क्रिप्टो वॉलेट सुरक्षा घटना ट्रैकर
2026-10-25 तक, हम 2018 से लोकप्रिय सेल्फ़-कस्टडी वॉलेट और उनके उपयोगकर्ताओं को प्रभावित करने वाली 60 सुरक्षा घटनाओं को ट्रैक करते हैं, जिनमें 20 हैक, एक्सप्लॉइट या उजागर की गई कमज़ोरियाँ और 5 सप्लाई-चेन हमले शामिल हैं। उपयोगकर्ताओं का अधिकांश नुकसान वॉलेट की क्रिप्टोग्राफ़ी टूटने से नहीं, बल्कि फ़िशिंग, ड्रेनर और नकली ऐप्स से हुआ।
मुख्य तथ्य
- वॉलेट से जुड़ी सबसे बड़ी घटनाएँ कौन-सी थीं?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Profanity वैनिटी एड्रेस (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- सबसे हाल की घटना कौन-सी है?
- 2026-10-09: Ledger के अधिकृत विक्रेता के रूप में सूचीबद्ध दक्षिण-पूर्व एशियाई रीसेलर CryptoBilis के ज़रिए बेचे गए Ledger डिवाइसों में एक छिपा इम्प्लांट था, जो सेटअप के दौरान 24-शब्दों का फ़्रेज़ पढ़कर उसे सेल्युलर (LTE) मॉड्यूल के ज़रिए बाहर भेज देता था; Ledger ने 10 अक्टूबर के एक बयान में इम्प्लांट की पुष्टि की। CryptoBilis ने बिक्री निलंबित कर दी, Ledger ने उससे खरीदे गए डिवाइसों के मालिकों से नए सीड के साथ नए डिवाइस पर फ़ंड ले जाने को कहा, और 13 अक्टूबर को सात एशियाई बाज़ारों के रीसेलरों से स्टॉक हटाने को कहा। MediaMarktSaturn ने भी Ledger की बिक्री रोक दी। Ledger के दस्तावेज़ों के अनुसार Genuine Check सिक्योर एलिमेंट को सत्यापित करता है और भौतिक बदलावों का पता नहीं लगा सकता।
- मुख्य सबक क्या है?
- अधिकांश नुकसान वॉलेट की क्रिप्टोग्राफ़ी के बाहर से शुरू होते हैं: फ़िशिंग साइटें, नकली ऐप्स, दुर्भावनापूर्ण अप्रूवल और समझौता की गई सप्लाई चेन। डाउनलोड की पुष्टि करें, अपना सीड फ़्रेज़ कभी किसी वेबसाइट में टाइप न करें, और जाँचें कि आप क्या साइन कर रहे हैं।
टाइमलाइन
| तारीख | वॉलेट | प्रकार | रिपोर्ट किया गया नुकसान | क्या हुआ | स्रोत |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | सप्लाई चेन | ~$86M–$93M | Ledger के अधिकृत विक्रेता के रूप में सूचीबद्ध दक्षिण-पूर्व एशियाई रीसेलर CryptoBilis के ज़रिए बेचे गए Ledger डिवाइसों में एक छिपा इम्प्लांट था, जो सेटअप के दौरान 24-शब्दों का फ़्रेज़ पढ़कर उसे सेल्युलर (LTE) मॉड्यूल के ज़रिए बाहर भेज देता था; Ledger ने 10 अक्टूबर के एक बयान में इम्प्लांट की पुष्टि की। CryptoBilis ने बिक्री निलंबित कर दी, Ledger ने उससे खरीदे गए डिवाइसों के मालिकों से नए सीड के साथ नए डिवाइस पर फ़ंड ले जाने को कहा, और 13 अक्टूबर को सात एशियाई बाज़ारों के रीसेलरों से स्टॉक हटाने को कहा। MediaMarktSaturn ने भी Ledger की बिक्री रोक दी। Ledger के दस्तावेज़ों के अनुसार Genuine Check सिक्योर एलिमेंट को सत्यापित करता है और भौतिक बदलावों का पता नहीं लगा सकता। | cryptoslate.com |
| 2026-10-01 | MetaMask | अन्य | — | MetaMask ने अपने इन्फ्रास्ट्रक्चर के एक हिस्से को प्रभावित करने वाली 'जारी सुरक्षा घटना' का खुलासा किया और एहतियात के तौर पर अपनी नॉन-कस्टोडियल स्टेकिंग सेवा में वैलिडेटर्स को एग्ज़िट करना शुरू किया (Lido में उसके वैलिडेटर्स सहित, जिनका एग्ज़िट 7 अक्टूबर तक पूरा होने की उम्मीद थी)। उसने कहा कि उसे वॉलेट या ग्राहकों के फ़ंड प्रभावित होने का कोई सबूत नहीं मिला, और उसने कारण का खुलासा नहीं किया। | thehackernews.com |
