आपके बिटकॉइन भुगतान आपकी उम्मीद से कहीं ज़्यादा जानकारी उजागर कर सकते हैं

व्यावसायिक नज़रिए से Bitcoin लेनदेन में एक बड़ी समस्या है, जिसके बारे में अक्सर कोई बात नहीं करता। मान लीजिए कि कोई व्यवसाय दोबारा इस्तेमाल किए गए वॉलेट पते से किसी आपूर्तिकर्ता को BTC में भुगतान करता है। तब सामने वाला इनवॉइस से आगे की जानकारी भी देख सकता है।

अभी, जब आप यह पढ़ रहे हैं, कोई प्रतिस्पर्धी ब्लॉक एक्सप्लोरर खोलकर देख सकता है कि आपने अपने पिछले सौदे के लिए Bitcoin में किसे भुगतान किया—कितनी राशि, कब और किस पक्ष को। लेनदेन का पता लगाया जाना उन लोगों के लिए समस्या नहीं है जिनके पास छिपाने के लिए कुछ है। यह व्यवसाय के लिए लगातार बना रहने वाला जोखिम है: कोष की गतिविधियां, साझेदारों के संबंध और सौदों का प्रवाह—ये सब किसी भी ऐसे व्यक्ति के सामने खुले हैं जो इस कड़ी का पीछा करने में एक दोपहर बिताने को तैयार हो।

पहली प्रतिक्रिया यही मानने की होती है कि यह जोखिम ऑन-चेन शुरू होता है—ठीक उस पल, जब आप किसी लेनदेन पर हस्ताक्षर करते हैं। ऐसा नहीं है। जुलाई 2026 में, KU Leuven के DistriNet समूह के शोधकर्ताओं ने सबसे लोकप्रिय 85 ब्राउज़र-एक्सटेंशन वॉलेटों का परीक्षण किया और पाया कि वॉलेट खुद ही अपने उपयोगकर्ताओं की पहचान करने और उनका पीछा करने के लिए पर्याप्त जानकारी लीक करते हैं—इससे पहले कि किसी एक लेनदेन पर भी हस्ताक्षर किया जाए।

बैलेंस दिखाने के लिए वॉलेट किसी बाहरी सर्वर को अनुरोध भेजता है, और उस अनुरोध में पता पहले से ही सादे पाठ में शामिल होता है। इसमें किसी हैक या भेद्यता का फायदा उठाने की ज़रूरत नहीं पड़ती; एक्सटेंशन ठीक वैसे ही काम करते हैं, जैसे उन्हें बनाया गया है। सभी 85 वॉलेटों में, केवल फिंगरप्रिंटिंग की कमजोरी ही 36 वॉलेटों को प्रभावित करती है, जिनमें अध्ययन किए गए इंस्टॉल का लगभग 82% हिस्सा शामिल है—इस खंड के आगे दिए गए हर आँकड़े का आधार यही उपसमूह है।

और यह बात ईमानदार लोगों पर भी लागू होती है। एंडी ग्रीनबर्ग ने क्रिप्टो अपराधों का सबसे सावधानी से लेखा-जोखा रखने में एक दशक बिताया—उन्होंने उन हैकरों, डीलरों और धनशोधकों पर रिपोर्टिंग की, जो ब्लॉकचेन को छिपने की जगह समझते थे, और देखा कि जाँचकर्ता कैसे उन्हें एक-एक करके वहाँ से निकालते गए। उन्हें यह समझने में दस साल लगे कि बिटकॉइन वास्तव में कितना आसानी से ट्रेस किया जा सकता था। जिस लेज़र से उनकी रक्षा होनी थी, वही रिकॉर्ड था जिसने उन्हें दोषी ठहराया।

यह झूठा भरोसा एक ही दिशा में काम करता है—जो लोग मानते हैं कि उन्होंने निजता बनाए रखने के लिए काफी कुछ कर लिया है, उनमें से ज़्यादातर वे होते हैं जिनके पास छिपाने को कुछ था ही नहीं: ऐसा दानदाता जिसका दान देने का पूरा इतिहास अब सार्वजनिक है, ऐसा पत्रकार जिसके स्रोतों का अंदाज़ा भुगतान के रिकॉर्ड से लगाया जा सकता है, और ऊपर बताया गया B2B कारोबारी साझेदार।

