KYC डेटा लीक से क्रिप्टो होल्डर्स खतरे में: Bitcoin प्राइवेट कैसे रखें

30 जून 2025 को फ्रांस के जांचकर्ताओं ने पेरिस के पास काम करने वाली 32 साल की एक टैक्स अधिकारी को हिरासत में लिया। अभियोजकों का आरोप है कि उसने सरकारी टैक्स सॉफ्टवेयर से लोगों के घर के पते निकाले और ये जानकारी अपराधियों को दे दी। रिपोर्टों के मुताबिक, जिन प्रोफ़ाइलों को खंगाला गया, उनमें ऐसे लोग भी थे जिनके पास बड़ी मात्रा में क्रिप्टोकरेंसी होने का शक था। वह इस बात से इनकार करती है कि उसे पता था कि जानकारी का इस्तेमाल किस लिए होगा। मामले की जांच अभी जारी है।

एक साल बाद फ्रांस तथाकथित रेंच अटैक (wrench attack) का दुनिया में सबसे बड़ा केंद्र बन चुका था। यानी अपहरण, घर में घुसकर लूट और मारपीट, ताकि क्रिप्टो होल्डर्स अपने कॉइन सौंप दें। इसका सबक एक देश तक सीमित नहीं है। जब आपके नाम को आपके Bitcoin से जोड़ने वाला कोई डेटाबेस लीक होता है, तो खतरा सिर्फ़ ऑनलाइन नहीं रहता।

एक टैक्स फ़ाइल जो निशानों की सूची बन गई

फ्रांसीसी मीडिया में इस टैक्स अधिकारी की पहचान Ghalia C. के रूप में हुई है। Gizmodo की रिपोर्ट के अनुसार, उस पर हिंसा में मिलीभगत और आपराधिक साज़िश का आरोप है। जनवरी 2026 में पेरिस की एक अपील अदालत ने उसकी रिहाई की अर्ज़ी ठुकरा दी। उसका मामला एक बड़े पैटर्न का बस एक हिस्सा है। हिंसा पहले ही इंडस्ट्री के सबसे जाने-माने नामों तक पहुंच चुकी थी। जनवरी 2025 में Ledger के सह-संस्थापक David Balland को मध्य फ्रांस में उनके घर से अगवा कर लिया गया। DL News ने बताया कि पुलिस ने उन्हें अगले दिन छुड़ा लिया।

जनवरी 2026 में फ्रांस के क्रिप्टो टैक्स प्लेटफ़ॉर्म Waltio ने फिरौती वसूलने की एक कोशिश का खुलासा किया। अपराधी लगभग 50,000 अकाउंट से जुड़ा डेटा ले उड़े थे। DL News के अनुसार, चोरी हुई फ़ाइलों में 2024 की टैक्स रिपोर्टें थीं, जिनमें ईमेल पते, मुनाफ़ा, नुकसान और साल के आखिर का एसेट बैलेंस दर्ज था। फ्रांसीसी अधिकारियों ने यूज़र्स को संभावित शारीरिक अटैक के बारे में आगाह किया।

फिर अगस्त 2026 में फ्रांस के टैक्स प्रशासन ने पुष्टि की कि हैकरों ने कर्मचारियों के चोरी हुए लॉगिन से लगभग 678,000 करदाताओं के रिकॉर्ड तक पहुंच बनाई। बताए गए डेटा में नाम, पते और संदर्भ आय शामिल थे। Unchained की रिपोर्ट के मुताबिक, इनमें से लगभग 27,000 लोगों ने सालाना कम से कम €100,000 की आय घोषित की थी।

इसके बाद के आंकड़े चौंकाने वाले हैं:

• 41 अपहरण: 2026 के पहले साढ़े तीन महीनों में फ्रांस में क्रिप्टो होल्डर्स के इतने अपहरण हुए, यह आंकड़ा राष्ट्रीय संगठित अपराध अभियोजक ने दिया।
• 46 में से 30: 2026 की पहली छमाही में दुनिया भर में दर्ज हिंसक क्रिप्टो अटैक में से इतने फ्रांस में हुए, Decrypt द्वारा बताए गए Chainalysis के डेटा के अनुसार।
• $30 million से ज़्यादा: छह महीनों में इन अटैक में इतनी रकम लूटी गई।

Chainalysis का कहना है कि टैक्स रिकॉर्ड में सेंध से शायद उन लोगों का दायरा बढ़ गया, जिन्हें अपराधी निशाना बना सकते थे। वह यह भी बताता है कि पीड़ितों तक अक्सर लीक, सोशल मीडिया या अंदरूनी सूचना के ज़रिए पहुंचा जाता है। मतलब, अपराधियों को कोई ब्लॉकचेन तोड़ने की ज़रूरत नहीं पड़ी। उन्हें बस एक नाम चाहिए था, जिसके आगे बैलेंस लिखा हो।

सिर्फ़ फ्रांस नहीं: वे लीक जिनसे क्रिप्टो होल्डर्स उजागर हुए

फ्रांस सबसे बड़ा उदाहरण है, पर यही कहानी बैंकों, एक्सचेंजों, वॉलेट बनाने वाली कंपनियों और सर्विस प्रोवाइडरों में दोहराई जा रही है। नीचे की तालिका में कुछ सबसे अच्छी तरह दर्ज मामले हैं।

Ledger: वह लीक जिससे घर तक धमकियां पहुंचने लगीं

2020 में Ledger के मार्केटिंग डेटाबेस में सेंध से हार्डवेयर वॉलेट खरीदारों की संपर्क जानकारी उजागर हो गई। Cointelegraph के मुताबिक, जब पूरी फ़ाइल एक हैकिंग फ़ोरम पर आई, तो उसमें 272,000 घर के पते थे। जल्द ही ग्राहकों को फ़िशिंग ईमेल आने लगे। कुछ को धमकी भरे पत्र भी मिले, जिनमें Bitcoin में पैसे मांगे गए थे। कॉइन बचाने के लिए डिवाइस खरीदना ही खरीदारों को संभावित होल्डर्स की सूची में डाल चुका था।

Revolut: एक कर्मचारी को धोखा, 50,000 ग्राहक प्रभावित

सितंबर 2022 में एक अपराधी ने एक कर्मचारी को बहलाकर Revolut के सिस्टम में घुसपैठ की। 50,150 ग्राहकों की निजी जानकारी उजागर हो गई। Which? के अनुसार, जल्द ही बैंक की नकल करने वाले फ़िशिंग मैसेज आने लगे। कोई पैसा नहीं गया। फिर भी, एक क्रिप्टो-फ़्रेंडली बैंक के ग्राहकों के नाम और डाक पते अब अपराधियों के हाथ में थे।

Coinbase: जब अंदर के लोग ही डेटा बेच दें

मई 2025 में Coinbase ने खुलासा किया कि अपराधियों ने विदेश में बैठे सपोर्ट एजेंटों को रिश्वत देकर ग्राहकों के रिकॉर्ड कॉपी करवाए। The Register के अनुसार, चोरी हुआ डेटा 69,461 लोगों का था और उसमें सरकारी ID की तस्वीरें भी थीं। इसके बाद अपराधियों ने $20 million मांगे। Coinbase ने भुगतान से इनकार किया और इस घटना की लागत $400 million तक आंकी। रिपोर्टों के मुताबिक, इस डेटा का इस्तेमाल कर्मचारी बनकर टारगेटेड स्कैम करने में हुआ।

Kroll: दिवालिया क्लेम बन गया सुराग

अगस्त 2023 में Kroll के एक कर्मचारी पर SIM स्वैप अटैक से उन लोगों का डेटा उजागर हुआ, जो डूब चुकी लेंडिंग कंपनियों FTX, BlockFi और Genesis से अपने पैसे का क्लेम कर रहे थे। Help Net Security के अनुसार, कुछ क्लेम करने वालों के नाम, पते और अकाउंट बैलेंस इस लीक में दिखे। ये वे लोग थे जो पहले ही पैसा गंवा चुके थे। अब उनके बचे हुए क्लेम भी सबके सामने थे।