| 2026-09-09 | Trezor | फ़िशिंग | — | हमलावरों ने Trezor के ईमेल-मार्केटिंग प्रदाता Brevo में सेंध लगाई और [email protected] से एक नकली STM32 'माइक्रोकंट्रोलर कमज़ोरी' के बारे में फ़िशिंग ईमेल भेजे, जो सीड फ़्रेज़ चुराने वाले पेज पर ले जाते थे। Trezor ने लगभग 20 मिनट में डोमेन बंद करवाया, अपना Brevo खाता निलंबित किया और कहा कि Trezor की किसी अन्य प्रणाली को छुआ नहीं गया। | bleepingcomputer.com |
| 2026-08-16 | SafePal | डेटा लीक | — | एक हमलावर ने SafePal की वेब शॉप पर एक ऑर्डर-ट्रैकिंग प्लग-इन में ऑथराइज़ेशन खामी का दुरुपयोग कर मार्च 2025 से अप्रैल 2026 तक के ऑर्डरों के नाम, ईमेल, फ़ोन नंबर, शिपिंग पते और ऑर्डर विवरण ले लिए; सीड फ़्रेज़ और कुंजियाँ उजागर नहीं हुईं। SafePal ने खामी ठीक की, एक बाहरी सुरक्षा फ़र्म को नियुक्त किया और 30 से अधिक फ़िशिंग साइटें बंद करवाईं। | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (ब्राउज़र एक्सटेंशन) | कमज़ोरी | — | शोधकर्ता V12 ने Rabby एक्सटेंशन में 'साइलेंट सिग्नेचर एक्सट्रैक्शन' खामी की रिपोर्ट की: जिस दुर्भावनापूर्ण साइट से उपयोगकर्ता जुड़ा हो, वह ऑटो-लॉक टाइमर 10 मिनट पर सेट होने पर बिना प्रॉम्प्ट के सिग्नेचर प्राप्त कर सकती थी। Rabby ने 11 अगस्त 2026 को सुधार जारी किया, कहा कि मोबाइल ऐप प्रभावित नहीं था और किसी ज्ञात दुरुपयोग की सूचना नहीं दी। | techflowpost.com |
| 2026-08-10 | Trezor | डेटा लीक | — | Trezor के लॉजिस्टिक्स प्रदाता ShipMonk में Metabase की एक कमज़ोरी के ज़रिए सेंध लगी, जिससे 10 मई से 8 अगस्त 2026 के बीच दिए गए ऑर्डरों के नाम, ईमेल, फ़ोन नंबर और शिपिंग पते उजागर हुए। 7 सितंबर को Trezor ने कहा कि नवंबर 2019 से अगस्त 2021 के बीच ऑर्डर करने वाले 67,000 अमेरिकी ग्राहकों का डेटा भी उजागर हुआ, क्योंकि ShipMonk ने उसे डिलीट नहीं किया था। Trezor ने कहा कि उसकी अपनी प्रणालियाँ और डिवाइस प्रभावित नहीं हुए और बाद में होने वाली फ़िशिंग के प्रति आगाह किया। | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | कमज़ोरी | ~$116M | Coldcard फ़र्मवेयर 4.0.1 (मार्च 2021) से चली आ रही एक बिल्ड कॉन्फ़िगरेशन त्रुटि के कारण प्रभावित Mk2/Mk3 पर, और कुछ कम हद तक Mk4, Mk5 और Q फ़र्मवेयर पर, सीड हार्डवेयर एन्ट्रॉपी स्रोत के बजाय एक कमज़ोर सॉफ़्टवेयर RNG से बनते थे, इसलिए उन्हें ब्रूट-फ़ोर्स किया जा सकता था; चोरियाँ 30 जुलाई 2026 को शुरू हुईं। Coinkite ने 31 जुलाई को सुधरा हुआ फ़र्मवेयर जारी किया (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) और उजागर सीड वाले मालिकों से नया सीड बनाकर फ़ंड स्थानांतरित करने को कहा; अपडेट केवल नए सीड की सुरक्षा करता है। | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (प्रतिरूपण) | नकली ऐप | ~$1.8M | तीन उपयोगकर्ताओं ने कैलिफ़ोर्निया की संघीय अदालत में Apple पर मुकदमा किया, जिसमें आरोप लगाया गया कि एक नकली 'Sparrow Wallet' iOS ऐप (असली Sparrow का कोई iOS संस्करण नहीं है) ने 2025 के मध्य में उनके सीड फ़्रेज़ और बिटकॉइन चुरा लिए। Apple ने मुकदमे पर टिप्पणी करने से इनकार किया, लेकिन कहा कि App Store पर फ़िलहाल Sparrow Wallet की कोई नकल नहीं है। | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, TROPIC01 चिप) | कमज़ोरी | — | Ledger के Donjon ने Trezor Safe 7 में इस्तेमाल होने वाली TROPIC01 सिक्योर चिप में लेज़र फ़ॉल्ट-इंजेक्शन खामी पाई; इसके लिए डिवाइस का भौतिक कब्ज़ा, डीकैप्सुलेशन और लैब उपकरण चाहिए, और मौजूदा चिप्स पर इसे फ़र्मवेयर से ठीक नहीं किया जा सकता। Trezor ने कहा कि वॉलेट कुंजियाँ और बैकअप उस चिप पर संग्रहीत नहीं होते, इसलिए फ़ंड, PIN और बैकअप उजागर नहीं हो सकते, और उपयोगकर्ताओं को कोई कार्रवाई करने की ज़रूरत नहीं है। | trezor.io |
