اپنے کرپٹو کی حفاظت کیسے کریں: سلامتی کی بہترین عادتیں

21 فروری 2025 کو، کرپٹو ایکسچینج Bybit نے ایک دوپہر میں تقریباً $1.5 بلین کھو دیے — رقم کی تاریخ میں سب سے بڑی چوری۔ کوئی خزانہ نہیں توڑا گیا۔ کسی پاس ورڈ کا اندازہ نہیں لگایا گیا۔ کوئی سرور اس طرح نہیں توڑا گیا جیسا آپ سوچتے۔

جو ہوا وہ زیادہ باریک اور کہیں زیادہ خوفناک تھا۔ Bybit کی ٹیم نے ایک کولڈ ملٹی-دستخط والٹ استعمال کیا — بظاہر سونے کا معیار۔ جب وہ رقم منتقل کرنے گئے، ان کی اسکرینز پر دکھائی جانے والی ٹرانزیکشن مکمل طور پر معمول کی نظر آئی۔ انہوں نے چیک کیا۔ انہوں نے منظور کیا۔ مگر انٹرفیس سمجھوتہ شدہ تھی، اور جس ٹرانزیکشن پر انہوں نے حقیقتاً دستخط کیا وہ والٹ کا کنٹرول ایک حملہ آور کو دے دیا۔ انہوں نے اپنی ہی ڈکیتی کی منظوری دی، اپنے ہی ہارڈویئر سے، یہ سمجھتے ہوئے کہ وہ معمول کے آپریشنز کر رہے ہیں۔

سبق بے رحم اور واضح ہے: کرپٹو میں، سب سے کمزور کڑی تقریباً کبھی کرپٹوگرافی نہیں ہوتی۔ یہ وہ لمحہ ہے جب ایک انسان کچھ منظور کرتا ہے۔ حملہ آوروں نے ریاضی توڑنے کی کوشش چھوڑ دی ہے — وہ آپ کو توڑتے ہیں۔ وہ اسکرین جھوٹی بناتے ہیں، ای میل جھوٹی بناتے ہیں، عجلت جھوٹی بناتے ہیں، اور آپ کو خود کلیدیں سونپنے دیتے ہیں۔

یہ مضمون آپ کا آپریٹنگ مینوئل ہے وہ انسان نہ بننے کے لیے۔ یہ تہوں میں بنایا گیا ہے، کیونکہ حقیقی سیکیورٹی ہمیشہ ایسی ہوتی ہے — اور کیونکہ کوئی واحد چال آپ کو نہیں بچاتی جب ایک ناکام ہو جائے۔

روایتی مالیات میں، اگر کوئی آپ کا بینک اکاؤنٹ ہیک کرے، بینک ٹرانزیکشن واپس کر دیتا ہے۔ FDIC آپ کے ڈپازٹس کو $250,000 تک انشور کرتا ہے۔ کریڈٹ کارڈ فراڈ؟ جاری کنندہ کو کال کریں، چارج پر تنازعہ کریں، اپنی رقم واپس حاصل کریں۔ یہ حفاظتی جالے موجود ہیں کیونکہ مرکزی ادارے لیجر کو کنٹرول کرتے ہیں اور اسے دوبارہ لکھ سکتے ہیں۔

کرپٹو میں، کوئی دوبارہ لکھنا نہیں ہے۔ ٹرانزیکشنز حتمی ہیں۔ کوئی کسٹمر سپورٹ لائن بلاک چین ٹرانسفر کو واپس نہیں کرتی۔ اگر کسی کو آپ کی نجی کلیدوں تک رسائی مل جائے، وہ 30 سیکنڈوں سے کم میں آپ کی والٹ خالی کر سکتے ہیں، اور رقم چلی جاتی ہے، منٹوں میں mixers، برجز، اور چین-ہاپنگ میں بٹی ہوئی۔ انڈسٹری میں ہیکس، اسکیمز، اور استحصالات سے مجموعی نقصانات اب $30 بلین سے کہیں آگے چلے گئے ہیں، اور صرف 2025 میں Chainalysis نے تقریباً 158,000 ذاتی-والٹ سمجھوتے 80,000 متاثرین کو ہٹتے ہوئے شمار کیے۔ یہ کوئی سرور روم میں وھیل نہیں ہیں۔ یہ عام لوگ ہیں جنہوں نے ایک غلط لنک پر کلک کیا۔