KYC डेटा लीक पासवर्ड लीक से ज़्यादा नुकसानदेह क्यों है

ज़्यादातर डेटा ब्रीच बुरे होते हैं। लेकिन नो-योर-कस्टमर यानी KYC डेटा की बात ही अलग है, और इसकी तीन वजहें हैं।

यह कभी पुराना नहीं होता। लीक हुआ पासवर्ड एक मिनट में बदला जा सकता है। पासपोर्ट नंबर, चेहरे का स्कैन या घर का पता नहीं। एक बार KYC रिकॉर्ड लीक हो गया, तो वह सालों तक अपराधियों के काम आता है।

यह पहचान को पैसे से जोड़ता है। एक्सचेंज का रिकॉर्ड सिर्फ़ यह नहीं बताता कि आप कौन हैं। वह यह भी बताता है कि आपके पास क्या है, आपने उसे कहां विड्रॉ किया और कब। लुटेरे को टारगेट चुनने के लिए ठीक यही जोड़ चाहिए।

ब्लॉकचेन सब कुछ याद रखता है। अगर लीक हुए रिकॉर्ड में आपका कोई एक वॉलेट एड्रेस है, तो कोई भी उस वॉलेट का आगे का पूरा इतिहास देख सकता है। हर पेमेंट, हर ट्रांसफ़र और उससे फ़ंड किया गया हर नया एड्रेस आपकी प्रोफ़ाइल का हिस्सा बन जाता है। एक अकेला लीक सालों की गतिविधि उजागर कर सकता है।

यूरोप के वित्तीय अपराध नियमों के तहत रेगुलेटेड कंपनियां आम तौर पर अकाउंट बंद होने के बाद भी कम से कम पांच साल तक ग्राहक रिकॉर्ड रखती हैं। इसलिए अकाउंट बंद करने से आप डेटाबेस से बाहर नहीं हो जाते।

स्प्रेडशीट से दरवाज़े तक: लीक कैसे अटैक में बदलता है

जांचकर्ता घटनाओं का एक बार-बार दोहराया जाने वाला सिलसिला बताते हैं। पहले, कोई लीक या अंदर का आदमी नामों, पतों और अकाउंट डेटा की सूची तैयार करता है। फिर खरीदार इस सूची में से उन लोगों को छांटते हैं जिनके पास क्रिप्टो होने की संभावना है, अक्सर बैलेंस या आय के आधार पर। इसके बाद वे टारगेट की पुष्टि करते हैं, कभी-कभी किसी पब्लिक ब्लॉक एक्सप्लोरर पर किसी ज्ञात वॉलेट को ट्रेस करके। आखिर में, किराए का गिरोह दरवाज़े पर पहुंच जाता है।

Chainalysis ने इन गिरोहों के बारे में कहा कि वे "हिंसा के मौके पर अनाड़ी, लेकिन दोनों छोरों पर पेशेवर" होते हैं। रिसर्च, डेटा की खरीद और चुराए गए कॉइन को कैश में बदलना, सब सुनियोजित होता है। सिर्फ़ घर में घुसने का काम भद्दा होता है।

Bitcoin डेवलपर Jameson Lopp एक दशक से भी ज़्यादा पुराने क्रिप्टो होल्डर्स पर शारीरिक अटैक का सार्वजनिक रिकॉर्ड रखते हैं। इसमें लगातार बढ़ोतरी दिखती है, और 2025 ने रिकॉर्ड बनाया। कई मामलों में एक बात साझा है: अपराधी जानता था कि पीड़ित कौन है और उसके पास मोटे तौर पर कितना है।