इसका लगभग हर पहलू आपके साथ होता है, आपकी वजह से नहीं। इस लेख का बाकी हिस्सा इस जोखिम का पूरा खाका पेश करता है—और उस एक कड़ी को चिह्नित करता है जिसे लिखने का अधिकार कभी आपके पास था।

लेन-देन के अलावा वॉलेट से क्या-क्या लीक होता है

क्रिप्टो वॉलेट आपके कोई लेन-देन करने से पहले ही जानकारी उजागर कर सकता है। आपका बैलेंस दिखाने के लिए, ब्राउज़र वॉलेट आम तौर पर बाहरी सर्वरों से संपर्क करता है और उन्हें आपका वॉलेट पता भेजता है। KU Leuven के शोधकर्ताओं ने ब्राउज़र एक्सटेंशन वाले 85 लोकप्रिय वॉलेट जाँचे, जिनके Chrome Web Store से कुल मिलाकर लगभग 3.5 करोड़ इंस्टॉल हुए थे। उन्होंने पाया कि 36 वॉलेट—जिनसे अध्ययन में शामिल इंस्टॉल का लगभग 82% हिस्सा जुड़ा था—को इस तरीके से पहचाना और उन पर नज़र रखी जा सकती थी।

लगभग 2.3 करोड़ इंस्टॉल वाले सत्रह वॉलेट, एक ही उपयोगकर्ता के अलग-अलग पतों के बीच संबंधों का भी खुलासा कर सकते थे। प्रभावित 36 वॉलेट में से 22 में, उपयोगकर्ता की पहुँच रद्द करने और ब्राउज़र फिर से शुरू करने के बाद भी वेबसाइटें पता पढ़ सकती थीं।

एक और समस्या है। अक्सर वेबसाइटें यह पता लगा सकती हैं कि किसी ने कौन-से वॉलेट एक्सटेंशन इंस्टॉल किए हैं—इसके लिए उपयोगकर्ता को वॉलेट कनेक्ट करने की भी ज़रूरत नहीं होती। शोधकर्ताओं ने यह भी पाया कि प्रभावित 36 वॉलेट में से 23, किसी दूसरी वेबसाइट से लोड की गई सामग्री के ज़रिए पता लीक कर सकते थे, और इसके लिए उपयोगकर्ता को कुछ भी क्लिक करने की ज़रूरत नहीं थी।

शोधकर्ताओं ने जिन ज़्यादातर वॉलेट प्रदाताओं से संपर्क किया, उन्होंने इसे गंभीर बग नहीं माना। Coinbase Wallet, Coin98 और Hana ने बदलाव किए, जबकि MetaMask, Rabby और OKX समेत अन्य ने ऐसा नहीं किया। शोधकर्ताओं ने 30 विकेंद्रीकृत ऐप्स की भी जाँच की और पाया कि उपयोगकर्ताओं के “डिस्कनेक्ट” पर क्लिक करने या लॉग आउट करने पर केवल 11 ने वॉलेट की पहुँच ठीक से रद्द की।

एक बार पता सामने आ जाए, तो सार्वजनिक ब्लॉकचेन से बाकी तस्वीर भी मिल जाती है।

ब्लॉकचेन विश्लेषण करने वाली कंपनियाँ ऐसे लेन-देन के पैटर्न तलाशती हैं जिनसे पता चले कि कई पते एक ही व्यक्ति या संगठन के हैं।

उदाहरण के लिए, अगर कई वॉलेट बार-बार एक-दूसरे को धन भेजते हैं या मिलते-जुलते तरीकों से लेन-देन करते हैं, तो सॉफ़्टवेयर उन्हें एक समूह में रख सकता है। इसलिए एक ज्ञात पता विश्लेषकों को कई अन्य पतों तक पहुँचा सकता है।

यह बड़े पैमाने पर होता है। 2026 के मध्य तक, Chainalysis ने बताया कि उसने 1 अरब से अधिक ब्लॉकचेन पतों को 1,34,000 से ज़्यादा पहचानी गई इकाइयों के समूहों में बाँटा था।