خود تحویل کرپٹو کا وعدہ ہے۔ اپنا بینک ہونا ذمہ داری ہے۔ اور زیادہ تر لوگ سیکیورٹی محکمہ چلانے کے لیے مؤثر نہیں ہیں۔ یہاں تسکین دینے والا حصہ ہے: آپ کو ایک کرپٹوگرافر ہونے کی ضرورت نہیں۔ آپ کو چند عادات کی ضرورت ہے، مستقل طور پر لاگو کی گئیں۔ سیکیورٹی ایک بہادرانہ عمل نہیں ہے — یہ تہوں کا بورنگ نظم و ضبط ہے، ہر ایک آپ کو وقت اور معافی خریدتی ہے جب دوسری ناکام ہو۔

آپ کا کرپٹو صرف اتنا محفوظ ہے جتنی وہ ڈیوائس جس سے آپ اسے ایکسیس کرتے ہیں۔ ایک سمجھوتہ شدہ لیپ ٹاپ کا مطلب ہے ایک سمجھوتہ شدہ والٹ — اس بات سے قطع نظر کہ آپ کا پاس ورڈ کتنا مضبوط ہے۔ اس گائیڈ میں باقی سب کچھ فرض کرتا ہے کہ جس مشین پر آپ ٹائپ کر رہے ہیں وہ پہلے سے آپ کے خلاف کام نہیں کر رہی۔

OS اپڈیٹس۔ فوراً پیچ کریں۔ macOS اور Windows کو نشانہ بنانے والے زیرو-ڈے ایکسپلائٹس ڈارک مارکیٹس پر فعال طور پر ٹریڈ ہو رہے ہیں، اور کرپٹو والٹس زیادہ-قیمت اہداف ہیں۔ ایک ہفتے تک اپڈیٹس میں تاخیر ایک ایسی ونڈو ہو سکتی ہے جو ایک ایکسپلائٹ استعمال کرے۔ خودکار اپڈیٹس آن کریں اور "بعد میں یاد دلائیں" کو حکمتِ عملی سمجھنا بند کریں۔

وقف ڈیوائس۔ بہترین طور پر، کرپٹو ٹرانزیکشنز کے لیے ایک الگ ڈیوائس استعمال کریں — ایک جو بے تحاشا ویب سائٹس براؤز نہ کرے، غیر جانچی سافٹ ویئر انسٹال نہ کرے، یا ای میل اٹیچمنٹس نہ کھولے۔ صرف والٹ آپریشنز کے لیے استعمال ہونے والا $300 کا Chromebook $300 کے کرپٹو سے بہتر سیکیورٹی سرمایہ کاری ہے۔ پوری بات ڈیوائس کے "حملے کی سطح" کو تقریباً کچھ بھی نہیں تک محدود کرنا ہے: کم ایپس، کم extensions، کم راستے اندر آنے کے۔

نیٹ ورک حفظانِ صحت۔ کبھی بھی عوامی Wi-Fi پر بغیر VPN کے لین دین نہ کریں۔ کافی شاپ نیٹ ورکس معمولی طور پر intercept کیے جا سکتے ہیں۔ سیلولر ڈیٹا یا ایک قابلِ اعتماد ہوم نیٹ ورک استعمال کریں۔ اگر آپ کو عوامی Wi-Fi استعمال کرنا ضروری ہو، ایک قابلِ اعتماد VPN (Mullvad، ProtonVPN) سے گزریں — کوئی مفت والا نہیں جو آپ کا ٹریفک ڈیٹا بیچے۔

