बिजनेस के नजरिए से Bitcoin ट्रांजैक्शन में एक बड़ा प्रॉब्लम है, जिसके बारे में ज्यादा बात नहीं की जाती। मान लीजिए कि कोई बिजनेस एक सप्लायर को एक बार इस्तेमाल किए गए वॉलेट एड्रेस से BTC में पेमेंट करता है। ऐसे में सप्लायर इनवॉइस से आगे की भी डिटेल देख सकता है।
अभी जब आप यह पढ़ रहे हैं, कोई कॉम्पिटिटर बस एक ब्लॉक एक्सप्लोरर खोलकर देख सकता है कि आपने अपनी पिछली डील के लिए किसे Bitcoin में पेमेंट किया — कितनी रकम, कब, और किस काउंटरपार्टी को। ट्रांजैक्शन ट्रेसिंग सिर्फ उन लोगों की प्रॉब्लम नहीं है जिनके पास छुपाने के लिए कुछ है। यह तो एक चलता-फिरता बिजनेस रिस्क है: ट्रेजरी मूवमेंट्स, पार्टनर रिलेशनशिप्स, और डील फ्लो उन सभी के लिए ओपन है, जो बस कुछ समय ट्रैकिंग में बिताना चाहते हैं।
अक्सर लगता है कि यह एक्सपोजर ऑन-चेन ट्रांजैक्शन साइन करते समय शुरू होता है, लेकिन असल में ऐसा नहीं है। जुलाई 2026 में KU Leuven के DistriNet ग्रुप के रिसर्चर्स ने 85 सबसे पॉपुलर ब्राउज़र-एक्सटेंशन वॉलेट्स टेस्ट किए और पाया कि वॉलेट्स खुद ही यूजर्स की फिंगरप्रिंटिंग और ट्रैकिंग के लिए काफी जानकारी लीक कर देते हैं — वो भी किसी भी ट्रांजैक्शन के साइन होने से पहले।
वॉलेट जब आपका बैलेंस दिखाने के लिए बाहर के सर्वर से पिंग करता है, तब आपका एड्रेस अल्रेडी क्लियर टेक्स्ट में भेजता है। इसमें कोई एक्सप्लॉइट नहीं है; एक्सटेंशन वैसे ही काम करते हैं जैसे उन्हें बनाया गया है। इन 85 एक्सटेंशन्स में से सिर्फ फिंगरप्रिंटिंग वीकनेस से ही 36 वॉलेट्स प्रभावित हैं, जो करीब 82% इंस्टॉल्स के लिए जिम्मेदार हैं — आगे के सभी नंबर इसी उप-ग्रुप से लिए गए हैं।
यह बात सबसे ईमानदार यूजर्स के लिए भी सही है। Andy Greenberg ने एक दशक तक क्रिप्टो क्राइम की सबसे बारीकी से रिपोर्टिंग की, ऐसे हैकर्स, डीलर्स और लॉन्डरर्स पर, जिन्होंने ब्लॉकचेन को छिपने की जगह समझा था — और देखा कि कैसे इन्वेस्टिगेटर्स एक-एक करके उन्हें पकड़ते गए। उन्हें दस साल लग गए समझने में कि असल में Bitcoin कितना कम अनट्रेसेबल है। जिस लेजर ने उन्हें प्रोटेक्ट करना था, वही उनका रिकॉर्ड बन गया जो उन्हें दोषी ठहराता था।
फर्जी कॉन्फिडेंस अकसर उन्हीं लोगों में रहती है, जिन्होंने प्राइवेट रहने के लिए काफी कुछ किया है, जबकि उन्हें कभी कुछ छुपाना ही नहीं था: जैसे डोनर जिसकी पूरी गिविंग हिस्ट्री अब पब्लिक है, या जर्नलिस्ट जिसके सोर्सेस पेमेंट ट्रेल से पता किए जा सकते हैं, या वो ऊपर वाला B2B काउंटरपार्टी।
इसमें से लगभग हर लेयर आपके साथ अनजाने में होती है, आपके जरिए नहीं। इस आर्टिकल के बाकी हिस्से में इस एक्सपोजर की पूरी मैपिंग की गई है — और बताया गया है कि इसमें से वह एक लिंक कौन सा है जिसे लिखना वाकई आपके हाथ में है।
ट्रांजैक्शन के अलावा, वॉलेट से और क्या-क्या लीक होता है?
