کوئی کرپٹو ویب سائٹ جعلی ہے یا نہیں، یہ آپ کیسے جان سکتے ہیں؟

پہلی جانچ ٹھیک ڈومین کیوں ہے؟

ڈومین وہ واحد حصہ ہے جسے حملہ آور نقل نہیں کر سکتا۔ صفحے کا ڈیزائن، لوگو اور الفاظ مفت میں نقل ہو سکتے ہیں، مگر ایڈریس بار میں نام اس کا ہے جس نے اسے رجسٹر کیا۔ Kerberus کی 10 اپریل 2026 کی گائیڈ نوٹ کرتی ہے کہ اسکیمرز چھوٹے حروف کی تبدیلیوں کے ساتھ ملتے جلتے ڈومین رجسٹر کرتے ہیں، اور کچھ سیریلک حروف استعمال کرتے ہیں جو لاطینی حروف سے بالکل ایک جیسے لگتے ہیں۔

پہلے سنگل سلیش سے ٹھیک پہلے کا حصہ پڑھیں۔ https://examplecoin.com.claim-rewards.example/start میں سائٹ claim-rewards.example ہے، اور examplecoin.com صرف ایک لیبل ہے جو اس کے سامنے رکھا گیا ہے۔ یہی چال ہائفن والے نام جیسے examplecoin-claim.com کے ساتھ بھی ہوتی ہے، جو examplecoin.com سے ایک الگ ڈومین ہے۔ بہت سے فون لمبے ایڈریس مختصر کر دیتے ہیں، اس لیے فیصلہ کرنے سے پہلے پورا ایڈریس کھولیں۔

کیا پیڈ لاک ثابت کرتا ہے کہ کرپٹو سائٹ اصلی ہے؟

نہیں: پیڈ لاک بتاتا ہے کہ کنکشن انکرپٹڈ ہے، یہ نہیں کہ سائٹ کون چلاتا ہے۔ Blockaid کی 19 مارچ 2026 کی فروری 2026 کے فرنٹ اینڈ ہائی جیکس پر رپورٹ کہتی ہے کہ حملہ آوروں نے حملے کے دن ہر سمجھوتہ شدہ ڈومین کے لیے نئے SSL سرٹیفکیٹ جاری کیے، جن میں ادا شدہ Sectigo سرٹیفکیٹ اور مفت Let's Encrypt اور Google Trust Services سرٹیفکیٹ شامل تھے، اور یہ کہ سرٹیفکیٹس نے سائٹس کو پیڈ لاک کے ساتھ محفوظ دکھایا۔

اسی رپورٹ میں ایک کیس بھی ہے جہاں صارفین کو ایک ملتے جلتے ہوسٹ پر بھیجا گیا جبکہ اصل نام کے لیے وائلڈ کارڈ سرٹیفکیٹ جاری ہوئے، اس لیے ہائی جیک شدہ اصلی ڈومین بھی درست سرٹیفکیٹ دکھا سکتا ہے۔ پیڈ لاک ایک سوال کا جواب دیتا ہے، کہ کیا کوئی تیسرا فریق ٹریفک پڑھ سکتا ہے۔ یہ وہ سوال کھلا چھوڑتا ہے جو آپ کے لیے اہم ہے، کہ کیا اس ایڈریس کا مالک پراجیکٹ ہے۔ Let's Encrypt کا اپنا FAQ صارفین کو کہتا ہے کہ جو سائٹس اس کے سرٹیفکیٹس کا غلط استعمال کریں انہیں Google Safe Browsing اور Microsoft SmartScreen کو رپورٹ کریں۔

ملتے جلتے حروف اور punycode کے بارے میں کیا؟

براؤزرز کچھ ملتے جلتے حروف کو حروف کی جگہ xn-- دکھا کر چھپاتے ہیں، مگر ٹائپ کیا ہوا ایڈریس قابل اعتماد دفاع ہے۔ Chromium کی دستاویزات بتاتی ہیں کہ Chrome ہر ہوسٹ نام کے لیبل کی جانچ کرتا ہے اور جب جانچ ناکام ہو تو punycode دکھاتا ہے: مخلوط رسم الخط جیسے لاطینی کے ساتھ سیریلک یا یونانی، ملتے جلتے حروف، ہندسوں والے ملتے جلتے حروف، اور وہ لیبل جن کا ڈھانچہ کسی اعلیٰ ڈومین سے مطابقت رکھے۔ نتیجہ براؤزر کی زبان کی ترتیب پر منحصر نہیں، اور Chrome کچھ ملتے جلتے نیویگیشنز کے لیے الگ مکمل صفحہ انتباہ بھی دکھاتا ہے۔