| 2026-04-20 | कई (MetaMask, Ledger, Trust Wallet, Coinbase और अन्य का प्रतिरूपण) | नकली ऐप | — | Kaspersky ने Apple के App Store पर 26 नकली वॉलेट ऐप्स की रिपोर्ट की, जो कम से कम 2025 की शरद ऋतु से सक्रिय एक अभियान का हिस्सा थे। ये उपयोगकर्ताओं को डेवलपर प्रोफ़ाइल के ज़रिए ट्रोजन-युक्त वॉलेट बिल्ड इंस्टॉल करने के लिए उकसाते थे, या नकली स्क्रीन पर रिकवरी फ़्रेज़ माँगते थे। | kaspersky.com |
| 2026-04-07 | Ledger (प्रतिरूपण) | नकली ऐप | ~$9.5M | Apple के Mac App Store पर एक नकली Ledger Live ऐप ने रिकवरी फ़्रेज़ एकत्र किए; ZachXBT ने 7 से 13 अप्रैल 2026 के बीच लगभग $9.5M की चोरियों को इससे जोड़ा, जिनमें तीन पीड़ितों में से प्रत्येक ने $1M से अधिक गँवाए। Apple ने लिस्टिंग हटा दी, लेकिन यह नहीं बताया कि यह समीक्षा में कैसे पास हुई। | theblock.co |
| 2026-02-14 | Trezor, Ledger | फ़िशिंग | — | नकली Trezor और Ledger लेटरहेड पर भेजे गए भौतिक पत्रों में कहा गया कि एक अनिवार्य 'Authentication Check' या 'Transaction Check' ज़रूरी है, और QR कोड के ज़रिए प्राप्तकर्ताओं को रिकवरी फ़्रेज़ एकत्र करने वाली फ़िशिंग साइटों पर भेजा गया। दोनों वेंडर कहते हैं कि वे कभी रिकवरी फ़्रेज़ नहीं माँगते। | bleepingcomputer.com |
| 2026-01-05 | Ledger | डेटा लीक | — | कुछ Ledger.com ऑर्डरों के भुगतान प्रोसेसर Global-e में सेंध लगी और ग्राहकों के नाम व संपर्क विवरण उजागर हुए। Ledger ने कहा कि उसके अपने हार्डवेयर, सॉफ़्टवेयर और प्लेटफ़ॉर्म में सेंध नहीं लगी और किसी फ़ंड को खतरा नहीं था। | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (ब्राउज़र एक्सटेंशन) | सप्लाई चेन | ~$8.5M | Trust Wallet की अपनी रिलीज़ प्रक्रिया के बाहर प्रकाशित एक दुर्भावनापूर्ण Chrome एक्सटेंशन v2.68 ने 24 से 26 दिसंबर के बीच लॉग इन करने वाले उपयोगकर्ताओं के रिकवरी फ़्रेज़ चुरा लिए। Trust Wallet का कहना है कि उसे उच्च विश्वास है कि यह हमला नवंबर 2025 के Sha1-Hulud npm वर्म से उपजा, जिसने डेवलपर GitHub सीक्रेट्स और एक Chrome Web Store API कुंजी उजागर की थी। उसने v2.69 जारी किया, अपने रिलीज़ API रद्द किए, डेटा चुराने वाला डोमेन बंद करवाया और प्रभावित उपयोगकर्ताओं की भरपाई के लिए दावा प्रक्रिया शुरू की। | trustwallet.com |
| 2025-12-20 | सामान्य (एड्रेस पॉइज़निंग) | फ़िशिंग | ~$50M | एक ट्रेडर ने एड्रेस-पॉइज़निंग स्क्रिप्ट द्वारा उसके ट्रांज़ैक्शन इतिहास में डाला गया हमशक्ल पता कॉपी किया और एक छोटे टेस्ट ट्रांसफ़र के बाद उस पर लगभग $50M USDT भेज दिए। हमलावर ने फ़ंड को DAI, ETH और Tornado Cash के ज़रिए लॉन्डर किया; पीड़ित ने $1M के इनाम की पेशकश की। | theblock.co |
| 2025-12-16 | Exodus | नीति | — | अमेरिकी ट्रेज़री के OFAC ने ईरान प्रतिबंधों के 254 स्पष्ट उल्लंघनों (जिनमें से 12 को गंभीर माना गया) को लेकर Exodus Movement के साथ $3,103,360 के समझौते की घोषणा की। अक्टूबर 2017 से जनवरी 2019 के बीच Exodus के सपोर्ट स्टाफ़ ने ईरान में उपयोगकर्ताओं की मदद की, कुछ मामलों में उन्हें पार्टनर एक्सचेंजों तक पहुँचने में सहायता की और 12 मौकों पर VPN इस्तेमाल करने का सुझाव दिया। यह हैक नहीं था; किसी उपयोगकर्ता के फ़ंड प्रभावित नहीं हुए। | ofac.treasury.gov |