असली उपाय: लीक हुआ डेटा कहीं तक न पहुंचाए

कोई भी व्यक्ति किसी टैक्स ऑफ़िस, बैंक या एक्सचेंज में सेंध को रोक नहीं सकता। लेकिन लीक हुआ डेटा क्या बताएगा, यह हर कोई तय कर सकता है। लक्ष्य सीधा है: लीक हुआ रिकॉर्ड ऐसे वॉलेट तक ले जाए जो खाली हो, बंद हो या आपकी बचत से उसका कोई लेना-देना न हो।

इसका मतलब है दो दुनियाओं के बीच एक स्पष्ट दूरी बनाए रखना:

• पहचान वाली दुनिया: एक्सचेंज अकाउंट, बैंक कार्ड और हर वह वॉलेट जिसमें कभी KYC वाला विड्रॉल आया हो। मानकर चलें कि यह सब एक दिन लीक होगा।
• निजी दुनिया: वे वॉलेट जिनमें असल में आपकी बचत रहती है या जिनसे आप रोज़ के पेमेंट करते हैं। इनमें से किसी का भी पहचान वाली दुनिया से कोई ऑन-चेन संबंध नहीं होना चाहिए।

एक बिटकॉइन मिक्सर यही दूरी बनाता है। कॉइन एक्सचेंज से जुड़े एड्रेस से निकलकर एक वन-टाइम मिक्स एड्रेस पर जाते हैं। कुछ घंटों बाद, आपके तय किए समय पर, नए कॉइन एक नए वॉलेट में पहुंचते हैं, जिसका पुराने वॉलेट से कोई दिखने वाला संबंध नहीं होता। अगर बाद में एक्सचेंज का डेटाबेस लीक होता है, तो निशान मिक्सर पर खत्म हो जाता है। आपका बचत वाला वॉलेट उसमें कभी नहीं दिखता।

लीक हुआ रिकॉर्ड क्या बताता है: दूरी के साथ और बिना दूरी के

पहली दो पंक्तियां लीक के बाद ठीक नहीं की जा सकतीं। आखिरी तीन की जा सकती हैं। यही तीन किसी अपराधी को बताती हैं कि आप निशाना बनाने लायक हैं या नहीं।

अगर आपका डेटा किसी लीक में था तो क्या करें

अगर कोई कंपनी बताती है कि आपका डेटा उजागर हुआ है, तो शांत रहें, पर जल्दी कदम उठाएं।

1. हर संपर्क को संदिग्ध मानें। लीक के बाद फ़िशिंग आती है। कोई असली कंपनी आपसे सीड फ़्रेज़, प्राइवेट की या रिमोट सेशन नहीं मांगेगी।
2. ज्ञात एड्रेस से फ़ंड हटाएं। लीक हुए अकाउंट से जुड़े हर वॉलेट को सार्वजनिक मानें। उसका बैलेंस मिक्सर के ज़रिए एक बिल्कुल नए वॉलेट में भेजें।
3. उजागर हुए वॉलेट दोबारा इस्तेमाल न करें। उन पर नए पेमेंट न लें। उनसे सीधे नए वॉलेट में फ़ंड न भेजें।
4. अपनी सार्वजनिक मौजूदगी घटाएं। होल्डिंग्स का इशारा देने वाली पोस्ट हटा दें। ऐसे क्रिप्टो मर्चेंडाइज़ या वॉलेट के डिब्बों से बचें जो बताते हों कि आपके पास क्या है।
5. हार्डवेयर वॉलेट या क्रिप्टो से जुड़ी किसी भी चीज़ के लिए अलग डिलीवरी पता इस्तेमाल करें, जैसे कोई मेलबॉक्स सर्विस या ऑफ़िस का पता।
6. अपनी होल्डिंग्स बांटकर रखें। आसानी से पहुंच वाले वॉलेट में थोड़ा ही बैलेंस रखने से दबाव में कोई जितना मांग सकता है, वह सीमित रहता है।

वॉलेट से जुड़ी बातें विस्तार से जानने के लिए Bitcoin प्राइवेसी गाइड पढ़ें। Ethereum यूज़र्स के लिए लिंक होने के अतिरिक्त खतरे हैं, जिन्हें Ethereum प्राइवेसी गाइड में समझाया गया है।

अक्सर पूछे जाने वाले सवाल

KYC डेटा लीक क्या है?