براؤزر Extensions۔ ہر extension کو ان صفحات تک رسائی ہوتی ہے جو آپ دیکھتے ہیں۔ ایک بدنیت یا سمجھوتہ شدہ extension والٹ کنکشن ڈیٹا پڑھ سکتی ہے، جھوٹی ٹرانزیکشن اپرولز داخل کر سکتی ہے، یا جب آپ کاپی کرتے ہیں تو clipboard محتویات کو تبدیل کر سکتی ہے۔ extension کی تعداد کم رکھیں، جو آپ نے انسٹال کیا ہے اس کا آڈٹ کریں، اور کرپٹو کے لیے ایک وقف براؤزر پروفائل استعمال کریں جس میں کچھ اور نہ ہو۔

Malware اور clipboard hijackers۔ سستے malware کی ایک پوری قسم بالکل ایک کام کرتی ہے: آپ کے clipboard کو دیکھنا، اور جس لمحے آپ ایک والٹ ایڈریس کاپی کریں، خاموشی سے اسے حملہ آور کے پتے سے بدل دینا۔ آپ پیسٹ کرتے ہیں، آپ تصدیق کرتے ہیں، آپ کی رقم ایک اجنبی کو چلی جاتی ہے۔ قابلِ اعتماد anti-malware چلائیں، کبھی "cracked" سافٹ ویئر انسٹال نہ کریں، اور ہمیشہ ایک پیسٹ شدہ پتے کو ذریعے کے خلاف تصدیق کریں (اس کے بارے میں مزید نیچے)۔

پاس ورڈز۔ ایک پاس ورڈ مینیجر (1Password، Bitwarden، KeePassXC) استعمال کریں۔ ہر کرپٹو سے متعلقہ اکاؤنٹ کے لیے ایک منفرد 16+ حرفوں کا رینڈم پاس ورڈ بنائیں۔ اگر آپ پاس ورڈز دوبارہ استعمال کریں اور ایک سائٹ کا ڈیٹا لیک ہو جائے، حملہ آور گھنٹوں کے اندر ہر ایکسچینج اور والٹ سروس میں credential stuffing خودکار کر دیتے ہیں۔ ایک پاس ورڈ مینیجر ایک سہولت نہیں ہے — یہ وہ چیز ہے جو "ہر جگہ منفرد پاس ورڈ" کو ایک انسان کے لیے حقیقتاً ممکن بناتی ہے۔

Two-factor authentication — اور طاقت کا سیڑھی۔ تمام 2FA برابر نہیں ہے، اور نیچے اور اوپر کے پائیدانوں کے درمیان فرق بہت بڑا ہے:

• SMS 2FA سب سے کمزور ہے۔ یہ کچھ نہ ہونے سے بہتر ہے، مگر یہ SIM-swap حملوں کے لیے کمزور ہے، جہاں ایک حملہ آور آپ کے کیریئر کو میٹھی باتوں سے (یا رشوت سے) قائل کرتا ہے کہ وہ آپ کا نمبر ان کے SIM میں پورٹ کرے۔ 2023 میں، SIM-swaps نے کرپٹو صارفین سے ملینز نکالے — بشمول ایک وسیع پیمانے پر رپورٹ کردہ $400,000 چوری جو ایک ہائی جیک شدہ اکاؤنٹ سے منسلک تھی۔ SMS کو آخری چارہ سمجھیں، کوئی منصوبہ نہیں۔
• TOTP authenticator ایپس (Google Authenticator، Authy، Aegis) آپ کی ڈیوائس پر کوڈز جینریٹ کرتی ہیں جس میں کیریئر پر intercept کرنے کے لیے کچھ نہیں۔ یہ کسی بھی قیمتی چیز کے لیے حقیقی کم از کم ہے۔
• ہارڈویئر سیکیورٹی کلیدیں (YubiKey، Titan) سب سے اوپر کا پائیدان ہیں۔ یہ ڈیزائن کے مطابق فشنگ-مزاحم ہیں: کلید جواب دینے سے پہلے حقیقی ویب سائٹ کے ڈومین کی کرپٹوگرافک تصدیق کرتی ہے، تو ایک پکسل-پرفیکٹ جھوٹی لاگ ان پیج کو بھی کچھ نہیں ملتا۔ زیادہ-قیمت اکاؤنٹس کے لیے، یہ سب سے اثر انداز اپگریڈ ہے جو آپ کر سکتے ہیں۔