| 2025-09-08 | सामान्य (npm सप्लाई चेन) | सप्लाई चेन | ~$600 | एक मेंटेनर को फ़िशिंग का शिकार बनाने के बाद, हमलावरों ने chalk, debug और लगभग 18 अन्य npm पैकेजों के दुर्भावनापूर्ण संस्करण प्रकाशित किए। यह कोड ब्राउज़रों में window.ethereum और नेटवर्क कॉल्स को हुक करके क्रिप्टो प्राप्तकर्ता पते बदल देता था। दुर्भावनापूर्ण संस्करण जल्दी पकड़ लिए गए और हमलावरों को बहुत कम कमाई हुई। | thehackernews.com |
| 2025-06-23 | Trezor | फ़िशिंग | — | हमलावरों ने पीड़ितों के नाम पर Trezor के सपोर्ट-फ़ॉर्म अनुरोध जमा किए, ताकि Trezor के अपने ऑटो-रिप्लाई ईमेल में फ़िशिंग सामग्री पहुँचे। Trezor ने कहा कि उसकी प्रणालियों और डेटा तक पहुँच नहीं हुई, फ़िशिंग साइट बंद करवाई और कहा कि वह आगे के दुरुपयोग को रोकने पर काम कर रहा है। | theblock.co |
| 2025-05-07 | सामान्य (Inferno Drainer) | ड्रेनर | >$9M | Check Point ने रिपोर्ट किया कि Inferno Drainer फिर से इस्तेमाल में था, नकली Collab.Land Discord सत्यापन पेजों के ज़रिए पीड़ितों को फँसा रहा था, और पकड़े जाने से बचने के लिए उसमें सिंगल-यूज़ कॉन्ट्रैक्ट और एन्क्रिप्टेड ऑन-चेन कॉन्फ़िगरेशन जोड़े गए थे। | decrypt.co |
| 2025-04 | Ledger | फ़िशिंग | — | Ledger उपयोगकर्ताओं को भौतिक पत्र मिले, जिनमें QR कोड और रिकवरी फ़्रेज़ दर्ज करके 'अनिवार्य वॉलेट सत्यापन' की माँग की गई थी। Ledger ने पुष्टि की कि ये पत्र स्कैम थे और कहा कि वह कभी 24 शब्द नहीं माँगता। | theblock.co |
| 2025-03-05 | Trezor | कमज़ोरी | — | Ledger के Donjon ने दिखाया कि डीसोल्डर किए गए माइक्रोकंट्रोलर पर वोल्टेज ग्लिचिंग से पुराने Trezor Safe 3 की कुछ सप्लाई-चेन सुरक्षाओं को दरकिनार किया जा सकता है। Trezor ने समस्या का खुलासा किया, इसका दुरुपयोग कठिन बताया, पासफ़्रेज़ और फ़र्मवेयर जाँचों की ओर इशारा किया, और कहा कि Safe 5 में ग्लिच-प्रतिरोधी चिप है। | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | सप्लाई चेन | ~$1.5B | Lazarus से जोड़े गए हमलावरों ने एक Safe{Wallet} डेवलपर की मशीन से छेड़छाड़ की और Safe के AWS S3 बकेट में फ़्रंट-एंड JavaScript बदल दिया, जिससे Bybit के साइनरों ने उसके कोल्ड वॉलेट पर एक छिपे हुए दुर्भावनापूर्ण ट्रांज़ैक्शन को मंज़ूरी दे दी। Safe ने अपना इन्फ्रास्ट्रक्चर फिर से बनाया, सभी क्रेडेंशियल बदले और सेवा बहाल की, और कहा कि उसके स्मार्ट कॉन्ट्रैक्ट असुरक्षित नहीं थे। | slowmist.medium.com |
| 2025-02-06 | सामान्य (SparkCat) | नकली ऐप | — | Kaspersky ने App Store और Google Play के ऐप्स में SparkCat SDK पाया; यह डिवाइस पर OCR का उपयोग करके फ़ोटो गैलरी में रिकवरी फ़्रेज़ के स्क्रीनशॉट खोजता और उन्हें अपलोड करता था। दोनों स्टोरों ने ये ऐप्स हटा दिए। | thehackernews.com |
| 2025-01-21 | Ledger | अन्य | — | Balland और उनकी साथी का फ़्रांस में क्रिप्टो फिरौती के लिए अपहरण किया गया और Balland की उंगली घायल होने के बाद पुलिस ने कुछ ही दिनों में उन्हें छुड़ा लिया; दस संदिग्ध गिरफ़्तार किए गए। यह क्रिप्टो धारकों पर बढ़ते भौतिक 'रेंच हमलों' का एक प्रमुख मामला है। | thelocal.fr |
