باب 4: سیکیورٹی سیٹ اپ — 2FA، ANTI-PHISHING، SAFU

آپ کے پیسوں کی سب سے بڑی دشمن کوئی ہیکر نہیں — خود آپ ہیں، اگر سیکیورٹی نہ سمجھیں۔ ایک کہانی یاد رکھیں: 2019 میں بائننس پر ہیک ہوا اور تقریباً 7,000 BTC چرائے گئے — مگر صارفین کا ایک پیسہ بھی نہیں گیا، کیونکہ SAFU فنڈ نے معاوضہ دیا۔ یہ باب آپ کے اکاؤنٹ کو محل بنانے کا نقشہ ہے۔

📖 4.1 سیکیورٹی کیوں ضروری ہے؟

حقیقی خطرات (تاریخ سے سبق):

2019: بائننس پر ہیک ہوا اور تقریباً 7,000 BTC چرائے گئے (اُس وقت تقریباً $40 ملین)۔ بائننس نے SAFU فنڈ سے صارفین کو مکمل معاوضہ دیا۔

2022: FTX ایکسچینج کریش ہوئی — صارفین کے $8 ارب سے زیادہ پھنس گئے۔ سبق: ایکسچینج بھی ایک خطرہ ہے۔

ہر روز: ہزاروں صارفین فلشنگ (Phishing) کا شکار ہوتے ہیں — جعلی ای میل، جعلی ویب سائٹ، اور "سپورٹ" بن کر کوڈ مانگنے والے دھوکے باز۔

نتیجہ: بائننس نے Proof of Reserves اور مضبوط SAFU فنڈ متعارف کرایا۔

آپ کے سامنے عام خطرات:

ایک ہیکر کا ذہن — وہ کیسے سوچتا ہے:

ہیکر کا ہدف:  آپ کا اکاؤنٹ
     │
     ├── 1. پاس ورڈ ٹوٹ گیا؟ ── نہیں ──→ 2FA ہے؟
     │                                    │
     │                                    ├── ہاں → 2FA کوڈ چرا لیں (SMS swap / phishing)
     │                                    └── نہیں → ✅ اکاؤنٹ گیا
     │
     └── 2. پاس ورڈ ٹوٹ گیا ──→ 2FA ہے؟
                                   │
                                   ├── ہاں → 2FA کوڈ ضروری
                                   └── نہیں → ✅ اکاؤنٹ گیا

💡 سبق: اگر آپ کے پاس صرف پاس ورڈ ہے، تو ہیکر کے لیے آپ کا اکاؤنٹ ایک قفل ہے جس کی ایک ہی چابی ہے۔ اگر آپ کے پاس 2FA + Whitelist + Anti-Phishing ہے، تو وہ تین الگ قفلوں والا خزانہ ہے۔

بائننس کی طرف سے تحفظ:

┌────────────────────────────────────────────┐
│            بائننس کی حفاظت کے ستون          │
│                                            │
│  ┌───────────┐   ┌──────────────────┐      │
│  │ 2FA (آپ)  │   │ Anti-Phishing    │      │
│  │           │   │ (آپ سیٹ کریں)    │      │
│  └───────────┘   └──────────────────┘      │
│  ┌───────────┐   ┌──────────────────┐      │
│  │ Whitelist │   │ SAFU Fund        │      │
│  │ (آپ)      │   │ (بائننس)         │      │
│  └───────────┘   └──────────────────┘      │
│  ┌──────────────────────────────────────┐  │
│  │ Cold Storage — فنڈز کی 95% آف لائن   │  │
│  └──────────────────────────────────────┘  │
└────────────────────────────────────────────┘

🎯 اہم تقسیم: پہلے تین ستون آپ کی ذمہ داری ہیں، آخری دو بائننس کی۔ بائننس اپنا حصہ پورا کر رہی ہے — اب آپ اپنا حصہ کریں۔

📖 4.2 دو مرحلے تصدیق (2FA)

2FA (Two-Factor Authentication) یعنی پاس ورڈ کے علاوہ ایک اور ثبوت۔ یہ آپ کے اکاؤنٹ کی سب سے اہم دیوار ہے۔

کیا ہے؟ پاس ورڈ = کچھ جو آپ جانتے ہیں۔ 2FA = کچھ جو آپ کے پاس ہے (فون/ڈیوائس)۔ دونوں ملے تب اندر جا سکتے ہیں۔

طریقوں کا موازنہ:

🔒 بہترین امتزاج: Google Authenticator + Anti-Phishing Code + Whitelist

SMS 2FA کیوں خطرناک ہے — SIM Swap سمجھیں:

1. دھوکے باز آپ کی ذاتی معلومات اکٹھی کرتا ہے (نام، نمبر، CNIC)
2. آپ کے نمبر والی ٹیلیکام کمپنی سے رابطہ کرتا ہے
3. "میرا فون کھو گیا، نمبر اس نئے SIM پر منتقل کریں" کہتا ہے
4. نمبر منتقل ہو جاتا ہے → اب وہ آپ کے تمام SMS وصول کرتا ہے
5. بائننس پر "Forgot Password" → SMS کوڈ → پاس ورڈ بدل دیتا ہے
6. ✅ اکاؤنٹ چوری ہو گیا

⚠️ SIM Swap دنیا بھر میں ہو رہا ہے — خاص طور پر کرپٹو ہولڈرز کے خلاف۔ کبھی بھی SMS کو اپنا واحد 2FA مت بنائیں۔

4.2.1 Google Authenticator کی ترتیب

مرحلہ 1: ایپ ڈاؤن لوڈ کریں

مرحلہ 2: بائننس میں 2FA شروع کریں

Profile → Security → Two-Factor Authentication → Google Authenticator

مرحلہ 3: QR کوڈ اسکین کریں

1. Authenticator ایپ کھولیں
2. "+" یا "Scan QR code" دبائیں
3. بائننس کا QR کوڈ اسکین کریں
4. ایپ میں 6 ہندسوں کا کوڈ نمودار ہوگا (ہر 30 سیکنڈ بدلتا ہے)

مرحلہ 4: تصدیق مکمل کریں

1. بائننس میں 6 ہندسوں کا کوڈ درج کریں
2. اکاؤنٹ پاس ورڈ سے تصدیق کریں
3. Backup Key لازماً آف لائن محفوظ کریں (نیچے دیکھیں)

مرحلہ 5: مکمل

اب ہر لاگ ان اور ہر اہم کارروائی (وِڈراول، API بنانا، سیٹنگز بدلنا) پر 2FA کوڈ درکار ہوگا۔

4.2.2 Backup Key — آپ کی آخری امید

⚠️ یہ سب سے اہم حصہ ہے۔ جب آپ کا فون گم، چوری، یا ری سیٹ ہو جائے، تو Backup Key کے بغیر آپ 2FA تک نہیں پہنچ سکتے — اور آپ کا اکاؤنٹ ہمیشہ کے لیے بند ہو سکتا ہے۔

Backup Key کیسے محفوظ رکھیں:

🔐 بہترین طریقہ: کاغذ پر لکھیں اور اسے فلائنگ آف (offline) رکھیں۔ یہ 20 کریکٹرز کی ایک سطر ہے — یاد رکھنا مشکل، مگر کاغذ پر محفوظ = ہمیشہ دستیاب۔

⚠️ 2FA کے اہم نکات:

⚠️ سنہری قاعدہ: بائننس، کوئی بینک، یا کوئی "سپورٹ" کبھی آپ سے 2FA کوڈ نہیں مانگتا۔ جو مانگے — وہ دھوکے باز ہے۔

📖 4.3 Anti-Phishing Code (اینٹی فلشنگ کوڈ)

یہ کیا ہے؟

آپ ایک خفیہ کوڈ سیٹ کرتے ہیں۔ بائننس کے ہر سرکاری ای میل میں یہ کوڈ دکھائی دے گا۔ اگر کسی ای میل میں یہ کوڈ نہ ہو — وہ جعلی ہے، خواہ کتنا ہی حقیقی لگے۔

یہ بالکل ویسا ہی جیسے بینک آپ کو ایک خفیہ نشان دے اور کہے: "جب بھی ہم آپ کو خط بھیجیں، یہ نشان ضرور ہوگا۔"

سیٹ کرنے کا طریقہ:

Profile → Security → Anti-Phishing Code
1. کوئی یادگار کوڈ لکھیں (مثلاً: MY-CODE-2026)
2. Save / Confirm کریں (2FA سے تصدیق)

سرکاری بمقابلہ جعلی ای میل:

✅ سرکاری (Original):

موضوع: Your withdrawal request
[Anti-Phishing Code: MY-CODE-2026]   ← آپ کا کوڈ موجود

❌ فلشنگ (Fake):

موضوع: ⚠️ URGENT: Verify your account now!
(کوئی Anti-Phishing Code نہیں)        ← کوڈ غائب
→ لنک پر کلک نہ کریں!