यह उन पहचान रिकॉर्ड का उजागर होना है, जो किसी वित्तीय कंपनी ने अपने ग्राहकों की पुष्टि के लिए जुटाए थे। इनमें अक्सर नाम, पते, ID दस्तावेज़, सेल्फ़ी और अकाउंट बैलेंस होते हैं। लीक हैकिंग, धोखा खाए कर्मचारियों, रिश्वत लेने वाले अंदर के लोगों या लापरवाह थर्ड-पार्टी वेंडरों के ज़रिए होते हैं।

किन क्रिप्टो कंपनियों का ग्राहक डेटा लीक हुआ है?

अच्छी तरह दर्ज मामलों में 2020 में Ledger, 2023 में Kroll का दिवालिया क्लेम डेटा, 2025 में Coinbase और 2026 में Waltio शामिल हैं। Revolut जैसे बैंकों में भी सेंध लग चुकी है। फ्रांस के टैक्स प्रशासन जैसे सरकारी डेटाबेस भी इसकी चपेट में आए हैं।

रेंच अटैक (Wrench Attack) क्या है?

रेंच अटैक एक शारीरिक अटैक है, जिसका मकसद किसी को अपना क्रिप्टो सौंपने पर मजबूर करना होता है। यह नाम इस विचार से आया है कि एक मामूली औज़ार सबसे मज़बूत एन्क्रिप्शन को भी मात दे सकता है। अपहरण और घर में घुसकर लूट इसके सबसे आम रूप हैं।

क्या मैं एक्सचेंज से अपना KYC डेटा डिलीट करने को कह सकता हूं?

आम तौर पर तुरंत नहीं। रेगुलेटेड कंपनियों को ग्राहक रिकॉर्ड कई साल तक रखने होते हैं, अक्सर अकाउंट बंद होने के बाद कम से कम पांच साल। व्यावहारिक सुरक्षा यही है कि वह डेटा अब आपके मौजूदा वॉलेट तक न पहुंचाए।

लीक के बाद मिक्सर कैसे मदद करता है?

मिक्सर एक्सचेंज से जुड़े एड्रेस और एक नए वॉलेट के बीच का ऑन-चेन संबंध तोड़ देता है। लीक हुए रिकॉर्ड में आपका नाम और पुराना विड्रॉल एड्रेस अब भी दिख सकता है। लेकिन वह अब उस जगह तक नहीं ले जाता जहां आपके कॉइन अभी हैं।

क्या सुरक्षित रहने के लिए हार्डवेयर वॉलेट काफ़ी है?

यह आपकी प्राइवेट की को मैलवेयर से दूर रखता है। आपका बैलेंस और आपकी पहचान ठीक पहले जितनी ही दिखती है। जैसा Ledger के मामले में दिखा, उसे खरीदना भी आपका पता किसी सूची में डाल सकता है।

स्रोत

• French tax agent allegedly sold personal data of crypto users to criminals, Gizmodo
• French tax agency breach exposes about 678,000 taxpayers, Unchained
• Hackers extort French crypto firm Waltio, DL News
• Crypto wrench attacks: $30M stolen in 2026, Decrypt
• Ledger data leak exposed 270K crypto wallet buyers, Cointelegraph
• Revolut data hack: what you need to know, Which?
• Coinbase confirms insiders handed over data of 70K users, The Register
• Kroll SIM-swap attack: FTX, BlockFi and Genesis clients' info exposed, Help Net Security
• Ledger co-founder David Balland and wife kidnapped in France, DL News
• Physical Bitcoin attacks log, Jameson Lopp
• Know your customer, Wikipedia