| 2025-01 | सामान्य (एड्रेस पॉइज़निंग) | फ़िशिंग | >$83.8M | USENIX Security 2025 के एक अध्ययन ने लगभग दो वर्षों में Ethereum और BSC पर करीब 270 मिलियन एड्रेस-पॉइज़निंग प्रयासों को मापा, जिनमें कम से कम $83.8M का नुकसान हुआ। | arxiv.org |
| 2024-12-30 | Tangem | कमज़ोरी | — | एक मोबाइल-ऐप लॉगिंग बग ने उपयोगकर्ता द्वारा सीड-फ़्रेज़ वॉलेट बनाए जाने पर निजी कुंजियाँ लॉग में लिख दीं, और वे लॉग Tangem सपोर्ट तक पहुँच सकते थे। Tangem ने 30 दिसंबर 2024 को इसे ठीक किया, सपोर्ट लॉग डिलीट किए, प्रभावित उपयोगकर्ताओं से संपर्क किया और कहा कि किसी फ़ंड का नुकसान नहीं हुआ, लेकिन सार्वजनिक रूप से बहुत कम जानकारी देने के लिए उसकी आलोचना हुई। | cointelegraph.com |
| 2024-09 | WalletConnect (प्रतिरूपण) | नकली ऐप | ~$70,000 | Check Point ने Google Play पर एक नकली 'WalletConnect' ऐप पाया जिसने लगभग पाँच महीनों तक वॉलेट खाली किए; यह उसके द्वारा देखा गया पहला केवल-मोबाइल क्रिप्टो ड्रेनर था। ऐप हटा दिया गया। | thehackernews.com |
| 2024-05-17 | सामान्य (Pink Drainer) | ड्रेनर | ~$85M | Discord और X खातों को हाईजैक करने के लिए जाने जाने वाले ड्रेनर-ऐज़-ए-सर्विस ऑपरेशन Pink Drainer ने लगभग $85M की चोरियों के बाद बंद होने की घोषणा की (ScamSniffer)। | theblock.co |
| 2024-05-03 | सामान्य (एड्रेस पॉइज़निंग) | फ़िशिंग | ~$68M | एक व्हेल ने $68M के WBTC एक पॉइज़न किए गए हमशक्ल पते पर भेज दिए। ऑन-चेन बातचीत के बाद, हमलावर ने लगभग एक सप्ताह के भीतर लगभग सारे फ़ंड लौटा दिए। | unchainedcrypto.com |
| 2024-02-12 | Safe (Angel Drainer द्वारा दुरुपयोग) | ड्रेनर | ~$403,000 | Angel Drainer ने एक दुर्भावनापूर्ण Safe वॉल्ट कॉन्ट्रैक्ट तैनात किया और पीड़ितों से Permit2 अप्रूवल साइन करवाए, जिसमें Etherscan के 'verified' बैज ने झूठा भरोसा दिलाया। Blockaid ने कहा कि खुद Safe पर हमला नहीं हुआ था। | cointelegraph.com |
| 2024-02-06 | Exodus (प्रतिरूपण) | नकली ऐप | ~$490K | Ubuntu के Snap Store पर एक नकली 'Exodus' वॉलेट snap ने रिकवरी फ़्रेज़ चुराए; 12 फ़रवरी की रिपोर्ट के बाद Canonical ने इसे क्वारंटीन कर दिया। सितंबर 2023 में एक नकली Ledger Live snap के कारण एक उपयोगकर्ता को लगभग $10K का नुकसान हुआ था। | blog.popey.com |
| 2024-01-17 | Trezor | डेटा लीक | — | एक हमलावर ने एक थर्ड-पार्टी सपोर्ट-टिकटिंग पोर्टल तक पहुँच बनाई और दिसंबर 2021 से Trezor सपोर्ट से संपर्क करने वाले लोगों के नाम और ईमेल उजागर कर दिए; कम से कम 41 लोगों को सीड-फ़्रेज़ फ़िशिंग संदेश मिले। Trezor ने प्रभावित उपयोगकर्ताओं को ईमेल किया और कहा कि कोई संपत्ति प्रभावित नहीं हुई। | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | सप्लाई चेन | ~$600,000 | फ़िशिंग का शिकार हुए एक पूर्व कर्मचारी के npm खाते का उपयोग एक दुर्भावनापूर्ण Ledger Connect Kit प्रकाशित करने के लिए किया गया, जिसने इस लाइब्रेरी का उपयोग करने वाले dApps में ड्रेनर डाल दिया। Ledger ने सुधार जारी किया, पीड़ितों को पूरा मुआवज़ा देने का वादा किया और घोषणा की कि वह blind signing को चरणबद्ध तरीके से हटाकर Clear Signing अपनाएगा। | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | हैक | ~$2.7M | प्रॉक्सी-एडमिन कुंजी के संदिग्ध लीक से हमलावर OKX DEX के एक पुराने (डिप्रिकेटेड) कॉन्ट्रैक्ट को अपग्रेड कर सके और उन टोकनों को निकाल सके जिनके लिए उपयोगकर्ताओं ने अप्रूवल दिया था। OKX ने अनुमतियाँ रद्द कीं और प्रभावित उपयोगकर्ताओं की भरपाई का वादा किया। | theblock.co |
