پیچیدہ فشنگ مہم کا پھیلاؤ
سیکیورٹی محققین نے ایک مربوط فشنگ مہم کی نشاندہی کی ہے جو خاص طور پر Coldcard ہارڈ ویئر والیٹس کے مالکان کو نشانہ بنا رہی ہے۔ Decrypt کی رپورٹ کے مطابق، حملہ آور جعلی ای میلز بھیج رہے ہیں جو یہ دعویٰ کرتی ہیں کہ یہ ایک لازمی ہارڈ ویئر سیکیورٹی آڈٹ کا حصہ ہیں۔ یہ پیغامات صارفین کو Coldcard کی سرکاری ویب سائٹ کے ایک ہو بہو نقل کردہ جعلی ویب پیج پر لے جاتے ہیں۔
اس جعلی ویب سائٹ پر صارفین کو ایک ایسا سافٹ ویئر ڈاؤن لوڈ کرنے کا کہا جاتا ہے جو بظاہر ایک ضروری اپ ڈیٹ یا سیکیورٹی پیچ معلوم ہوتا ہے۔ حقیقت میں، یہ سافٹ ویئر ریموٹ ایکسیس ٹولز انسٹال کرتا ہے جو حملہ آوروں کو صارف کی نجی چابیاں (private keys) تک رسائی حاصل کرنے اور ان کے ڈیجیٹل اثاثوں کو خالی کرنے کی سہولت دیتے ہیں۔ ان نقصانات کا حجم کافی زیادہ ہے، اور انڈسٹری کے اندازوں کے مطابق اس طرح کے گھپلوں کے نتیجے میں اب تک تقریباً 130 ملین ڈالر کا نقصان ہو چکا ہے۔
اپنے ڈیجیٹل اثاثوں کا تحفظ
ہارڈ ویئر والیٹس کو عام طور پر کرپٹو کرنسی ذخیرہ کرنے کا سب سے محفوظ طریقہ سمجھا جاتا ہے کیونکہ یہ نجی چابیوں کو آف لائن رکھتے ہیں۔ تاہم، یہ ڈیوائسز سوشل انجینئرنگ کے حملوں سے محفوظ نہیں ہیں جو صارفین کو اپنی سیکیورٹی خود ہی کمزور کرنے پر مجبور کرتے ہیں۔ سیکیورٹی ماہرین اس بات پر زور دیتے ہیں کہ ہارڈ ویئر والیٹ بنانے والی کمپنیاں کبھی بھی صارفین سے ای میل لنکس کے ذریعے اپنی سیڈ فریز (seed phrases) درج کرنے یا ریموٹ ایکسیس سافٹ ویئر ڈاؤن لوڈ کرنے کا مطالبہ نہیں کرتیں۔
صارفین کو مشورہ دیا جاتا ہے کہ وہ کسی بھی غیر مطلوبہ ای میل میں دیے گئے لنکس پر کلک کرنے کے بجائے براہ راست مینوفیکچرر کی سرکاری ویب سائٹ پر جا کر تمام مواصلات کی تصدیق کریں۔ ملٹی سگنیچر (multi-signature) کی ضروریات کو فعال کرنا اور ایئر گیپڈ (air-gapped) سائننگ کے طریقوں کا استعمال اس قسم کے ریموٹ ایکسیس حملوں کے خلاف اضافی حفاظتی تہیں فراہم کر سکتا ہے۔ ہمیشہ یقینی بنائیں کہ فرم ویئر اپ ڈیٹ کا عمل مینوفیکچرر کی جانب سے فراہم کردہ آفیشل ڈیسک ٹاپ ایپلیکیشن کے ذریعے ہی مکمل کیا جائے۔
پاکستان میں صورتحال
پاکستان میں کرپٹو کرنسی رکھنے والوں کے لیے، فشنگ کا یہ بڑھتا ہوا رجحان ڈیجیٹل حفظان صحت (digital hygiene) کی اشد ضرورت کو اجاگر کرتا ہے۔ اگرچہ Binance یا OKX جیسے مقامی سطح پر مقبول ایکسچینجز تجارتی مقاصد کے لیے استعمال ہوتے ہیں، لیکن پاکستان میں بہت سے طویل مدتی سرمایہ کاروں نے پلیٹ فارم کے دیوالیہ ہونے کے خطرات کو کم کرنے کے لیے اپنے اثاثے کولڈ اسٹوریج میں منتقل کر دیے ہیں۔ تاہم، بین الاقوامی ہارڈ ویئر والیٹ مینوفیکچررز کے مقامی دفاتر نہ ہونے کی وجہ سے پاکستانی صارفین اکثر ان تکنیکی خطرات سے نمٹنے کے لیے تنہا رہ جاتے ہیں۔
مزید برآں، چونکہ فیڈرل بورڈ آف ریونیو (FBR) ڈیجیٹل اثاثوں کی سرگرمیوں پر مسلسل نظر رکھے ہوئے ہے، اس لیے فشنگ اسکینڈلز کے ذریعے فنڈز کا ضیاع ٹیکس رپورٹنگ کا ایک پیچیدہ چیلنج بھی پیش کرتا ہے۔ اگر کوئی صارف فشنگ کے ذریعے اپنے اثاثے کھو دیتا ہے، تو اسے موجودہ پاکستانی مالیاتی ضوابط کے تحت ان نقصانات کو ٹیکس کٹوتی کے طور پر ظاہر کرنے میں مشکلات کا سامنا کرنا پڑ سکتا ہے۔ مقامی سرمایہ کاروں کے لیے یہ ضروری ہے کہ وہ خود تحویل (self-custody) کی سیکیورٹی کو ترجیح دیں، کیونکہ بین الاقوامی فشنگ گروہوں کے ہاتھوں ضائع ہونے والے اثاثوں کی بازیابی کے لیے فی الحال کوئی مقامی قانونی فریم ورک موجود نہیں ہے۔
چوکنا رہنا ضروری ہے
اپنی کرپٹو کیز کو سنبھالنے والے ہر شخص کے لیے تازہ ترین حملوں کے طریقوں سے باخبر رہنا ایک بنیادی ذمہ داری ہے۔ جیسے جیسے اسکام کرنے والے افراد کارپوریٹ مواصلات کی نقل کرنے میں ماہر ہوتے جا رہے ہیں، سیکیورٹی کا بوجھ مکمل طور پر انفرادی صارف پر منتقل ہوتا جا رہا ہے۔ تمام غیر مطلوبہ خط و کتابت کے حوالے سے شکوک و شبہات پر مبنی رویہ اختیار کر کے، پاکستانی سرمایہ کار اپنی ڈیجیٹل دولت کو ان بڑھتے ہوئے عالمی خطرات سے بہتر طور پر محفوظ رکھ سکتے ہیں۔
نتیجہ: پاکستانی کرپٹو ہولڈرز کو ہارڈ ویئر والیٹ اپ ڈیٹس سے متعلق تمام غیر مطلوبہ ای میلز کو ممکنہ اسکام سمجھنا چاہیے اور اپنے اثاثوں کو محفوظ رکھنے کے لیے صرف مینوفیکچرر کی سرکاری ویب سائٹس سے ہی رابطہ کرنا چاہیے۔