ای میل سیکیورٹی — وہ ماسٹر کلید جو سب بھول جاتے ہیں۔ آپ کی ای میل تقریباً ہر اکاؤنٹ کے لیے بحالی کا میکانزم ہے جس کے آپ مالک ہیں۔ ای میل کو سمجھوتہ کریں اور ایک حملہ آور پاس ورڈز ری سیٹ کر سکتا ہے، SMS-بنیاد کوڈز intercept کر سکتا ہے، اور نکاسی کی تصدیقیں پڑھ سکتا ہے۔ کرپٹو کے لیے ایک وقف ای میل ایڈریس استعمال کریں جو عوامی طور پر پوسٹ نہ ہو، نیوز لیٹرز کے لیے استعمال نہ ہو، یا سوشل میڈیا سے منسلک نہ ہو — اور خود ای میل اکاؤنٹ پر مضبوط 2FA (بہترین طور پر ایک ہارڈویئر کلید) رکھیں۔ ایک YubiKey کے ساتھ ایک ایکسچینج اکاؤنٹ مگر اس کے پیچھے ایک کمزور ای میل ایک ایسا خزانہ ہے جس کا پچھلا دروازہ کھلا رکھا گیا ہے۔

اوپر بیان کیا گیا سب کچھ آپ کے اکاؤنٹس کی حفاظت کرتا ہے۔ یہ تہ اس چیز کی حفاظت کرتی ہے جو حقیقتاً آپ کی رقم ہے: نجی کلید۔ خود تحویل میں، جو بھی کلید رکھتا ہے وہ رقم رکھتا ہے۔ بلاک چین کے لیے کوئی "پاس ورڈ بھول گئے" لنک نہیں ہے۔

سیڈ فریز ہی کلید ہے۔ زیادہ تر والٹس آپ کی نجی کلید کو ایک 12- یا 24-الفاظ کی بحالی کے فقرے کے طور پر بیک اپ کرتی ہیں۔ جو کوئی بھی وہ الفاظ پڑھے وہ سب کچھ کنٹرول کرتا ہے جو وہ کلید رکھتی ہے، ہمیشہ کے لیے۔ تو مکمل کھیل ان الفاظ کو کسی بھی انٹرنیٹ سے منسلک چیز سے دور رکھنا ہے۔

• کبھی ڈیجیٹل نہیں۔ کوئی تصاویر نہیں، کوئی اسکرین شاٹس نہیں، کوئی cloud notes نہیں، کوئی پاس ورڈ مینیجر نہیں، خود کو ای میل نہیں، کسی ویب سائٹ میں ٹائپ نہیں جو پوچھے۔ ان میں سے ہر ایک ایک دروازہ ہے۔ ایک سیڈ فریز جس نے انٹرنیٹ کو چھوا ہو اسے جلا سمجھا جانا چاہیے — رقم کو ایک تازہ والٹ میں منتقل کریں۔
• اسے آف لائن لکھیں، مستقل طور پر ذخیرہ کریں۔ کاغذ پہلے سیلاب یا آگ تک زندہ رہتا ہے۔ سنجیدہ ہولڈرز فقرے کو سٹینلیس اسٹیل یا ٹائٹینیم پلیٹس میں چھاپتے ہیں جو دونوں سے بچ جاتی ہیں۔ 3-2-1 بیک اپ اصول کی پیروی کریں: 3 کاپیاں، 2 مختلف میڈیا، 1 مقام سے باہر محفوظ (ایک محفوظ، ایک بینک ڈپازٹ باکس، ایک قابلِ اعتماد رشتہ دار کا گھر)۔
• اختیاری passphrase ("25ویں لفظ")۔ جدید والٹس آپ کو سیڈ فریز کے اوپر ایک خفیہ لفظ شامل کرنے دیتی ہیں، الگ ذخیرہ کیا گیا۔ اگر کوئی جسمانی فقرہ چوری کرے، وہ اب بھی اس کے بغیر رقم تک نہیں پہنچ سکتے۔ یہ دوسرے دروازے پر دوسرا تالا ہے۔