| 2023-11-14 | सामान्य (BitcoinJS 'Randstorm') | कमज़ोरी | — | Unciphered ने 'Randstorm' का खुलासा किया: 2011–2015 में बनाए गए BitcoinJS-आधारित ब्राउज़र वॉलेट में कमज़ोर रैंडमनेस (JSBN SecureRandom और ब्राउज़र Math.random से), जिसके कारण कुंजियों को ब्रूट-फ़ोर्स किया जा सकता है। मालिकों से फ़ंड स्थानांतरित करने को कहा गया। | forklog.com |
| 2023-11 | सामान्य (Inferno Drainer) | ड्रेनर | >$80M | नवंबर 2022 से सक्रिय और 16,000 से अधिक फ़िशिंग डोमेन पर 100 से ज़्यादा क्रिप्टो ब्रांडों की नकल करने वाले Inferno Drainer ने नवंबर 2023 में बंद होने की घोषणा की (Group-IB)। | group-ib.com |
| 2023-10-19 | Ledger Live (प्रतिरूपण) | नकली ऐप | ~$768,000 | 19 अक्टूबर 2023 से Microsoft Store पर मौजूद एक नकली Ledger Live ऐप ने रिकवरी फ़्रेज़ चुराए, जैसा कि ZachXBT ने चिह्नित किया। Microsoft ने इसे हटा दिया। | bitdefender.com |
| 2023-09-05 | सामान्य (LastPass ब्रीच) | डेटा लीक | >$35M | शोधकर्ताओं ने क्रिप्टो चोरियों की एक श्रृंखला को उन सीड फ़्रेज़ से जोड़ा जो 2022 के ब्रीच में चुराए गए LastPass वॉल्ट में रखे गए थे और ऑफ़लाइन क्रैक किए गए। उन्होंने कहा कि यह संबंध संभावित है, लेकिन निर्णायक नहीं। | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | कमज़ोरी | >$900,000 | `bx seed` कमांड केवल 32 बिट एन्ट्रॉपी वाले, समय से सीड किए गए PRNG का उपयोग करता था (CVE-2023-39910), इसलिए सीड ब्रूट-फ़ोर्स किए जा सकते थे। Libbitcoin ने अपने दस्तावेज़ों की चेतावनियों का हवाला देते हुए इसे बग मानने पर आपत्ति जताई। | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | हैक | >$100M | हज़ारों Atomic Wallet उपयोगकर्ताओं के फ़ंड एक ऐसे हमले में निकाल लिए गए जिसे Elliptic ने उत्तर कोरिया के Lazarus Group से जोड़ा। Atomic ने कभी मूल कारण की पुष्टि नहीं की और चार संभावित तरीके बताए; उसने फ़ंड फ़्रीज़ करने के लिए एक्सचेंजों, Chainalysis और Crystal के साथ काम किया और भरपाई की घोषणा नहीं की। | decrypt.co |
| 2023-05 | Ledger (Recover) | नीति | — | Ledger ने Ledger Recover (16 मई 2023) की घोषणा की, एक वैकल्पिक सशुल्क सेवा जो सीड फ़्रेज़ को एन्क्रिप्ट करके तीन कस्टोडियनों में बाँटती है। उपयोगकर्ताओं ने आपत्ति जताई कि फ़र्मवेयर कुंजियाँ निकाल सकता है, और CEO Pascal Gauthier ने संवाद के तरीके के लिए माफ़ी माँगी, तेज़ी से ओपन-सोर्सिंग का वादा किया और लॉन्च टाल दिया। | forklog.com |
| 2023-04-22 | Trust Wallet (ब्राउज़र एक्सटेंशन) | कमज़ोरी | ~$170,000 | Trust Wallet Core में WebAssembly एन्ट्रॉपी खामी के कारण एक्सटेंशन से बने कुछ वॉलेट अनुमान लगाने योग्य हो गए, और इसके बाद दो एक्सप्लॉइट हुए। Trust Wallet ने समस्या ठीक की, जोखिम वाले अधिकांश फ़ंड सुरक्षित किए और भरपाई की व्यवस्था की। | theblock.co |
| 2023-02 | OneKey | कमज़ोरी | — | Unciphered ने एक वीडियो प्रकाशित किया जिसमें फ़र्मवेयर खामी के ज़रिए लगभग एक सेकंड में OneKey Mini से सीक्रेट्स निकाले गए। OneKey ने कहा कि उसने खामी ठीक कर दी है। | unciphered.com |
