क्या Phantom Wallet सुरक्षित है?
Phantom एक बड़े पैमाने पर इस्तेमाल होने वाला self-custody वॉलेट है जिसमें ट्रांज़ैक्शन प्रीव्यू, खतरनाक साइट की चेतावनी, Ledger सपोर्ट, थर्ड-पार्टी ऑडिट और bug bounty है, और सार्वजनिक रिपोर्टिंग में इसके अपने सिस्टम में ऐसी कोई सेंधमारी नहीं दिखती जिससे यूज़र्स के वॉलेट drain हुए हों। जो Phantom यूज़र्स फंड गँवाते हैं, उनमें से ज़्यादातर नकली Phantom ऐप्स और साइटों, नकली सपोर्ट, drainer साइटों, address poisoning और लीक हुए recovery phrase की वजह से गँवाते हैं। यह कितना सुरक्षित है, यह काफ़ी हद तक इस पर निर्भर करता है कि आप इसे कैसे इस्तेमाल करते हैं।
"सुरक्षित" के दो हिस्से हैं: क्या वॉलेट सॉफ़्टवेयर आपकी keys को सुरक्षित रखता है, और क्या आप इसके यूज़र्स को निशाना बनाने वाले स्कैम से बच सकते हैं। पहले हिस्से में Phantom ठीक-ठाक प्रदर्शन करता है। दूसरा हिस्सा वह है जहाँ लगभग सारे नुकसान होते हैं। यह पेज तारीख वाले तथ्यों के साथ दोनों को कवर करता है। Ghostlight Guide स्वतंत्र है और Phantom से कोई भुगतान नहीं लेता।
Phantom आपके फंड की सुरक्षा कैसे करता है
आपकी keys आपके पास रहती हैं
Phantom self-custody है। आपका recovery phrase और private keys आपके डिवाइस पर बनते हैं और आपके पासवर्ड से सुरक्षित रहते हैं। Phantom आपके फंड अपने पास नहीं रखता और उन्हें ट्रांसफ़र नहीं कर सकता। इसका दूसरा पहलू यह है कि आपके द्वारा साइन किए गए ट्रांज़ैक्शन को कोई reverse नहीं कर सकता और खोया हुआ phrase कोई restore नहीं कर सकता।
ट्रांज़ैक्शन प्रीव्यू और चेतावनियाँ
साइन करने से पहले Phantom ट्रांज़ैक्शन को simulate करता है और अपेक्षित बैलेंस बदलाव दिखाता है। यह साइट को खतरनाक डोमेन की एक blocklist से भी मिलाता है। Phantom के डेवलपर डॉक्यूमेंटेशन में ऐसी चेतावनियाँ दी गई हैं जैसे This dApp could be malicious. Do not proceed unless you are certain it is safe. (यह dApp खतरनाक हो सकता है) और This domain is new or has not been reviewed yet. Proceed with caution. (यह डोमेन नया है या इसकी समीक्षा नहीं हुई है)। अगर आपको पहली चेतावनी दिखे, तो रुक जाएँ। देखें Phantom की malicious dapp चेतावनियों की जानकारी।
नवंबर 2024 में Phantom ने Blowfish को खरीदा, जो इसके ट्रांज़ैक्शन प्रीव्यू के पीछे की कंपनी है। Phantom के अनुसार Blowfish ने 2.8 मिलियन स्कैम रोके थे और 1.3 बिलियन ट्रांज़ैक्शन स्कैन किए थे (Phantom blog)। इसे एक सेफ़्टी नेट समझें, गारंटी नहीं: रोज़ नई drainer साइटें आती हैं, और अगर आप अपना recovery phrase सौंप दें तो कोई प्रीव्यू आपको नहीं बचा सकता।
हार्डवेयर वॉलेट सपोर्ट
आप Phantom एक्सटेंशन या मोबाइल ऐप से Ledger कनेक्ट कर सकते हैं। तब ट्रांज़ैक्शन के लिए डिवाइस पर फ़िज़िकल कन्फ़र्मेशन ज़रूरी होता है, इसलिए आपके कंप्यूटर का malware अपने-आप फंड ट्रांसफ़र नहीं कर सकता। देखें Ledger के साथ Phantom।
स्पैम फ़िल्टरिंग
Phantom कई स्पैम टोकन और NFT छिपा देता है और आपको अनचाहे NFT रिपोर्ट और burn करने देता है। स्कैम airdrop लोगों को drainer साइटों पर ले जाने का एक आम तरीका है, इसलिए किसी अनपेक्षित टोकन या NFT पर लिखे लिंक पर कभी न जाएँ।