ہاٹ بمقابلہ کولڈ۔ ایک ہاٹ والٹ انٹرنیٹ سے منسلک ہے — تیز اور آسان، مگر ہمیشہ ریموٹ حملہ آوروں کے لیے قابلِ رسائی۔ ایک کولڈ والٹ (ایک ہارڈویئر ڈیوائس، یا ایک air-gapped مشین پر دستخط) کلید کو آف لائن رکھتی ہے اور صرف ایک ٹرانزیکشن پر دستخط کرنے کے لیے "بیدار" ہوتی ہے۔ اصول سیدھا ہے: چھوٹی خرچ کی رقم ہاٹ رکھیں، اپنی دولت کا بلک کولڈ رکھیں۔ اگر آپ اسے سبوے پر اپنے جسمانی بٹوے میں نہیں لے جائیں گے، تو یہ ہاٹ والٹ میں بھی نہیں بیٹھنا چاہیے۔

ہارڈویئر والٹس مینوفیکچرر سے خریدیں۔ کبھی تھرڈ-پارٹی ری سیلر سے نہیں، کبھی مارکیٹ پلیس پر "رعایتی" نہیں — پہلے سے چھیڑ چھاڑ شدہ ڈیوائسز پہلے سے پرنٹ شدہ سیڈ فریزز کے ساتھ ایک معروف اسکیم ہے۔ پیکیجنگ کا معائنہ کریں، ڈیوائس پر ایک تازہ سیڈ جینریٹ کریں، اور حقیقی رقم پر بھروسہ کرنے سے پہلے ایک چھوٹی ٹیسٹ بحالی کریں۔

والٹ علیحدگی۔ تین درجے رکھیں: نئے dApps کی تحقیق اور منٹنگ کے لیے کم رقم والا ایک "burner" والٹ (اگر خالی ہو جائے، یہ چھوٹی رقم ہے)۔ اعتدال والی رقم کے ساتھ باقاعدہ ٹریڈنگ کے لیے ایک "روزانہ" والٹ۔ اپنی زیادہ تر ہولڈنگز کے لیے ایک کولڈ اسٹوریج والٹ (ہارڈویئر یا multi-sig) جو کسی چیز سے مشکل ہی سے منسلک ہو۔ اس طرح تقسیم کریں کہ ایک خراب دستخط صرف ایک درجے پر خرچ کر سکے۔

ٹرانزیکشن ویریفیکیشن۔ کوئی بھی ٹرانزیکشن پر دستخط کرنے سے پہلے، آپ جو منظور کر رہے ہیں پڑھیں۔ MetaMask جیسی جدید والٹ انٹرفیس آپ کو ٹرانزیکشن کی تفصیلات دکھاتی ہیں — کنٹریکٹ جسے کال کیا جا رہا ہے، فنکشن، رقوم۔ اگر ایک سادہ NFT منٹ آپ سے لامحدود USDC خرچ کی اجازت مانگ رہا ہے، یہ ایک سرخ نشان ہے۔ اگر آپ نہیں سمجھتے کہ ایک ٹرانزیکشن کیا کرتی ہے، اس پر دستخط نہ کریں۔ یہ ایک عادت — پرامپٹ کو حقیقتاً پڑھنا بجائے muscle-memory سے "Confirm" کلک کرنے کے — وہ ہے جو Bybit کو بچا سکتی تھی۔