| 2022-12 | BitKeep (अब Bitget Wallet) | नकली ऐप | ~$8M | फ़िशिंग साइटों के ज़रिए फैलाए गए ट्रोजन-युक्त BitKeep Android APK ने निजी कुंजियाँ चुराईं; Google Play संस्करण प्रभावित नहीं था। | halborn.com |
| 2022-10-18 | BitKeep Swap (अब Bitget Wallet) | हैक | ~$1M | BNB Chain और Polygon पर BitKeep के Swap फ़ीचर का दुरुपयोग किया गया। BitKeep ने Swap निलंबित किया और एक क्लेम पोर्टल के ज़रिए 100% मुआवज़े का वादा किया। | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | हैक | — | लॉन्च के एक महीने से भी कम समय बाद, Rabby Swap राउटर कॉन्ट्रैक्ट में एक एक्सप्लॉइट से वे टोकन निकाल लिए गए जिनके लिए उपयोगकर्ताओं ने अप्रूवल दिया था। Rabby ने Swap उपयोगकर्ताओं से सभी अप्रूवल रद्द करने को कहा। | theblock.co |
| 2022-09-20 | Profanity वैनिटी एड्रेस (Wintermute) | कमज़ोरी | ~$160M | मार्केट मेकर Wintermute ने $160M गँवाए, जिसका कारण व्यापक रूप से यह माना गया कि उसका एडमिन हॉट वॉलेट Profanity से बना एक वैनिटी एड्रेस था जिसकी कुंजी ब्रूट-फ़ोर्स की जा सकती थी। 1inch ने एक सप्ताह पहले Profanity खामी का खुलासा किया था। | theblock.co |
| 2022-08-02 | Slope Wallet | कमज़ोरी | ~$4M–$5M | Slope के मोबाइल ऐप ने सीड फ़्रेज़ एक Sentry लॉगिंग सर्वर पर भेजे, जहाँ वे बिना एन्क्रिप्शन के संग्रहीत थे (Otter Sec)। Slope ने उपयोगकर्ताओं से फ़ंड स्थानांतरित करने को कहा; Phantom ने कहा कि उसकी प्रणालियों से छेड़छाड़ नहीं हुई और प्रभावित Phantom उपयोगकर्ताओं ने Slope के सीड इम्पोर्ट किए थे। | theblock.co |
| 2022-06-16 | MetaMask, Phantom (और Brave) | कमज़ोरी | — | Halborn के 'Demonic' खुलासे ने दिखाया कि ब्राउज़र की 'restore session' फ़ाइलें सीड फ़्रेज़ को डिस्क पर बिना एन्क्रिप्शन के संग्रहीत कर सकती थीं। MetaMask और Phantom ने सुधार जारी किए। | theblock.co |
| 2022-04-17 | MetaMask (iOS) | फ़िशिंग | ~$650,000 | एक फ़ोन स्कैम के ज़रिए एक उपयोगकर्ता की Apple ID पर कब्ज़ा कर लिया गया और उसके MetaMask वॉल्ट के iCloud बैकअप का उपयोग करके वॉलेट खाली कर दिया गया। MetaMask ने उपयोगकर्ताओं को चेतावनी दी और ऐप के लिए iCloud बैकअप बंद करने के चरण प्रकाशित किए। | decrypt.co |
| 2022-04-03 | Trezor | फ़िशिंग | — | Mailchimp में एक अंदरूनी व्यक्ति की मदद से हुई सेंध के कारण Trezor ग्राहकों को फ़िशिंग ईमेल मिले, जो सीड फ़्रेज़ चुराने के लिए बनाए गए एक नकली 'Trezor Suite' ऐप की ओर धकेलते थे। Trezor ने डोमेन बंद करवाया और न्यूज़लेटर रोक दिए। | siliconrepublic.com |
| 2021-06-16 | Ledger | फ़िशिंग | — | 2020 के लीक के डेटा का उपयोग करके, अपराधियों ने छेड़छाड़ किए गए नकली Ledger Nano X 'रिप्लेसमेंट' डिवाइस डाक से भेजे, जो पीड़ितों से सॉफ़्टवेयर चलाने और अपना रिकवरी फ़्रेज़ दर्ज करने को कहते थे। Ledger ने दोहराया कि वह कभी फ़्रेज़ नहीं माँगता। | bleepingcomputer.com |
| 2021-01-22 | Trezor (प्रतिरूपण) | नकली ऐप | >$1M | Apple के App Store पर 22 जनवरी से 3 फ़रवरी 2021 तक मौजूद एक नकली 'Trezor' ऐप ने सीड फ़्रेज़ एकत्र किए; ऐसा ही एक नकली ऐप Google Play पर भी दिखा। | malwarebytes.com |