ब्लॉकचेन के बीच धनराशि भेजने से भी ज़रूरी नहीं कि उसका सुराग टूट जाए। विश्लेषक नेटवर्कों के बीच ब्रिज के ज़रिए संपत्तियों का पता लगा सकते हैं। विकेंद्रीकृत एक्सचेंज का इस्तेमाल करने से लेन-देन अपने आप छिप नहीं जाता, क्योंकि स्वैप ब्लॉकचेन पर सार्वजनिक रूप से दर्ज होते हैं।

नतीजा काफ़ी सीधा है: वॉलेट का पता अक्षरों का एक बेतरतीब क्रम लग सकता है, लेकिन जब उसके आसपास पर्याप्त गतिविधियों को आपस में जोड़ लिया जाता है, तो उससे एक विस्तृत वित्तीय प्रोफ़ाइल बनाई जा सकती है।

इसके सफल होने के वास्तविक उदाहरण मौजूद हैं। 2021 में Colonial Pipeline पर हुए रैनसमवेयर हमले के बाद, अमेरिकी जाँचकर्ताओं ने कई वॉलेटों के ज़रिए बिटकॉइन का पता लगाया और 4.4 मिलियन डॉलर की फिरौती में से लगभग 2.3 मिलियन डॉलर बरामद किए।

Helix: छिपने की कोशिश करके भी जिसे धोखा नहीं दिया जा सकता

बिटकॉइन के शुरुआती वर्षों में, डार्कनेट बाज़ारों में Helix बहुत लोकप्रिय था। इसे एक ही काम के लिए बनाया गया था: बिटकॉइन का पता लगाना असंभव बनाना। लैरी डीन हार्मन ने 2014 से 2017 तक इसे मिक्सिंग सेवा के रूप में चलाया। वह ग्राहकों के सिक्कों को मिलाकर यह छिपाता था कि उनके धन का स्रोत क्या था, और मिलने वाले बिटकॉइन को “साफ़” बताकर प्रचारित करता था। इस पूरे मॉडल का आधार छिपाव था। सिक्के के स्रोत और उसके गंतव्य के बीच कड़ी तोड़ने के अलावा इस सेवा का कोई और उद्देश्य नहीं था।

इस सेवा से लगभग 354,468 BTC गुज़रे, जिनकी उस समय कीमत करीब 311 मिलियन डॉलर थी। मिक्सिंग से सुराग का स्वरूप तो बदल गया, लेकिन सुराग मिटा नहीं। हर सिक्के ने ब्लॉकचेन पर एक स्थायी निशान छोड़ा, जिसे बाद में बदला या हटाया नहीं जा सकता था।

हार्मन हर स्वैप पर 2.5% कमीशन लेता था, और वह कमीशन वहीं जाता था जहाँ हर दूसरा कॉइन जाता है: ब्लॉकचेन पर, हमेशा के लिए। छिपाने की सेवा चलाने के लिए उसने जो हिस्सा काटकर रखा, वही उस सेवा के संचालक तक पहुँचने का रिकॉर्ड बन गया। शुरू से ही निशान मिटाने के लिए बनाई गई इस इकलौती सेवा ने अपने मालिक का नाम उसी निशान में दर्ज कर दिया जिसे वह मिटा नहीं सकी।

वॉलेट के लेन-देन के निशान को किसी असली व्यक्ति से कैसे जोड़ा जाता है

हेलिक्स दिखाता है कि बिटकॉइन को इधर-उधर भेजने से ज़रूरी नहीं कि उसका लेन-देन का निशान मिट जाए। लेकिन पैसे का पीछा करना काम का सिर्फ़ आधा हिस्सा है। विश्लेषकों को अब भी उन वॉलेट पतों को किसी असली व्यक्ति या व्यवसाय से जोड़ना होता है।

अक्सर ऐसा तब होता है जब धन किसी विनियमित एक्सचेंज तक पहुँचता है। एक्सचेंज जानते हैं कि कौन-से जमा पते उनके ग्राहकों के हैं और वे KYC जाँच के ज़रिए पहचान के रिकॉर्ड रखते हैं। अगर जाँचकर्ता बिटकॉइन का पता ऐसे किसी पते तक लगा लें, तो वे कानूनी प्रक्रिया के ज़रिए खाते की जानकारी माँग सकते हैं।