blind signing سے ہوشیار رہیں۔ کبھی کبھی ایک والٹ ایک ٹرانزیکشن ڈیکوڈ نہیں کر سکتی اور آپ کو خام، ناقابلِ پڑھ ڈیٹا دکھاتی ہے، پھر بھی دستخط کرنے کا کہتی ہے۔ یہ blind signing ہے، اور یہی طریقہ ہے جس سے نکاسیوں کا ایک بڑا حصہ ہوتا ہے — آپ کچھ ایسا منظور کر رہے ہیں جسے آپ لفظی طور پر پڑھ نہیں سکتے۔ ایک ناقابلِ پڑھ پرامپٹ کو stop نشان سمجھیں، speed bump نہیں۔ ہارڈویئر والٹس واضح آن-اسکرین ٹرانزیکشن ڈسپلے کے ساتھ خاص طور پر اس سے لڑنے کے لیے موجود ہیں۔

پرانے اپرولز منسوخ کریں۔ جب آپ ایک dApp کے لیے ایک ٹوکن "approve" کرتے ہیں، وہ اجازت اکثر لامحدود مدت تک برقرار رہتی ہے — کبھی کبھی لامحدود مقدار کے لیے۔ مہینوں بعد، ایک کنٹریکٹ جسے آپ بھول گئے وہ اب بھی آپ کے ٹوکنز حرکت دے سکتا ہے۔ وقتاً فوقتاً Revoke.cash جیسے اوزار سے پرانے اپرولز کا جائزہ لیں اور منسوخ کریں۔ Approval-بنیاد ڈرینرز نے اسی طرح سیکڑوں ملین چوری کیے کیونکہ صارفین بھول جاتے ہیں کہ انہوں نے کیا منظور کیا۔

ایڈریس ویریفیکیشن اور پوائزننگ۔ Clipboard malware کاپی شدہ والٹ پتوں کو حملہ آور کے پتوں سے بدل دیتا ہے۔ ایک نیا trick، ایڈریس پوائزننگ، آپ کی ٹرانزیکشن ہسٹری میں ایک مماثل نظر آنے والا پتہ لگا دیتا ہے (وہی ابتدائی اور آخری حروف) یہ امید کرتے ہوئے کہ آپ اسے اپنی ہسٹری سے دوبارہ کاپی کریں۔ ہمیشہ ایک پیسٹ شدہ پتے کے پہلے اور آخری 4-6 حروف کی حقیقی ذریعے کے خلاف تصدیق کریں، اور بڑے ٹرانسفرز کے لیے پہلے ایک چھوٹا ٹیسٹ ٹرانزیکشن ($5-10) بھیجیں اور اس کے پہنچنے کی تصدیق کریں پوری رقم بھیجنے سے پہلے۔

GaiaEx کی MPC والٹ آرکیٹیکچر ان میں سے کئی خدشات کو ساختی طور پر دور کرتی ہے: چوری کرنے یا کھونے کے لیے کوئی سیڈ فریز نہیں، ملٹی-پارٹی سائننگ جو واحد-نقطہ سمجھوتہ روکتی ہے، اور ٹرانزیکشن سائننگ جو پلیٹ فارم کی سیکیورٹی انفراسٹرکچر کے ذریعے ہوتی ہے بجائے کھلے ویب پر بے نقاب براؤزر extension کے۔

یہاں ہے وہ ناخوش گوار حقیقت جو Bybit ہیسٹ نے ثابت کی: سب سے مہنگے کرپٹو نقصانات ٹوٹے کوڈ سے نہیں آتے۔ وہ ٹوٹے اعتماد سے آتے ہیں۔ فشنگ مستقل طور پر کرپٹو میں #1 حملے کا راستہ ہے، کیونکہ ایک شخص کو بے وقوف بنانا ایک کلید توڑنے سے آسان ہے۔ پیٹرنز ایک بار سیکھیں اور آپ زندگی بھر انہیں پہچانیں گے۔

