29 अक्टूबर को, सिर्फ बीस मिनट में, Binance के वॉलेट्स से $6.3 बिलियन निकल गए। यह क्रिप्टो इतिहास की सबसे बड़ी चोरी थी, जो फरवरी 2025 के Bybit हैक से चार गुना ज्यादा थी।
एक्सचेंज के मुताबिक, इस हैक का एंट्री पॉइंट एक इंजीनियर का कंप्यूटर था, जो फेक जॉब इंटरव्यू के बाद इंफेक्टेड हो गया था।
दो दिन बाद, Binance ने घोषणा की कि उसने अपने फंड्स से 98% एसेट्स रिकवर कर लिए हैं; अगले दिन, withdrawals फिर शुरू हो गए।
इस आखिरी फैक्ट को याद रखिए। यही सबसे जरूरी है, और इसके बारे में सबसे कम चर्चा होती है।
जिसके पास हथौड़ा है, उसके लिए हर समस्या कील जैसी लगती है
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026 — ये सिर्फ बड़े नाम हैं। प्रॉब्लम अलग-अलग, जवाब वही पुराना: सेल्फ-कस्टडी। आखिरकार, not your keys, not your coins।
यह तर्क तकनीकी रूप से सही है। अगर आपके पास प्राइवेट की नहीं है, तो आप एसेट कंट्रोल नहीं कर सकते: आपके दावे पर कोई और कंट्रोल करता है।
लेकिन, ज्यादातर लोग इससे ये नतीजा निकाल लेते हैं कि सेल्फ-कस्टडी जरूरी नहीं है कि ज्यादा सेफ है।
जो हार जाता है, उसकी कब्र को कोई नहीं देखता, जब तक उसकी हार बहुत बड़ी न हो
जब किसी exchange पर अटैक होता है, तो पूरी दुनिया उसे देखती है। बिलियन डॉलर दांव पर लग जाते हैं, ऑफिशियल स्टेटमेंट आता है, इंटरनेशनल कवर मिलती है।
लेकिन जब कोई व्यक्ति सब कुछ खो देता है, तो लगभग किसी को पता भी नहीं चलता। भले ही लॉस ऑन-चेन हो, पूरा पब्लिक डेटा हो — फिर भी आम लोग ब्लॉकचेन इन्वेस्टिगेशन नहीं देखते! आम लोग तो न्यूज़ और मीडिया को फॉलो करते हैं।
इनमें से ज्यादातर लोग शर्म या भरोसा न होने के कारण पुलिस रिपोर्ट तक नहीं कराते।
इन्वेस्टिगेटर्स की साइड से, सीन जाना-पहचाना है: विक्टिम ट्रांजैक्शन हैश लेकर आता है, और उम्मीद करता है कोई “Bitcoin फ्रीज कर देगा।”
और, जब तक सब कुछ बिल्कुल सही न हो जाए (पीड़ित तेजी से और अच्छे से रिपोर्ट करे, पब्लिक ऑफिशियल क्वालिफाइड हो, फंड्स किसी exchange या फ्रीजेबल टोकन में पहुंचे), तब तक रिज़ल्ट बहुत खराब होता है।
बड़े exchanges पर होने वाले अटैक सबसे ज्यादा नहीं होते। ये बस वही हैं, जो सबकी नजर में आ जाते हैं।
Self-custody Risk Menu से कुछ खास चुनिंदा खतरे
बीज शेयर करना। 10 जनवरी, 2026 को एक निवेशक ने अपने हार्डवेयर वॉलेट का seed एक स्कैमर को पढ़कर बता दिया, जो खुद को Trezor सपोर्ट बता रहा था। उसने 1,459 BTC और 2.05 मिलियन LTC खो दिए, जो $282 मिलियन से भी ज्यादा है। डिवाइस एकदम सही काम कर रही थी, लेकिन होल्डर की गलती थी।
Seed compromise। आपके फोन में कोई फोटो, क्लाउड में कोई नोट, या खुद को भेजा गया ईमेल। किसी ने ये शब्द नहीं मांगे, वे बस लीक हो गए।
Signature phishing। आप ऑफ-चेन मैसेज साइन करते हैं, जिससे किसी तीसरे को आपके टोकन्स ट्रांसफर का अधिकार मिल जाता है, और वे जब चाहें वे ट्रांसफर कर सकते हैं। सोचे एक खाली साइन किया हुआ चेक जो किसी अजनबी की दराज में छूट गया हो। सिर्फ जनवरी 2026 में ऐसे मामलों से $6.3 मिलियन का नुकसान हुआ।