यह एक कड़ी किसी एक लेन-देन से कहीं ज़्यादा उजागर कर सकती है। अगर ब्लॉकचेन विश्लेषण से पहले ही कई पतों को संभावित रूप से एक ही मालिक का माना जा चुका हो, तो उनमें से एक की पहचान होने पर पूरे समूह का नाम सामने आ सकता है। एक्सचेंज को शायद सिर्फ़ उस पते की जानकारी हो जो उसके प्लेटफ़ॉर्म से जुड़ा था, लेकिन पहले का विश्लेषण उसे बाकी पतों से जोड़ सकता है।

कभी-कभी कानूनी अनुरोध की भी ज़रूरत नहीं होती। लोग और व्यवसाय अक्सर खुद ही वॉलेट पते प्रकाशित करते हैं—वेबसाइटों, दान पृष्ठों, टेलीग्राम चैट या सार्वजनिक प्रोफ़ाइलों पर। एक बार किसी पते को खुले तौर पर किसी नाम से जोड़ दिया जाए, तो उसके पुराने लेन-देन भी दिखाई देते हैं।

व्यवसायों के लिए, इससे गोपनीयता की एक बुनियादी समस्या पैदा होती है। किसी सप्लायर को किया गया भुगतान, पहले के भुगतानों, कोषागार की गतिविधियों और अन्य लेन-देन करने वाले पक्षों का खुलासा कर सकता है। ब्लॉकचेन के लेन-देन स्थायी होते हैं और उन पर समय की मुहर लगी होती है, इसलिए एक पहचाना गया वॉलेट वर्षों की गतिविधियों का पता लगाना आसान बना सकता है।

ब्लॉकचेन ट्रेसिंग कहाँ गलत हो सकती है

इसका मतलब यह नहीं है कि ब्लॉकचेन विश्लेषण हमेशा सही होता है।

वॉलेट को आपस में जोड़ने के लिए इस्तेमाल की जाने वाली प्रणालियाँ काफी हद तक पैटर्न और संभाव्यता पर निर्भर करती हैं। उनसे गलत सकारात्मक और गलत नकारात्मक नतीजे आ सकते हैं: निर्दोष गतिविधि को संदिग्ध बताया जा सकता है, जबकि संदिग्ध गतिविधि पर ध्यान नहीं जा सकता।

एक समस्या लेन-देन का इतिहास है। बिटकॉइन कई मालिकों के हाथों से गुजर सकता है। अगर सिक्के पहले किसी मिक्सर या जोखिमपूर्ण माने गए वॉलेट से होकर गुज़रे हों, तो बाद के मालिक पर भी वह संदेह आ सकता है—भले ही उसका पहले की गतिविधि से कोई लेना-देना न हो।

एक दर्ज मामले में, एक P2P खरीदार का खाता इसलिए फ्रीज़ कर दिया गया क्योंकि उसे मिले बिटकॉइन उसके मालिक बनने से पहले एक मिक्सर से होकर गुज़रे थे।

एक्सचेंजों और अन्य विनियमित व्यवसायों के लिए, ऐसी गलतियों के व्यावहारिक नुकसान होते हैं। गलत अलर्ट किसी वैध ग्राहक के पैसे रोक सकता है और अनुपालन तथा ग्राहक सहायता से जुड़ी समस्या पैदा कर सकता है।

ट्रेसिंग कंपनियाँ क्या देख सकती हैं, इसकी भी सीमाएँ हैं। मोनेरो जैसी गोपनीयता-केंद्रित क्रिप्टोकरेंसी का पता लगाना अब भी कहीं अधिक कठिन है। जब धन उन देशों के एक्सचेंजों तक पहुँचता है जो जाँच में सहयोग करने से इनकार करते हैं, तो जाँच भी रुक सकती है।

यहाँ तक कि सबसे बड़ी ब्लॉकचेन विश्लेषण कंपनियों ने भी अपने अनुमानों में बड़े सुधार किए हैं। 2025 की शुरुआत में, Chainalysis ने पिछले साल उत्तर कोरिया द्वारा चुराई गई क्रिप्टोकरेंसी का अपना अनुमान 1 अरब डॉलर से घटाकर 660.5 मिलियन डॉलर कर दिया—कई हैक की घटनाओं का दोबारा आकलन करने के बाद 300 मिलियन डॉलर से अधिक का सुधार।