एक क्रिप्टो वॉलेट ट्रांजैक्शन से पहले भी आपकी जानकारी रिवील कर सकता है। बैलेंस दिखाने के लिए ब्राउज़र वॉलेट बाहरी सर्वर से कनेक्ट करता है और उसे आपका वॉलेट एड्रेस भेजता है। KU Leuven के रिसर्चर्स ने 85 पॉपुलर ब्राउज़र-एक्सटेंशन वॉलेट्स टेस्ट किए, जिनकी Chrome Web Store पर करीब 35 मिलियन इंस्टॉलेशंस हैं। उन्होंने पाया कि 36 वॉलेट्स — यानी करीब 82% इंस्टॉल्स — इस तरह से पहचाने और ट्रैक किए जा सकते हैं।
सत्रह वॉलेट्स, जिनमें लगभग 2.3 करोड़ इंस्टॉल्स शामिल हैं, यूज़र्स के अलग-अलग एड्रेस के बीच भी कनेक्शन को उजागर कर सकते हैं जो एक ही यूज़र से जुड़े होते हैं। 36 में से 22 प्रभावित वॉलेट्स में, वेबसाइट्स उन एड्रेस को पढ़ सकती थीं, भले ही यूज़र ने एक्सेस रद्द कर दिया हो और ब्राउज़र को रीस्टार्ट किया हो।
यहां एक और समस्या है। अक्सर वेबसाइट्स यह पता लगा सकती हैं कि यूज़र ने कौन-कौन से वॉलेट एक्सटेंशन इंस्टॉल किए हैं, भले ही यूज़र ने वॉलेट कनेक्ट न किया हो। रिसर्चर्स ने यह भी पाया कि 36 में से 23 प्रभावित वॉलेट्स दूसरों वेबसाइट्स से लोड हुए कंटेंट के जरिए यूज़र का एड्रेस लीक कर सकते थे, बिना यूज़र के कुछ क्लिक किए।
ज्यादातर वॉलेट प्रोवाइडर्स, जिनसे रिसर्चर्स ने संपर्क किया, उन्होंने इसे गंभीर बग नहीं माना। Coinbase Wallet, Coin98 और Hana ने कुछ बदलाव किए, जबकि MetaMask, Rabby और OKX समेत अन्य ने ऐसा नहीं किया। रिसर्चर्स ने 30 डीसेंट्रलाइज्ड ऐप्स की भी जांच की और पाया कि सिर्फ 11 ने ही यूज़र्स द्वारा “disconnect” या लॉगआउट करने पर वॉलेट एक्सेस सही तरीके से रिवोक किया।
जैसे ही कोई एड्रेस दिखाई देता है, पब्लिक ब्लॉकचेन बाकी सारी जानकारी भी सामने ले आता है।
ब्लॉकचेन-एनालिसिस कंपनियां ऐसे ट्रांजैक्शन पैटर्न खोजती हैं जिनसे पता चल सके कि कई एड्रेस एक ही व्यक्ति या ऑर्गनाइजेशन से जुड़े हैं।
उदाहरण के लिए, अगर कई वॉलेट्स बार-बार एक-दूसरे को फंड ट्रांसफर करें या एक जैसी एक्टिविटी दिखाएं, तो सॉफ्टवेयर उन्हें एक ग्रुप में डाल सकता है। किसी एक पहचाने गए एड्रेस से एनालिस्ट्स कई और एड्रेस तक पहुंच सकते हैं।
यह बहुत बड़े स्तर पर होता है। 2026 के मध्य तक, Chainalysis के अनुसार, उसने 1 अरब से अधिक ब्लॉकचेन एड्रेस को 1,34,000 से ज्यादा पहचानी गई एंटिटीज़ में ग्रुप किया है।
ब्लॉकचेन के बीच फंड ट्रांसफर करने से भी ट्रैकिंग पूरी तरह टूटती नहीं है। एनालिस्ट्स नेटवर्क्स के बीच ब्रिजेस के ज़रिए एसेट्स को फॉलो कर सकते हैं। किसी डीसेंट्रलाइज्ड एक्सचेंज का उपयोग करने पर ट्रांजैक्शन छुपता नहीं है, क्योंकि ट्रांजैक्शन ब्लॉकचेन पर पब्लिकली रिकॉर्ड होते हैं।
इसका रिजल्ट बिल्कुल साफ है: वॉलेट एड्रेस देखने में तो रैंडम करैक्टर्स की स्ट्रिंग लगता है, लेकिन अगर उसके इर्द-गिर्द पर्याप्त एक्टिविटी जुड़ जाए, तो वो डिटेल्ड फाइनेंशियल प्रोफाइल बन सकता है।
ऐसे कई असली उदाहरण मौजूद हैं। 2021 में Colonial Pipeline ransomware अटैक के बाद, US इन्वेस्टिगेटर्स ने Bitcoin को कई वॉलेट्स के ज़रिए ट्रैक किया और $4.4 मिलियन की फिरौती में से लगभग $2.3 मिलियन रिकवर किए।