विडंबना यह है कि Binance हैक भी signatures के जरिए हुआ। exchange के सिस्टम को एक ही समय में 50 authorizations साइन करने के लिए ट्रिक किया गया, जिसमें से केवल एक से attacker एक वॉलेट हासिल करने में कामयाब हुआ, जिसमें एक ही ट्रांजेक्शन में $2.2 बिलियन का नुकसान हुआ।
Wrench attack। नाम wrench से ही आया है। कोई भी क्रिप्टोग्राफी आपकी या आपके परिवार की फिजिकल सुरक्षा की गारंटी नहीं देती। 2026 की पहली छमाही में, CertiK ने ऐसे 52 केस गिने, जिनमें $124 मिलियन का नुकसान हुआ; सिर्फ France में 33 केस थे।
Address poisoning। स्कैमर आपके हिस्ट्री में एक ऐसा एड्रेस डाल देता है, जो असली एड्रेस से लगभग एक जैसा लगता है। अगली बार ट्रांसफर करते वक्त आप गलत वाला एड्रेस कॉपी कर लेते हैं। सिर्फ जनवरी में एक केस में $12.25 मिलियन का नुकसान हुआ।
Device failure। 29 जुलाई को जिन ColdCard यूज़र्स ने कभी अपने डिवाइस को इंटरनेट से कनेक्ट नहीं किया था, वे key generation की randomness flaw के कारण सबकुछ खो बैठे। इसमें हजार से ज्यादा bitcoins थे। मैंने इस केस का विश्लेषण “आपकी चाबियां, आपके कॉइन्स — लेकिन क्या आप जानते हैं आपकी चाबियां कैसे बनाई जाती हैं?” में किया है।
नोटिस: हर मामले में पीड़ित ने कुछ न कुछ पर भरोसा किया। सपोर्ट लाइन, क्लाउड, वेबसाइट, अपनी खुद की समझ, ट्रांजैक्शन हिस्ट्री, फर्मवेयर। और, हर मामले में, उन्होंने अपनी खुद की क्षमता पर भरोसा किया।
Self-custody या Exchange? यह एक झूठी दुविधा
हर तरह की कस्टडी (custody) में रिस्क होता है। जो व्यक्ति एक्सचेंज पर अपनी संपत्ति छोड़ता है, वह उसकी गवर्नेंस और सॉल्वेंसी पर भरोसा करता है। जो Self-custody करता है, वह अपनी समझ, डिवाइस, सॉफ्टवेयर और उन सभी पर भरोसा करता है, जिन्हें पता है कि उसके पास Bitcoin है। दिक्कत ये है कि लोग पहले भरोसे को तो मानते हैं, लेकिन दूसरे वाले भरोसे को नजरअंदाज कर देते हैं।
कोई भी विकल्प भरोसे के बिना नहीं है। या तो आप जागरूक होकर भरोसा करते हैं, या अनदेखा करके। और जो रिस्क आपको दिखता नहीं, वही सबसे महंगा पड़ता है।
किसी को भी अपनी सारी दौलत गद्दे के नीचे नहीं रखनी चाहिए, न ही सारी रकम एक ही बैंक में।
क्रिप्टो एसेट्स के साथ भी यही लॉजिक अपनाएं: कुछ हिस्सा मजबूत एक्सचेंज (या तीन एक्सचेंजों) में, कुछ Self-custody में और कुछ ETFs में रखें — जैसे 30%, 40% और 30%।
यह बंटवारा आपके नॉलेज, आपके प्रोफाइल और आपके गोल्स पर निर्भर करता है। ये जिम्मेदारी आपको खुद ही उठानी होगी। बुरी खबर के लिए माफ़ी चाहते हैं, लेकिन बाद में पछताने से बेहतर है अभी जान लें।
The Day After Tomorrow
जिम्मेदारी लेने से रिस्क कम हो सकता है, खत्म नहीं। इसलिए सिर्फ ये न पूछें “मेरे लिए कौन सा विकल्प सुरक्षित है?”, बल्कि ये भी सोचें “अगर मुझ पर अटैक हुआ तो आगे क्या होगा?”