ऑडिट, bug bounty और open source
Phantom के वॉलेट ऐप्स open source नहीं हैं, इसलिए आप कोड की खुद जाँच नहीं कर सकते। इसकी जगह Phantom बाहरी समीक्षा पर निर्भर करता है। Least Authority ने जून 2024 में Phantom के मोबाइल और एक्सटेंशन कोड पर अंतिम ऑडिट रिपोर्ट पब्लिश की। Phantom 1 जुलाई 2026 से Cantina पर एक सार्वजनिक bug bounty चलाता है, जिसमें गंभीर समस्याओं के लिए 100,000 डॉलर तक के इनाम हैं (Cantina, 2026)। इसकी खतरनाक डोमेन की blocklist GitHub पर सार्वजनिक है।
जनवरी 2025 में एक सिक्योरिटी रिसर्चर ने एक अप्रकाशित vulnerability रिपोर्ट को लेकर Phantom की सार्वजनिक आलोचना की। Phantom ने धीमे संवाद के लिए माफ़ी माँगी और कहा कि इस समस्या से फंड को कोई खतरा नहीं था; कोई तकनीकी जानकारी पब्लिश नहीं की गई (CryptoSlate, 2025)।
सुरक्षा रिकॉर्ड
| तारीख | घटना | नतीजा |
|---|---|---|
| जून 2022 | Halborn का "Demonic" खुलासा: ब्राउज़र session restore की वजह से Phantom सहित कई वॉलेट में recovery phrase डिस्क पर स्टोर हो सकते थे | कंप्यूटर तक पहुँच ज़रूरी थी; किसी exploit की रिपोर्ट नहीं; Phantom पहले ही पैच कर चुका था (Halborn; CoinDesk, 2022) |
| अगस्त 2022 | 9,230 Solana वॉलेट से लगभग 4 मिलियन डॉलर drain हुए | वजह Slope वॉलेट निकली; Phantom को अपने सिस्टम में कोई compromise नहीं मिला (The Block, 2022) |
| जून 2024 | किसी दूसरे डेवलपर का नकली "Phantom" ऐप App Store सर्च ऐड के ज़रिए प्रमोट हुआ; एक पीड़ित ने 100,000 डॉलर से ज़्यादा गँवाने की रिपोर्ट की | नकल (impersonation), Phantom की खामी नहीं (CryptoSlate, 2024) |
| नवंबर 2024 | iOS अपडेट से ऐप रीसेट हुए | जिन यूज़र्स के पास recovery phrase का बैकअप नहीं था, वे restore करने तक एक्सेस खो बैठे (The Block, 2024) |
| फ़रवरी 2025 | नकली "update extension" रिक्वेस्ट और recovery phrase माँगने वाले नकली Phantom पॉप-अप (Scam Sniffer) | यूज़र्स को निशाना बनाने वाली phishing (Cointelegraph, 2025) |
| अप्रैल 2025 | 500,000 डॉलर से ज़्यादा के टोकन की चोरी के बाद key-handling की खामी का आरोप लगाने वाला मुकदमा | Phantom: "entirely without merit" (पूरी तरह निराधार); कोई फ़ैसला नहीं मिला (Decrypt, 2025) |
| फ़रवरी 2026 | Address poisoning जिसे जाँचकर्ता ZachXBT ने Phantom की बिल्ट-इन चैट से जोड़ा; एक पीड़ित ने wBTC में लगभग 264,000 डॉलर गँवाए | Address poisoning आपको हमशक्ल एड्रेस पर भेजने के लिए बहकाता है; इससे keys उजागर नहीं होतीं (Cointelegraph, 2026) |
| 6 अप्रैल 2026 | आउटेज जिसमें गलत कीमतें और बैलेंस दिखे | उसी शाम ठीक हुआ; Phantom ने कहा कि फंड प्रभावित नहीं हुए (The Block, 2026) |
दूसरे आउटेज सहित पूरी लिस्ट Phantom सिक्योरिटी हिस्ट्री पर है। आउटेज कुछ समय के लिए आपकी ट्रेडिंग रोक सकता है, जो एक्टिव ट्रेडिंग करने वालों के लिए मायने रखता है, लेकिन यह फंड चोरी होने जैसा नहीं है। नवंबर 2024 के iOS रीसेट दिखाते हैं कि कुछ चोरी न होने पर भी recovery phrase का लिखित बैकअप क्यों ज़रूरी है।