अदालत में भी इन प्रणालियों की विश्वसनीयता पर सवाल उठाए गए हैं। Bitcoin Fog और Tornado Cash समेत मामलों में बचाव पक्षों ने सवाल किया है कि ऐसे स्वामित्व-आधारित सॉफ़्टवेयर के विश्लेषण को कितना महत्व दिया जाना चाहिए, जिसकी बाहरी लोग पूरी तरह जाँच नहीं कर सकते।

यह जाँच-पड़ताल इसलिए मायने रखती है क्योंकि Chainalysis अमेरिकी सरकार का एक बड़ा ठेकेदार भी है। संघीय अभिलेखों पर आधारित स्वतंत्र रिपोर्टिंग के अनुसार, कंपनी को सरकारी ठेकों के रूप में 93.2 मिलियन डॉलर से अधिक मिले थे।

गलत नतीजे का सबसे बड़ा जोखिम निर्दोष उपयोगकर्ताओं पर पड़ता है। गलत संबंध के कारण किसी खाते को फ़्रीज़ किया जा सकता है। कमज़ोर सुरक्षा वाले देशों में, यही ट्रेसिंग टूल दानदाताओं, पत्रकारों या राजनीतिक विपक्ष को धन देने वाले लोगों की पहचान उजागर कर सकते हैं। ब्लॉकचेन ट्रेसिंग से बहुत कुछ पता चल सकता है, लेकिन इसके नतीजे को कभी भी अपने आप सही नहीं मानना चाहिए।

ट्रेल का वह एक हिस्सा जिस पर उपयोगकर्ता अब भी नियंत्रण रख सकते हैं

ऊपर बताए गए जोखिमों का अधिकांश हिस्सा उपयोगकर्ता के नियंत्रण से बाहर होता है। लेन-देन होने से पहले ही वॉलेट पते उजागर कर सकते हैं। ब्लॉकचेन विश्लेषण कई पतों को आपस में जोड़ सकता है, और विनियमित एक्सचेंज KYC रिकॉर्ड के ज़रिए उन वॉलेट को किसी वास्तविक पहचान से जोड़ सकते हैं।

उपयोगकर्ता जिस हिस्से पर अब भी नियंत्रण रख सकते हैं, वह प्रेषक और प्राप्तकर्ता के बीच का सीधा संबंध है। जब एक वॉलेट दूसरे वॉलेट को भुगतान करता है, तो यह संबंध ब्लॉकचेन पर स्थायी रूप से दर्ज हो जाता है और बाद में इससे लेन-देन के दूसरे पक्षों, ट्रेज़री में हुए लेन-देन और कारोबारी संबंधों का पता चल सकता है।

ChangeNOW ने इस सीधे संबंध को हटाने के लिए Private Transfers शुरू किया। यह सुविधा भुगतान को एक अलग, केवल एक बार इस्तेमाल होने वाले पते से भेजती है, ताकि प्राप्तकर्ता को प्रेषक से सीधे धनराशि न मिले। इससे प्रेषक से प्राप्तकर्ता तक दिखने वाला सीधा रास्ता टूट जाता है, लेकिन यह दावा नहीं किया जाता कि इससे व्यापक लेन-देन गुमनाम हो जाता है।

अन्य जोखिम फिर भी बने रहते हैं। वॉलेट का मेटाडेटा अब भी लीक हो सकता है, ब्लॉकचेन विश्लेषण से आसपास की गतिविधियों का पता लगाया जा सकता है, और जमा, ट्रांसफ़र तथा भुगतान के चरणों में AML जाँचें लागू रहती हैं।

API पार्टनर्स के लिए, Private Transfers मौजूदा ट्रांसफ़र इन्फ्रास्ट्रक्चर में एक वैकल्पिक सुविधा है। यह उसी API key और शुल्क मॉडल का इस्तेमाल करती है और इसके लिए अलग उत्पाद या इंटीग्रेशन की ज़रूरत नहीं होती। इसका उद्देश्य सीमित है: उस एक दिखने वाले संबंध को हटाना, जिसे उपयोगकर्ता न बनाने का विकल्प चुन सकते हैं।

स्रोत: BeInCrypto