دو سب سے اہم کرپٹو ریٹائرمنٹ اکاؤنٹ پلیٹ فارمز، بٹ کوائن آئی آر اے اور آئی ٹرسٹ کیپٹل، کو ڈیٹا بریچ کا نشانہ بنایا گیا، جس نے سوشل انجینئرنگ حملوں کی لہر کو فروغ دیا، جس میں آن چین سلیوٹ زیک ایکس بی ٹی نے ان واقعات کو ایک امریکی بنیادی خطرہ فرد، تفانی ملینووچ کے ساتھ جوڑا ہے۔ اب تک کا نقصان: کم از کم 5 ملین امریکی ڈالر کی چوری شدہ کرپٹو کرنسی۔
ایک قربانی نے صرف بٹ کوائن اور ایتھریم میں 1.2 ملین ڈالر کھو دیے، جبکہ اسے ایک جعلی ای میل موصول ہوئی جو بٹ کوائنIRA سے آنے کا دعویٰ کرتی تھی۔ دونوں کمپنیوں نے اس حملوں پر علناً کوئی تصدیق یا تبصرہ نہیں کیا ہے۔
حملوں کیسے کام کرتے تھے
زیک ایک بی ٹی کے ذریعہ اکٹھا کیا گیا ثبوت یہ ظاہر کرتا ہے کہ میلانووچ نے BitcoinIRA اور iTrustCapital دونوں پر صارفین کے ڈیٹا بیسز تک غیر اجازت دسترس حاصل کی، جس سے اسے بہت مخصوص فشنگ مہم چلانے کے لیے ضروری مواد میسر آ گیا۔
ذاتی تفصیلات کے ساتھ، ملینووچ نے صارفین کی مدد کے نمائندگان کا دعویٰ کیا۔ اس نے جعلی ای میلز بھیجے جو اصل پلیٹ فارم کے مواصلات جیسے دکھائی دیتے تھے، اور پھر فون کالز کے ذریعے پیچھا کیا۔ مقصد کلاسک سوشل انجینئرنگ تھا: متاثرین کو ان کے پرائیویٹ کلیدوں اور خفیہ عبارتوں کا انکشاف کرنے پر مجبور کرنا۔
جون میں ایک خاص طور پر مہنگے واقعے میں، ایک قربانی کو بٹ کوائن آئی آر اے سے ایک قانونی ای میل جیسا لگنے والا ای میل ملا۔ یہ جعلی پیغام نے بٹ کوائن اور ethereum کی $1.2 ملین کی قیمت کی چوری کا باعث بنی۔
بڑھتی ہوئی جعلسازی کا وبا
یہ خرابیاں الگ الگ نہیں ہیں۔ فیڈرل بیورو آف انویسٹی گیشن نے 2025 میں ٹیکنالوجی سپورٹ کے دعوے کے متعلق 80,000 شکایات درج کیں، جن کا کل نقصان 2.9 ارب ڈالر تھا۔ چینلیسس نے پچھلے کچھ سالوں میں ایسے دھوکہ بازیوں میں 1,400 فیصد کا اضافہ درج کیا ہے۔
زیک ایکس بی ٹی کی تحقیق نے دونوں پلیٹ فارمز پر ملینووچ کو کم از کم 5 ملین ڈالر کے کریپٹو چوری کا ذمہ دار قرار دیا۔
پلیٹ فارم کی خاموشی سوالات اٹھاتی ہے
اگست کے وسط تک، نہ تو BitcoinIRA نے اور نہ ہی iTrustCapital نے کسی عوامی بیان جاری کیا ہے جس میں خرابیوں کی تصدیق کی گئی ہو، متاثرہ ڈیٹا کے دائرہ کار کا انکشاف کیا گیا ہو، یا متاثرہ صارفین کے لیے درستگی کے اقدامات بیان کیے گئے ہوں۔
یو ایس میں ڈیٹا بریچ کی اطلاع دینے کے قوانین ریاست کے لحاظ سے مختلف ہیں، لیکن زیادہ تر کوئی معقول وقت کے اندر متاثرہ افراد کو اطلاع دینے کا مطالبہ کرتے ہیں۔ ایس ای سی اور ریاستی ریگولیٹرز نے مالیاتی خدمات کے فرماوں، جن میں ڈیجیٹل ایسٹس کے شعبے میں کام کرنے والے بھی شامل ہیں، کے لیے سائبر سیکورٹی کے اعلانات کے حوالے سے توقعات کو سخت کر دیا ہے۔
جو چیزیں سرمایہ کاروں کو دیکھنی چاہییں
کسی بھی ایسے شخص کے لیے جو دونوں پلیٹ فارمز پر اثاثے رکھتا ہے، فوری نتیجہ یہ ہے کہ کسی بھی غیر مطلوبہ مواصلات، ای میل، فون کال یا SMS کو شدید شک کے ساتھ لیں۔ کوئی بھی قانونی صارف سپورٹ نمائندہ آپ کے پرائیویٹ کلید یا خفیہ عبارت کبھی نہیں مانگے گا۔
سرمایہ کاروں کو اپنے کریپٹو ہولڈنگس سے جڑے ہر اکاؤنٹ پر دو مرحلہ تصدیق (two-factor authentication) فعال کرنا چاہیے، جس کے لیے SMS کے بجائے ہارڈویئر مبنی اتھینٹیکیٹر کا استعمال بہتر ہے، کیونکہ SMS کو SIM-swap حملوں کا نشانہ بنایا جا سکتا ہے۔ کسی بھی مواصلات کی تصدیق کے لیے الگ طور پر پلیٹ فارم کی ویب سائٹ پر جانا یا ان کے شائع شدہ سپورٹ نمبر پر فون کرنا بنیادی صحت کا ایک اہم پہلو ہے جو اس صورتحال میں انتہائی ضروری ہو جاتا ہے جہاں حملہ آور پہلے ہی آپ کی ذاتی تفصیلات حاصل کر چکے ہوتے ہیں۔