• جھوٹے لاگ ان پیجز۔ ایک ایڈ، ایک DM، یا ایک ای میل آپ کو آپ کے ایکسچینج کی ایک بے عیب کلون سے لنک کرتی ہے۔ آپ لاگ ان ہوتے ہیں؛ آپ نے صرف اپنے کریڈینشلز ایک اجنبی کو سونپ دیے۔ دفاع: کبھی ایک لنک کے ذریعے لاگ ان پیج تک نہ پہنچیں۔ URL خود ٹائپ کریں یا ہر بار بک مارک استعمال کریں۔
• والٹ ڈرینرز۔ ایک جھوٹی "خصوصی منٹ،" "ایئر ڈراپ کلیم،" یا "انعام" سائٹ آپ سے والٹ کنیکٹ کر کے دستخط کرنے کا کہتی ہے۔ بٹن کچھ منٹ نہیں کرتا — یہ ایک اپرول نافذ کرتا ہے جو حملہ آور کو آپ کے ٹوکنز sweep کرنے دیتا ہے۔ 2024 میں، ڈرینرز نے اس طرح تقریباً $494 ملین چوری کیے۔ دفاع: ہر دستخط کا پرامپٹ پڑھیں، اور اگر ایک "مفت کلیم" آپ کے اثاثوں پر اپرول چاہے، دور چلے جائیں۔
• "آپ کی والٹ سمجھوتہ ہے" اسکیم۔ ایک عجلت والا پیغام کہتا ہے آپ کی رقم خطرے میں ہے اور آپ کو ابھی "تصدیق" یا "منتقل" کرنا ضروری ہے۔ عجلت خود حملہ ہے — گھبراہٹ آپ کو چیکس چھوڑنے پر مجبور کرتی ہے۔ دفاع: حقیقی سیکیورٹی الرٹس کبھی آپ کے سیڈ فریز یا دستخط کا تقاضا نہیں کرتے۔ سست ہوں؛ عجلت ایک سرخ نشان ہے، وجہ نہیں۔
• جھوٹی شناخت اور "سپورٹ"۔ کوئی بھی جائز ایکسچینج سے آپ کو پہلے DM نہیں کرے گا، آپ کا پاس ورڈ نہیں مانگے گا، یا آپ کی اسکرین تک ریموٹ رسائی کی درخواست نہیں کرے گا۔ "سپورٹ" جو آپ تک پہنچے وہ ایک دھوکے باز ہے۔ GaiaEx کبھی آپ کا سیڈ فریز یا پاس ورڈ نہیں مانگے گا — کوئی حقیقی پلیٹ فارم کبھی نہیں مانگتا، کیونکہ اسے ان کی ضرورت نہیں۔
• SIM swaps اور سماجی دھوکہ دہی۔ حملہ آور آپ کی سوشل میڈیا پر تحقیق کرتے ہیں، پھر آپ کے فون کیریئر یا ایک ہیلپ ڈیسک کے سامنے آپ کا روپ دھارتے ہیں۔ اپنا کیریئر اکاؤنٹ ایک PIN سے لاک کریں، اور اپنی ہولڈنگز یا اپنا منتخب ایکسچینج کبھی عوامی طور پر نشر نہ کریں۔

سیڈ فریزز کا سنہری اصول: ایک بحالی کا فقرہ اپنی خود کی والٹ کو ایک ایسی ڈیوائس پر بحال کرنے کے لیے ہے جسے آپ کنٹرول کرتے ہیں، اور کچھ اور کے لیے نہیں۔ کوئی ایکسچینج، کوئی سپورٹ ایجنٹ، کوئی "validation tool،" کوئی giveaway، کوئی ایئر ڈراپ، اور زمین کا کوئی شخص کبھی اسے مانگنے کی جائز وجہ نہیں رکھتا۔ جس لمحے کوئی چیز آپ کا سیڈ فریز مانگتی ہے، آپ نے ایک اسکیم پکڑ لی ہے، سرِعام۔