ان تحفظات کی حدیں ہیں: دوسرا براؤزر دوسرے قواعد لاگو کر سکتا ہے، اور حملہ آور عام حروف استعمال کر سکتا ہے، جیسے rn کو m کی جگہ۔ طریقہ کار، مثالوں کے ساتھ، IDN ہوموگراف حملہ کیا ہوتا ہے میں ہے، اور ملتے جلتے ناموں کی اہم شکلیں فشرز کون سے ملتے جلتے ڈومینز رجسٹر کرتے ہیں میں ہیں۔

پراجیکٹ کے سرکاری لنکس کہاں سے لیں؟

پراجیکٹ کے اپنے تصدیق شدہ چینلز سے، دو جگہوں پر ملا کر۔ Kerberus سرخ جھنڈیوں میں پہلی یہ بتاتی ہے کہ پراجیکٹ کے تصدیق شدہ چینلز پر کوئی اعلان نہ ہو، اور مشورہ دیتی ہے کہ سرکاری سائٹ بک مارک کریں اور لنکس کی پیروی کرنے کے بجائے براہ راست وہاں جائیں۔ اس ترتیب سے لاگو کریں:

1. اپنے بک مارک سے پراجیکٹ کی سائٹ کھولیں۔
2. کلیم یا mint لنک وہیں پڑھیں، اس پیغام میں نہیں جس نے آپ کو بھیجا۔
3. جانچیں کہ تصدیق شدہ سوشل اکاؤنٹ اسی پتے کو لنک کرتا ہے۔
4. ٹوکن، سپورٹ یا ابتدائی رسائی کی پیشکش کرنے والے براہ راست پیغامات نظر انداز کریں۔
5. seed phrase یا ٹوکن وصول کرنے کی ادائیگی مانگنے والا ہر صفحہ مسترد کریں: Kerberus نوٹ کرتی ہے کہ حقیقی ایئر ڈراپ مفت ہوتے ہیں۔

اگر آپ کسی سائٹ پر شک کریں تو والیٹ نہ جوڑیں۔ فشنگ ڈومین کیسے رپورٹ کریں کے مراحل سے رپورٹ کریں۔

یہ اب کیوں اہم ہے؟

حالیہ Chainalysis ڈیٹا میں امپرسونیشن اسکیمز تیزی سے بڑھی ہیں۔ Chainalysis نے اپنی 13 جنوری 2026 کی رپورٹ میں بتایا کہ امپرسونیشن اسکیمز 2024 کے مقابلے میں 1,400% سے زیادہ بڑھیں، ان گروہوں کو ادا کی گئی اوسط رقم میں 600% سے زیادہ اضافہ ہوا، اور اوسط اسکیم ادائیگی $782 سے بڑھ کر $2,764 ہو گئی۔ Interisle کی 9 ستمبر 2025 کی رپورٹ کے مطابق فشنگ ڈومینز میں سے 77% بدنیتی سے رجسٹر ہوئے، اور مئی 2024 سے اپریل 2025 کے دوران فشنگ میں 1.5 ملین سے زیادہ ڈومین نام استعمال ہوئے۔

ان اعداد سے جعلی سائٹس کی ایسی فراہمی سامنے آتی ہے جسے صارفین ایک ایک کر کے جانچ نہیں سکتے۔ پراجیکٹ کو بھی عمل کرنا ہوگا۔

پراجیکٹ کیا کر سکتا ہے تاکہ صارفین کو جعلی سائٹیں خود پہچاننا نہ پڑیں؟

واضح نام رجسٹر کریں، انہیں سرکاری سائٹ کی طرف اشارہ کریں، اور سرکاری لنکس کی ایک فہرست شائع کریں۔ جو صارف examplecoin.co یا examplecoin.xyz غلط ٹائپ کرتا ہے وہ کسی اجنبی کے صفحے کے بجائے اصل سائٹ پر پہنچتا ہے۔ اس کے ساتھ مرکزی سائٹ پر ایک مختصر "official links" صفحہ رکھیں جسے ہر تصدیق شدہ چینل دہرائے، اور کرپٹو پراجیکٹ کو فشنگ ڈومینز سے کیسے بچائیں کے کنٹرولز کے ساتھ جوڑیں۔

Wardmint کے 12 نومبر 2026 کے سروے کے مطابق، بنیادی سیٹ کے چھ اختتامات (.com, .net, .org, .io, .xyz, .app) $128.94 سالانہ ہیں اور فشرز کے استعمال کرنے والے نو اختتامات $212.41 سالانہ، تجدید کی وہی قیمت۔ Wardmint صرف کسی پراجیکٹ کے اپنے ملتے جلتے ناموں کو رجسٹر کرتا ہے، کسی اور برانڈ کے ملتے جلتے ناموں کو نہیں، اور نگرانی یا takedown نہیں چلاتا؛ گائیڈز مفت ٹولز اور سرکاری رپورٹنگ کے راستے دکھاتی ہیں۔