Phantom यूज़र्स असल में फंड कैसे गँवाते हैं
- नकली डाउनलोड। एक्सटेंशन या ऐप की कॉपियाँ, जो अक्सर सर्च ऐड या फ्री होस्टिंग साइटों पर "official download" पेजों के ज़रिए मिलती हैं, recovery phrase टाइप करते ही उसे चुरा लेती हैं।
- नकली सपोर्ट। Phantom की कोई फ़ोन लाइन नहीं है, और Phantom कहता है कि उसका सपोर्ट कभी पहले आपसे संपर्क नहीं करेगा। नकली नंबर और चैट विंडो आपसे अपने phrase से वॉलेट "verify" या "sync" करने को कहते हैं। देखें Phantom सपोर्ट फ़ोन स्कैम।
- Drainer साइटें। नकली airdrop, mint और टोकन क्लेम आपसे ऐसा ट्रांज़ैक्शन साइन करवाते हैं जो सब कुछ हमलावर को भेज देता है।
- नकली पॉप-अप। ऐसे वेब पेज जो ब्राउज़र टैब के अंदर Phantom विंडो की नकल करते हैं और phrase माँगते हैं।
- Address poisoning। हमशक्ल एड्रेस से छोटे ट्रांसफ़र या चैट मैसेज ताकि आप गलत एड्रेस कॉपी कर लें।
- लीक हुए phrase। फ़ोटो, क्लाउड नोट्स, breach हुए पासवर्ड मैनेजर, या "मदद" करने वाले किसी व्यक्ति के साथ शेयर किया गया phrase।
इन सभी की उदाहरणों के साथ जानकारी नकली Phantom स्कैम में है।
नियम जो ज़्यादातर नुकसान रोकते हैं
- Phantom कभी आपका recovery phrase नहीं माँगता। न अपडेट के लिए, न verify, sync, unlock या कुछ क्लेम करने के लिए। इसे टाइप करने की एकमात्र जगह वॉलेट restore करते समय असली Phantom ऐप है।
- Phantom सिर्फ़ आधिकारिक स्रोतों से लें। phantom.com टाइप करें या बुकमार्क इस्तेमाल करें। हमारे डाउनलोड चेकर से एक्सटेंशन ID या ऐप लिस्टिंग चेक करें।
- अपना phrase ऑफ़लाइन रखें। कागज़ या मेटल पर, कभी स्क्रीनशॉट, ईमेल या क्लाउड नोट में नहीं।
- दो वॉलेट इस्तेमाल करें। नए ऐप्स और mints के लिए थोड़ी रकम वाला एक "hot" वॉलेट, और बचत के लिए एक अलग वॉलेट, आदर्श रूप से Ledger पर, जिसे आप कभी अनजान साइटों से कनेक्ट नहीं करते।
- साइन करने से पहले पढ़ें। अगर Phantom चेतावनी दिखाए, ट्रांज़ैक्शन simulate न कर पाए, या प्रीव्यू में उम्मीद से ज़्यादा जाता दिखे, तो उसे reject करें। हमारा सिग्नेचर एक्सप्लेनर sign-in मैसेज और EVM approvals समझने में मदद करता है।
- एड्रेस पूरा चेक करें। उन्हें प्राप्तकर्ता या अपनी एड्रेस बुक से कॉपी करें, अपनी activity लिस्ट या किसी चैट से नहीं। हमारा एड्रेस चेकर दो एड्रेस की तुलना करता है।
- Phantom को अपडेट रखें, सिर्फ़ Chrome Web Store, App Store या Google Play के ज़रिए। "update" के लिए आपका phrase माँगने वाला पॉप-अप नकली है।
असली और नकली Phantom विंडो में फ़र्क कैसे करें
सिक्योरिटी फ़र्म Scam Sniffer ने फ़रवरी 2025 में ये जाँचें सुझाईं (Cointelegraph, 2025):
- असली एक्सटेंशन पॉप-अप एक अलग विंडो होती है जिसका एड्रेस
chrome-extension://से शुरू होता है। नकली पॉप-अप वेब पेज के अंदर ही बनाया जाता है। - असली पॉप-अप को किसी भी विंडो की तरह हिलाया, छोटा और रीसाइज़ किया जा सकता है। नकली पॉप-अप ब्राउज़र टैब के अंदर ही फँसा रहता है।
- Phishing पेज अक्सर राइट-क्लिक ब्लॉक कर देते हैं; असली Phantom विंडो ऐसा नहीं करती।
क्या Phantom एक्सचेंज से ज़्यादा सुरक्षित है?
