी कशी चालते हे टप्पा 3 मध्ये आहे. मुद्दा एवढाच: बायनान्सच्या सिस्टीमला तो «पडताळायची» कधीच गरज पडत नाही; ती गरज फक्त फसवणूक करणाऱ्याला असते.

MetaMask सारख्या पारंपरिक वॉलेटची सवय असलेल्यांसाठी एक टीप: तिथे बीज वाक्य हाच अंतिम अधिकार असतो, आणि तेच मागणारे बनावट «support form» जुन्या काळापासून फिरत आहेत. इथे शब्द वेगळा आहे, धोका तोच. कुणी बीज वाक्य मागो, प्रायव्हेट की मागो, की रिकव्हरी पासवर्ड — उत्तर एकच: नाही.

अप्रूव्हलची तपासणी किती वेळा करायची?

dApp शी जोडलेल्या प्रत्येक वॉलेटवर हे उधार बाकी असतं: एकदा दिलेला अप्रूव्हल आपोआप संपत नाही. आज ज्या कॉन्ट्रॅक्टवर विश्वास ठेवला, तो उद्या फुटला की जुना अप्रूव्हल म्हणजे उघडं राहिलेलं दार. लय अशी ठेवा: नव्या dApp शी जोडल्यावर लगेच एकदा, आणि एरवी दर एक-दोन महिन्यांतून एकदा. अप्रूव्हल तपासणीच्या पायऱ्या यात क्रम दिलेला आहे, त्यानुसार गेलात की झालं; त्याच वेळी वॉलेट सुरक्षा तपासणी मधून बॅकअप, स्क्रीन लॉक असले मुद्देही एकदा तपासून घ्या.

हा लेख लिहिण्याआधी आमच्या संपादकीय टीमने या पाचही सवयी प्रात्यक्षिक वॉलेटवर स्वतः चालवून पाहिल्या. दोन जागा सर्वात लवकर ढिल्या होतात. पहिली — अप्रूव्हलची तपासणी. ती करायला हवी हे सगळ्यांना पटतं, आणि तरी ती पुढे ढकलली जाते; म्हणूनच ती दहा मिनिटांत संपणाऱ्या पायऱ्यांच्या स्वरूपात मांडली आहे. दुसरी — ॲड्रेस ताडून बघणं. पहिल्या काही व्यवहारांत माणूस अगदी काळजीपूर्वक बघतो, सराव झाला की तो टप्पा गाळायला लागतो; आणि क्लिपबोर्ड पळवणारे नेमके त्याच दिवसाची वाट बघत असतात.

फसवणूक झालीच, तर नुकसान थांबवायचा क्रम काय?

तीन पावलं, आणि क्रम बदलू नका:

1उरलेली मालमत्ता हलवा

अजून तुमच्याच ताब्यात असलेल्या स्वच्छ जागी — नव्याने उघडलेलं वॉलेट, किंवा तुमचं एक्स्चेंज अकाउंट — ज्या कॉइनला अजून हात लागलेला नाही ते आधी हलवा. कारण शोधणं नंतर; आधी उरलेलं वाचवा.

2संशयास्पद अप्रूव्हल रद्द करा

«एक घास खाल्ला, बाकीचं अप्रूव्हलमधून हळूहळू ओढत राहिले» हे टाळण्यासाठी. अप्रूव्हल तपासणीच्या पायऱ्यांप्रमाणे अलीकडे दिलेले आणि संशयास्पद वाटणारे अप्रूव्हल काढून टाका.

3क्लाउड अकाउंटचा पासवर्ड बदला

क्लाउड अकाउंट किंवा रिकव्हरी पासवर्ड फुटल्याची शंका असेल, तर लगेच Apple ID किंवा Google अकाउंटचा पासवर्ड बदला आणि त्यावर टू-स्टेप व्हेरिफिकेशन लावा — क्लाउड बॅकअपमधला तुकडा पुन्हा कुलूपबंद करा. वॉलेट ज्या फोनवर होतं तो फोन आणि तिथली अनोळखी ॲपं सुद्धा तपासा.

आता स्पष्ट बोलू, कारण इथेच लोकांची सर्वात मोठी अपेक्षाभंग होते. काय मिळू शकतं आणि काय नाही, याची फोड अशी. बायनान्स अकाउंटच्या बाजूचे प्रश्न — एक्स्चेंज अकाउंट हॅक झालं, अनोळखी लॉगिन दिसलं — त्यासाठी अधिकृत सपोर्टचा मार्ग आहे. फिशिंग साइट आणि बनावट प्रोफाइल त्या-त्या प्लॅटफॉर्मवर आणि बायनान्सकडे रिपोर्ट करता येतात. भारतात सायबर फसवणुकीची तक्रार नोंदवायची अधिकृत जागा म्हणजे राष्ट्रीय सायबर क्राइम पोर्टल आणि 1930 ही हेल्पलाइन; बँक खात्यातून पैसे गेले असतील तर बँकेला ताबडतोब कळवणं आणि तक्रारीचा क्रमांक हातात ठेवणं महत्त्वाचं. पण तुम्ही वॉलेटमध्ये सही करून पाठवलेला ऑन-चेन व्यवहार कुणीही मागे फिरवू शकत नाही — बायनान्सला जमत नाही, दुसऱ्या कोणत्याही प्लॅटफॉर्मला जमत नाही, आणि पोलिसांच्या हातातही तो व्यवहार रद्द करण्याचं बटण नाही. तक्रार नोंदवा, पुरावे — मेसेज, ट्रान्झॅक्शन हॅश, स्क्रीनशॉट, तारखा — नीट जमवून ठेवा; पण पैसे परत मिळतील याची कोणतीही खात्री कुणी देऊ शकत नाही, आणि आम्हीही देत नाही. तुमच्या हातात खरोखर जे आहे ते म्हणजे रक्तस्राव थांबवणं. आणि याच जखमेवर बसलेला दुसरा सापळा लक्षात ठेवा: «फी भरा, आम्ही तुमची बुडालेली रक्कम वसूल करून देतो» असं म्हणणारे «रिकव्हरी एजंट» — कधी वकिलाच्या, कधी सायबर तज्ज्ञाच्या वेशात — ही फसवणुकीची दुसरी फेरी असते, आणि ती पहिलीपेक्षा जास्त लुबाडते, कारण तुम्ही तेव्हा हताश असता.

नेहमीचे प्रश्न