یہ گائیڈ کا زیادہ تر حصہ اس لیے موجود ہے کیونکہ روایتی خود تحویل تباہ کن رسک کو واحد نقاط میں مرکوز کرتی ہے: ایک سیڈ فریز، ایک دستخط، ایک ڈیوائس، غلط جگہ پر رکھے گئے اعتماد کا ایک لمحہ۔ ان میں سے کوئی ایک بھی کھو دیں اور آپ سب کچھ کھو سکتے ہیں۔ GaiaEx بالکل انہی واحد نقاط ناکامی کو ختم کرنے کے لیے تعمیر کیا گیا ہے — تاکہ کوئی ایک غلطی مہلک نہ ہو۔

MPC کلیدیں: کوئی سیڈ فریز نہیں کھونا۔ ملٹی-پارٹی کمپیوٹیشن استعمال کرتے ہوئے، آپ کی نجی کلید کبھی ایک جگہ اکٹھی نہیں ہوتی۔ یہ آزاد پارٹیوں کے پاس رکھے گئے انکرپٹڈ ٹکڑوں میں تقسیم ہے، اور ایک ٹرانزیکشن کو ان میں سے کئی کا تعاون کرنا درکار ہے۔ کوئی ماسٹر سیڈ فریز کسی چپکے نوٹ پر نہیں بیٹھی ہے جسے فوٹو کیا، فش کیا، یا آگ میں جلایا جا سکے — جو ساختی طور پر لوگوں کے کرپٹو کھونے کے سب سے عام طریقے کو ختم کرتا ہے۔

ملٹی-پارٹی سائننگ واحد-ڈیوائس سمجھوتے کو ناکام کرتی ہے۔ چونکہ کوئی ایک پارٹی کبھی مکمل کلید نہیں رکھتی، ایک حملہ آور جو ایک واحد ڈیوائس، سرور، یا شخص کو سمجھوتہ کرے پھر بھی آپ کی رقم حرکت نہیں دے سکتا۔ Bybit-طرز کی "ایک چھیڑی ہوئی اسکرین، ایک دستخط، مکمل نقصان" ناکامی کی شکل کو ایک واحد منظوری کا نقطہ درکار ہے — اور یہی وہ چیز ہے جسے MPC ختم کرتا ہے۔

مضبوط انفراسٹرکچر کے اندر سائننگ، ایک براؤزر extension نہیں۔ ٹرانزیکشن منظور کرنے کے لیے سب سے خطرناک جگہ کھلے ویب پر بے نقاب براؤزر extension ہے، کسی بھی ایڈ یا extension کے پاس جو اسے دھوکہ دینے کی کوشش کر رہی ہو۔ GaiaEx سائننگ کو پلیٹ فارم کی سیکیورٹی انفراسٹرکچر میں منتقل کرتا ہے، اس حملہ کی سطح کو محدود کرتے ہوئے جہاں ڈرینرز اور جھوٹی-اپرول اسکیمز کام کرتی ہیں۔

یہ کچھ بھی آپ کو اس گائیڈ کی عادات سے مستثنی نہیں کرتا — مضبوط 2FA، ایک وقف ای میل، جو آپ دستخط کرتے ہیں اسے پڑھنا، اور جلدی کروانے سے انکار کرنا اب بھی آپ کے سنبھالنے کے ہیں۔ مگر مقصد ایک ایسا نظام ہے جہاں بلاک چین کی ضمانتیں یہ تقاضا نہیں کرتیں کہ آپ راتوں رات ایک کرپٹوگرافی ماہر بن جائیں۔ ریاضی مشکل حصہ کرتی ہے؛ آپ کسٹڈی رکھتے ہیں؛ اور کوئی واحد غلطی کہانی ختم نہیں کرتی۔