Helix: ऐसा मेकैनिज्म जिसे छुपकर भी आप नहीं चका सकते
Bitcoin के शुरुआती सालों में Helix डार्कनेट मार्केट्स में काफ़ी पॉपुलर था। इसका एक ही मकसद था: Bitcoin को अनट्रेसबल बनाना। Larry Dean Harmon ने 2014 से 2017 तक इसे एक टंबलर के रूप में चलाया, जिसमें कस्टमर्स के कॉइन्स को मिक्स किया जाता था ताकि फंड्स के सोर्स को छुपाया जा सके, और आखिर में इसे “क्लीन” bitcoin के रूप में बेचते थे। इस सर्विस का पूरा मॉडल ही चीज़ों को छिपाने पर आधारित था। इसकी सारी सर्विस का एक ही मकसद था: कॉइन के ओरिजिन और उसके डेस्टिनेशन के बीच के लिंक को तोड़ना।
करीब 354,468 BTC, उस समय लगभग $311M, इनके जरिए ट्रांसफर हुए थे। मिक्सिंग से ट्रेल का पैटर्न बदल गया, पर ट्रेल मिटा नहीं। हर कॉइन ने ब्लॉकचेन पर एक स्थायी निशान छोड़ा, जिसे बाद में बदला या हटाया नहीं जा सका।
Harmon हर स्वैप पर 2.5% कमीशन लेता था, और यह कमीशन भी वहाँ जाता था जहाँ बाकी कॉइन्स जाते हैं: हमेशा के लिए चैन पर। छुपाने की यह सर्विस चलाने के लिए जो हिस्सा उसने रखा, वही उसके ऑपरेटर तक पहुँचने का रिकॉर्ड बन गया। जो सर्विस शुरू से ट्रेल मिटाने के लिए बनी थी, उसी ने अपने मालिक का नाम ट्रेल में लिखा जिसे वह मिटा नहीं सकती थी।
कैसे वॉलेट ट्रेल असली व्यक्ति से जुड़ जाती है
Helix से पता चलता है कि Bitcoin को इधर-उधर करने से ट्रेल जरूरी नहीं मिटती। मगर पैसे का पीछा करना सिर्फ आधा काम है। एनालिस्ट्स को अब भी वॉलेट एड्रेस को असली व्यक्ति या बिजनेस से जोड़ना पड़ता है।
यह अक्सर तब होता है जब फंड्स किसी रेग्युलेटेड exchange से टच होते हैं। exchanges जानते हैं कि कौन सा डिपॉजिट एड्रेस उनके कस्टमर का है और उनके पास KYC के जरिए पहचान के रिकॉर्ड्स रहते हैं। अगर इन्वेस्टिगेटर्स Bitcoin को इनमें से किसी एड्रेस तक ट्रैक करते हैं, तो वे कानूनी प्रक्रिया के जरिए अकाउंट डिटेल्स मांग सकते हैं।
एक कनेक्शन एक से ज्यादा लेन-देन का खुलासा कर सकता है। अगर ब्लॉकचेन एनालिसिस पहले ही कई एड्रेस को एक ही ओनर से लिंक कर चुका है, तो उनमें से सिर्फ एक की पहचान होने पर पूरे ग्रुप का नाम पता चल सकता है। exchange को सिर्फ वही एड्रेस पता होता है जो उसके प्लेटफॉर्म से जुड़ा है, मगर पहले की analysis उसे बाकी से भी जोड़ सकती है।
कई बार कानूनी रिक्वेस्ट की जरूरत नहीं पड़ती। लोग और बिजनस खुद अपने वॉलेट एड्रेस वेबसाइट, डोनेशन पेज, Telegram चैट या पब्लिक प्रोफाइल पर डाल देते हैं। जैसे ही कोई एड्रेस खुलेआम नाम से जुड़ जाता है, उसके पुराने ट्रांजैक्शंस भी दिखने लगते हैं।
बिजनेस के लिए, यह एक बेसिक प्राइवेसी प्रॉब्लम बन जाती है। सप्लायर पेमेंट से पिछले पेमेंट्स, ट्रेजरी मूवमेंट्स, और दूसरे काउंटरपार्टियां भी उजागर हो सकती हैं। क्योंकि ब्लॉकचेन ट्रांजेक्शंस स्थायी और टाइमस्टैम्प्ड होती हैं, एक पहचाने गए वॉलेट से सालों की एक्टिविटी ट्रैक करना आसान हो जाता है।
ब्लॉकचेन ट्रेसिंग कहां गलत हो सकती है?