यह अलग तरह का जोखिम है। एक्सचेंज पर कंपनी हैक हो सकती है, आपका अकाउंट freeze कर सकती है या डूब सकती है, लेकिन वह पासवर्ड रीसेट भी कर सकती है और कभी-कभी गलतियाँ reverse भी कर सकती है। Phantom में आपके और आपके फंड के बीच कोई कंपनी नहीं है: कोई freeze नहीं, लेकिन कोई undo भी नहीं। कई लोग ट्रेडिंग बैलेंस एक्सचेंज पर और लंबे समय की होल्डिंग हार्डवेयर वॉलेट के साथ self-custody में रखते हैं।
नामों के बारे में एक बात
Fantom (अब Sonic) एक अलग क्रिप्टो प्रोजेक्ट है। "Fantom wallet" के सुरक्षा रिव्यू Phantom के बारे में नहीं हैं, और Phantom इसे सपोर्ट नहीं करता।
अगर कुछ पहले ही गलत हो चुका है
अगर आपने किसी साइट या ऐप में अपना recovery phrase टाइप किया है, या कुछ ऐसा साइन किया है जो आपको समझ नहीं आया, तो अभी कदम उठाएँ: Phantom वॉलेट drain होने पर क्या करें फ़ॉलो करें। फ़ीस लेकर फंड recover करने की पेशकश करने वाले किसी से भी संपर्क न करें; वे भी स्कैमर हैं।
अक्सर पूछे जाने वाले सवाल
क्या Phantom मेरा क्रिप्टो चुरा सकता है?
Phantom self-custody है: आपकी keys आपके डिवाइस पर बनती और स्टोर होती हैं। Phantom कहता है कि वह कभी आपका recovery phrase नहीं माँगता। इसके ऐप्स open source नहीं हैं, इसलिए आप ऑडिट और Phantom की साख पर भरोसा करते हैं, और यही एक वजह है कि कई लोग बड़ी रकम हार्डवेयर वॉलेट पर रखते हैं।
क्या Phantom फ़ोन पर सुरक्षित है?
हाँ, अगर आप असली ऐप इंस्टॉल करें (App Store ऐप ID 1598432977, Google Play पैकेज app.phantom) और फ़ोन अपडेट रखें। दोनों स्टोर में नकली कॉपियाँ आ चुकी हैं, इसलिए इंस्टॉल करने से पहले डेवलपर चेक करें।
क्या Phantom में इंश्योरेंस है?
नहीं। self-custody वॉलेट में रखा क्रिप्टो इंश्योर्ड नहीं होता, और अगर आपको धोखे से कोई ट्रांज़ैक्शन साइन करवाया जाए तो कोई उसे reverse नहीं कर सकता। Phantom Cash फंड भी FDIC-insured नहीं हैं।
क्या Phantom को वेबसाइटों से कनेक्ट करना सुरक्षित है?
कनेक्ट करने से सिर्फ़ आपका सार्वजनिक एड्रेस शेयर होता है। जोखिम तब आता है जब आप कोई ट्रांज़ैक्शन या मैसेज साइन करते हैं। सिर्फ़ उन्हीं साइटों से कनेक्ट करें जिन पर आप खुद पहुँचे हैं, Phantom का प्रीव्यू पढ़ें और किसी भी लाल चेतावनी पर रुक जाएँ।
क्या Phantom पर Slope हैक का असर पड़ा था?
नहीं। अगस्त 2022 के Solana वॉलेट drain की वजह Slope वॉलेट निकली। Phantom ने कहा कि उसे अपने सिस्टम के compromise होने का कोई सबूत नहीं मिला।
क्या मुझे Phantom के साथ Ledger इस्तेमाल करना चाहिए?
जिस रकम को आप गँवाना बर्दाश्त नहीं कर सकते, उसके लिए हाँ। Ledger keys को आपके कंप्यूटर और फ़ोन से दूर रखता है और हर ट्रांज़ैक्शन के लिए फ़िज़िकल कन्फ़र्मेशन माँगता है।