Self-custody में आपको कॉल करने के लिए कोई नहीं है। जनवरी में $282 मिलियन की रकम तुरंत Monero में बदलनी शुरू हो गई (BTC, BTC, LTC)। फ्रीज तब होती है जब पैसा किसी stablecoin इशूअर या एक्सचेंज पर आता है। पूरी रिकवरी बहुत कम ही होती है।
एक्सचेंज पर एक काउंटरपार्टी होती है। Bybit ने सिर्फ तीन दिन में अपने कस्टमर्स का समर्थन फिर से दे दिया। Bitget ने सितंबर में $388 मिलियन की चोरी हुई रकम अपने प्रोटेक्शन फंड से कवर की।
Binance ने 100% नुकसान खुद उठाया और पहले ही 98% रिकवरी कर चुका है, जिसे उसके proof of reserves में वेरिफाई किया जा सकता है।
बेशक, काउंटरपार्टी तभी मायने रखती है जब वो सॉल्वेंट हो। और वो हमेशा आपको उतना नहीं लौटाती, जितना आपके पास था।
Mt. Gox के क्रेडिटर्स को एक दशक तक इंतजार करना पड़ा और उन्हें सिर्फ लगभग 15% Bitcoins वापस मिले। हालांकि, इस दौरान प्राइस की बढ़ोतरी के कारण उस हिस्से की वैल्यू उनकी 2014 की पूरी रकम से कई गुना ज्यादा हो गई थी।
FTX लेनदारों को नगद मिला, उनके बैलेंस में पड़ी क्रिप्टो संपत्ति नहीं: नवंबर 2022 में, जब FTX गिरा था और Bitcoin प्राइस करीब $16,000 थी, उन्हें उनकी वैल्यू का लगभग 120% मिला। यानी उस समय से ज्यादा, लेकिन अगर आज मिलती तो कहीं ज्यादा कीमत होती।
इसीलिए ब्राजील में, सेंट्रल बैंक (BCB) के Resolution 519, 520 और 521 (2025) बेहद अहम हैं।
इन्वेस्टर्स के लिए सबसे जरूरी यह नहीं है कि एक्सचेंज सेंट्रल बैंक को जवाबदेह है, बल्कि यह है कि उस पर कौन से नियम लागू हैं: कस्टमर की संपत्ति कंपनी से अलग वॉलेट्स में और कंपनी की संपत्ति से अलग रखी जाए, रिजर्व का प्रूफ और इंडिपेंडेंट ऑडिट हो, और उन फंड्स का इस्तेमाल कंपनी की खुद की ऑपरेशंस में न किया जाए।
अंत में सारांश
Not your keys, not your coins यानी कंट्रोल के बारे में है, न कि सिर्फ सिक्योरिटी के बारे में।
कोई भी अगर अपना पूरा धन एक्सचेंज से निकाल लेता है, तो वह भरोसा करना छोड़ता नहीं है। वह सिर्फ वह भरोसा अपनी ओर शिफ्ट कर लेता है, अक्सर बिना सोचे कि वह खुद उस भरोसे के काबिल है या नहीं।
कस्टडी का मतलब सिर्फ ये तय करना नहीं है कि किस पर भरोसा न करें, बल्कि सोच-समझकर ये चुनना है कि किस पर भरोसा करना है, और कितना।