इसका मतलब यह नहीं कि हर बार ब्लॉकचेन एनालिसिस सही ही होती है।
वॉलेट्स को कनेक्ट करने के लिए जो सिस्टम्स यूज होते हैं, वे काफी हद तक पैटर्न और प्राय संभावना पर आधारित होते हैं। ये फॉल्स पॉजिटिव और फॉल्स नेगेटिव दे सकते हैं: निर्दोष एक्टिविटी पर भी अलर्ट आ सकता है, जबकि संदिग्ध एक्टिविटी छूट सकती है।
एक समस्या ट्रांजेक्शन हिस्ट्री की भी है। Bitcoin कई ओनर्स के हाथों से गुजर सकता है। अगर कॉइन्स पहले मिक्सर या जोखिम भरे वॉलेट से होकर आए हों, तो बाद वाले ओनर पर भी शक किया जा सकता है—even अगर उसकी कोई गलती नहीं हो।
एक केस में, एक P2P बायर का अकाउंट सिर्फ इसलिए फ्रीज हो गया क्योंकि उसने जिस Bitcoin को खरीदा, वह उसके पास आने से पहले मिक्सर से होकर गुजरा था।
Exchanges और दूसरे रेग्युलेटेड बिजनेस के लिए ये गलतियां परेशानी का कारण बन सकती हैं। फॉल्स अलर्ट से正️ जेन्युइन कस्टमर के फंड्स फ्रीज हो सकते हैं और उनके लिए compliance एवं सपोर्ट की दिक्कतें बढ़ सकती हैं।
ट्रेसिंग कंपनियाँ भी सब कुछ नहीं देख सकतीं। Monero जैसे प्राइवेसी-फोकस्ड क्रिप्टोकरेन्सी को ट्रैक करना अभी भी बहुत मुश्किल है। जब फंड ऐसे exchanges तक पहुँचते हैं जो सहयोग नहीं करते, तो इन्वेस्टिगेशन वहीं रुक जाती है।
यहाँ तक कि सबसे बड़ी ब्लॉकचेन एनालिटिक्स कंपनियों को भी बहुत बड़े करेक्शन करने पड़े हैं। 2025 की शुरुआत में, Chainalysis ने पिछली साल North Korea द्वारा चुराई गई क्रिप्टो की अपनी अनुमानित राशि को $1 बिलियन से घटाकर $660.5 मिलियन कर दिया — यह $300 मिलियन से ज्यादा का करेक्शन था जब कुछ हैक्स का फिर से मूल्यांकन किया गया।
इन सिस्टम्स की रिलायबिलिटी को कोर्ट में भी चुनौती दी गई है। Bitcoin Fog और Tornado Cash जैसे मामलों में डिफेंस टीम्स ने सवाल उठाया कि बाहर वाले जिन प्रोपर्टाइरी सॉफ्टवेयर को पूरी तरह से देख ही नहीं सकते, उनके एनालिसिस पर कितना भरोसा किया जा सकता है।
यह जांच इसलिए जरूरी है क्योंकि Chainalysis एक बड़ा US गवर्नमेंट कॉन्ट्रेक्टर भी है। फेडरल रिकॉर्ड्स पर आधारित इंडिपेंडेंट रिपोर्टिंग से पता चला कि उसे सरकारी इनाम के रूप में $93.2 मिलियन से ज्यादा मिल चुके हैं।
गलत रिजल्ट्स से सबसे बड़ा रिस्क मासूम यूज़र्स पर पड़ता है। एक छोटी सी गड़बड़ी से अकाउंट फ्रीज हो सकता है। जिन देशों में सुरक्षा कमजोर है, वहां यही ट्रेसिंग टूल्स डोनर्स, जर्नलिस्ट्स या पॉलिटिकल अपोज़िशन को फंसा सकते हैं। ब्लॉकचेन ट्रेसिंग से बहुत कुछ पता चलता है, लेकिन हर रिजल्ट को ऑटोमैटिकली सही मानना ठीक नहीं है।