| 2020-12-20 | Ledger | डेटा लीक | — | जून 2020 में चुराया गया Ledger ई-कॉमर्स डेटाबेस RaidForums पर सार्वजनिक रूप से डाल दिया गया, जिससे वर्षों तक फ़िशिंग, जबरन वसूली और नकली डिवाइस अभियानों को बढ़ावा मिला। Ledger ने दुरुपयोग की गई API कुंजी को निष्क्रिय कर दिया था और जुलाई 2020 में फ़्रांस के CNIL को सूचित किया था। | decrypt.co |
| 2020-03-24 | सामान्य (असीमित टोकन अप्रूवल) | कमज़ोरी | — | ZenGo ने दिखाया कि अधिकांश dApp वॉलेट असीमित ERC-20 अलाउंस देते थे, जिन्हें कोई दुष्ट dApp बाद में खाली कर सकता था। Trust Wallet ने कहा कि वह अपग्रेड करेगा; MetaMask और Brave पहले से ही उन्नत अलाउंस नियंत्रण देते थे। | cointelegraph.com |
| 2020-01-31 | Trezor | कमज़ोरी | — | Kraken Security Labs ने वोल्टेज ग्लिचिंग का उपयोग करके 15 मिनट से कम के भौतिक एक्सेस में Trezor डिवाइसों से एन्क्रिप्टेड सीड निकाल लिए; माइक्रोकंट्रोलर की इस खामी को पैच नहीं किया जा सकता। Trezor ने कहा कि BIP39 पासफ़्रेज़ इस हमले को नाकाम करता है। | theblock.co |
| 2019-04 | Electrum | अन्य | — | Smoke Loader/RIG के ज़रिए फैले एक बॉटनेट ने ईमानदार Electrum सर्वरों पर DDoS हमले किए ताकि पुराने क्लाइंट दुर्भावनापूर्ण फ़िशिंग सर्वरों पर चले जाएँ। Electrum ने अपग्रेड के लिए मजबूर करने हेतु 3.3 से पहले के क्लाइंट्स में एक DoS खामी का उपयोग किया और सर्वर ऑपरेटरों के लिए मार्गदर्शन प्रकाशित किया। | malwarebytes.com |
| 2019-02-22 | Coinomi | कमज़ोरी | — | एक उपयोगकर्ता ने दिखाया कि Coinomi का डेस्कटॉप वॉलेट रिस्टोर फ़ील्ड का टेक्स्ट, सीड फ़्रेज़ सहित, Google के स्पेलचेक API को भेजता था। Coinomi ने इसके लिए गलत कॉन्फ़िगर किए गए प्लग-इन को ज़िम्मेदार ठहराया और 22 फ़रवरी 2019 को इसे पैच किया। | theblock.co |
| 2018-12-27 | Trezor, Ledger | कमज़ोरी | — | wallet.fail टीम ने 35C3 में Trezor One (पासफ़्रेज़ के बिना कुंजी निकालना) और Ledger Nano S/Blue पर हमले दिखाए। Trezor ने फ़र्मवेयर सुधार का वादा किया और समन्वित खुलासे की कमी की आलोचना की। | crowdfundinsider.com |
| 2018-12-21 | Electrum | फ़िशिंग | >$4M | दुर्भावनापूर्ण Electrum सर्वरों ने क्लाइंट की रिच-टेक्स्ट त्रुटि संदेश दिखाने की क्षमता का दुरुपयोग कर नकली 'अपडेट' प्रॉम्प्ट दिखाए, जो ट्रोजन-युक्त वॉलेट से जुड़े थे जो सीड चुराते थे या भुगतान को दूसरी जगह भेज देते थे। Electrum ने 3.3.3/3.3.4 में समस्या ठीक की और बाद में अपग्रेड अनिवार्य कर दिए। | malwarebytes.com |
खुद को कैसे सुरक्षित रखें
वॉलेट केवल आधिकारिक साइट या स्टोर लिस्टिंग से डाउनलोड करें, जिसका पता आपने खुद टाइप किया हो; सीड फ़्रेज़ कभी किसी वेबसाइट में टाइप न करें और न ही "सपोर्ट" के साथ साझा करें; साइन करने से पहले हर ट्रांज़ैक्शन और अप्रूवल को पढ़ें; पेस्ट किए गए पते का हर अक्षर जाँचें, सिर्फ़ शुरुआती और आखिरी कुछ अक्षर नहीं, क्योंकि एड्रेस पॉइज़निंग इन्हीं की नकल करती है; और बड़ी रकम हार्डवेयर वॉलेट पर रखें। देखें सीड फ़्रेज़ सुरक्षा और क्रिप्टो वॉलेट स्कैम।
कार्यप्रणाली और उद्धरण
प्रविष्टियाँ वेंडरों के पोस्ट-मॉर्टम, सुरक्षा शोधकर्ताओं और प्रतिष्ठित समाचार कवरेज से ली गई हैं; हर पंक्ति में उसका स्रोत दिया गया है। नुकसान के आँकड़े वही हैं जो उस समय रिपोर्ट किए गए थे। पत्रकार और शोधकर्ता इस पेज का हवाला दे सकते हैं; कृपया इसका लिंक दें। डेटा हमारे प्रेस पेज पर मुफ़्त डाउनलोड के लिए उपलब्ध है। सुधारों का स्वागत है।