यूज़र्स अपने ट्रेल के इस एक हिस्से को आज भी कंट्रोल कर सकते हैं
ऊपर बताई गई अधिकतर एक्सपोजर यूज़र के कंट्रोल के बाहर है। वॉलेट्स ट्रांज़ैक्शन से पहले ही एड्रेस लीक कर सकते हैं। ब्लॉकचेन एनालिसिस कई एड्रेस को जोड़ सकता है, और रेग्युलेटेड exchanges इन वॉलेट्स को KYC रिकॉर्ड्स के जरिए रियल आइडेंटिटी से लिंक कर सकते हैं।
यूज़र्स जो कंट्रोल कर सकते हैं, वह है – सेंडर और रिसिपिएंट के बीच का डायरेक्ट लिंक। जब एक वॉलेट दूसरे को पे करता है, तो यह कनेक्शन हमेशा के लिए ऑन-चेन रिकॉर्ड हो जाता है और बाद में इसमें काउंटरपार्टिज़, ट्रेजरी मूवमेंट्स और बिज़नेस रिलेशनशिप्स उजागर हो सकते हैं।
ChangeNOW ने Private Transfers पेश किया, ताकि सेंडर-रिसिपिएंट का डायरेक्ट कनेक्शन खत्म हो जाए। यह फीचर पेमेंट को एक अलग वन-टाइम एड्रेस के जरिए रूट करता है, जिससे रिसिपिएंट को फंड्स सीधे सेंडर से नहीं मिलता। इससे सेंडर-टू-रिसिपिएंट वाला रास्ता दिखता नहीं, लेकिन यह दावा भी नहीं करता कि ट्रांजैक्शन पूरी तरह से गुमनाम है।
बाकी एक्सपोजर अभी भी हो सकता है। वॉलेट मेटाडेटा लीक हो सकता है, ब्लॉकचेन एनालिसिस आसपास की एक्टिविटी को देख सकती है, और AML चेक्स डिपॉजिट, ट्रांसफर और पआउट स्टेजेज़ पर लागू होते हैं।
API पार्टनर्स के लिए, Private Transfers एक ऑप्शनल फीचर है जो मौजूदा ट्रांसफर इन्फ्रास्ट्रक्चर के तहत ही है। इसमें वही API key और फीस मॉडल यूज़ होता है। अलग से कोई नया प्रोडक्ट या इंटिग्रेशन जरूरी नहीं है। इसका मेन मकसद है बस – यूज़र्स के लिए सिर्फ उस एक कनेक्शन को हटाना, जिसे वे खुद नहीं बनाना चाहते।
निष्कर्ष
जहां से शुरुआत हुई थी वहीं लौटते हैं। Andy Greenberg ने कई सालों तक सोचा कि ब्लॉकचेन यूजर्स को छुपाता है, लेकिन बाद में उनका निष्कर्ष इससे उल्टा निकला: “मुझे एक दशक लग गया यह समझने में कि Bitcoin असल में अनट्रेसेबल बिलकुल नहीं है।” यह इसी पॉइंट पर खड़ा है। पूरी तरह से अनट्रेसेबिलिटी जैसा कुछ नहीं है। वॉलेट लीक होते हैं, चैन पर सब रिकॉर्ड होता है, क्लस्टर आखिरकार किसी एक नाम तक पहुँच ही जाता है।
यही वो स्थिति है जो किसी पार्टनर के लिए होल्ड करना सही है। अनोनिमिटी नहीं, जिसे ट्रेस्ड कॉइन्स के एक दशक ने कहानी बना दिया है, असल प्रॉपर्टी नहीं। बल्कि एक क्लियर अकाउंट कि कौन सा लेयर क्लोज हो रहा है और कौन सा ओपन रह रहा है। प्राइवेट ट्रांसफर्स उस एक लिंक को हटा देता है, जिसे यूजर खुद बनाता था।