فلشنگ ای میل کی پہچان — 8 نشان:

💡 اپنے خاندان/ساتھیوں کو بھی بتائیں کہ وہ یہ کوڈ سیٹ کریں — یہ ایک سادہ مگر طاقتور ہتھیار ہے۔ خاص طور پر وہ لوگ جو ای میل پر فوری کلک کرتے ہیں۔

📖 4.4 وِڈراول ایڈریس وائٹ لسٹ (Address Whitelist)

یہ کیا ہے؟

جب یہ فعال ہو، تو آپ صرف اُن ایڈریسوں پر وِڈراول کر سکتے ہیں جو آپ نے پہلے شامل کیے ہوں۔ کوئی ہیکر اکاؤنٹ میں بھی آ جائے، نئے ایڈریس پر فنڈ نہیں بھیج سکتا — کیونکہ وہ ایڈریس وائٹ لسٹ میں موجود نہیں۔

یہ آپ کے اکاؤنٹ کی سب سے مضبوط دیوار ہے۔ حتیٰ کہ اگر پاس ورڈ + 2FA دونوں چھن جائیں، تب بھی پیسے صرف آپ کے اپنے ایڈریس پر جا سکتے ہیں۔

سیٹ کرنے کا طریقہ:

Profile → Security → Address Management / Whitelist
1. "Add New Address" دبائیں
2. EVM/نیٹ ورک منتخب کریں (باب 24)
3. ایڈریس درج کریں (مثلاً: 0x1234...abcd)
4. یادگار نام دیں (مثلاً: "میرا Trust Wallet")
5. تصدیق (2FA/ای میل) کریں

اہم خصوصیات:

⚠️ یاد رکھیں: ایڈریس ہمیشہ پوری تفصیل سے چیک کریں — پہلے اور آخری چند کریکٹر دیکھ کر کاپی کریں۔ اگر ایک بھی کریکٹر غلط ہوا، تو پیسے کسی اور کو چلے جائیں گے — اور واپسی ناممکن ہے۔

وائٹ لسٹ کا حقیقی فائدہ — ایک کہانی:

ایک صارف کا پاس ورڈ لیک ہو گیا (اسی ای میل+پاس ورڈ کہیں اور استعمال کیا تھا)
     │
     ├── ہیکر نے لاگ ان کیا ✓
     ├── ہیکر نے وِڈراول کی کوشش کی
     │      └── اپنا ایڈریس ڈالا → ❌ وائٹ لسٹ میں نہیں!
     │      └── وِڈراول فیل!
     │
     └── صارف کو ای میل آیا → اس نے فوراً پاس ورڈ بدلا + 2FA بدلا
                                      ↓
                              ✅ پیسے محفوظ رہے!

📖 4.5 SAFU فنڈ — بائننس کا انشورنس

SAFU = Secure Asset Fund for Users (صارفین کے اثاثوں کا محفوظ فنڈ)

اہم معلومات:

کب کام آتا ہے؟

• ✅ بائننس پر بڑی سیکیورٹی خلاف ورزی (جیسے 2019)
• ✅ ایکسچینج کی طرف سے کمی/نقصان
• ✅ غیر متوقع نظامی ناکامی

SAFU کیا نہیں کرتا:

⚠️ SAFU گارنٹی نہیں — یہ ایک حفاظتی بفر ہے۔

• ❌ اگر آپ خود غلط ایڈریس پر پیسے بھیج دیں → کوئی معاوضہ نہیں
• ❌ اگر آپ کا اکاؤنٹ فلشنگ سے چوری ہو جائے → کوئی معاوضہ نہیں
• ❌ اگر آپ نے کسی کو پاس ورڈ/2FA دے دیا → کوئی معاوضہ نہیں
• ❌ اگر آپ کی اپنی غلطی سے فنڈ گئے → کوئی معاوضہ نہیں

💡 خلاصہ: SAFU بنیادی طور پر ایکسچینج کی سیکیورٹی کے لیے ہے، آپ کی غلطی کے لیے نہیں۔ آپ کی حفاظت کی پہلی لائن آپ خود ہیں — 2FA، Whitelist، Anti-Phishing۔

📖 4.6 دیگر حفاظتی خصوصیات

Cold Storage (سرد ذخیرہ)

• صارفین کے فنڈز کا بڑا حصہ (95%+) آف لائن (انٹرنیٹ سے الگ) رکھا جاتا ہے
• آن لائن ہیکروں کی پہنچ سے باہر
• جب بھی ضرورت ہو، صرف ایک چھوٹا حصہ آن لائن لایا جاتا ہے

Proof of Reserves (ذخائر کا ثبوت)

• بائننس شائع کرتا ہے کہ صارفین کے فنڈز 1:1 موجود ہیں
• Merkle Tree ٹیکنالوجی سے شفافیت — ہر صارف اپنا بیلنس خود چیک کر سکتا ہے
• ہر کچھ ہفتے بعد اپ ڈیٹ ہوتا ہے (2022 سے جاری)

💡 کیا کرتا ہے یہ؟ یہ ثابت کرتا ہے کہ بائننس کے پاس صارفین کا ہر ڈالر/کوائن واقعی موجود ہے — کوئی FTX جیسا فراڈ نہیں۔

Security Checkup (سیکیورٹی جائزہ)

Profile → Security → Security Checkup

یہ ٹول بتاتا ہے:

• 2FA فعال ہے یا نہیں
• Anti-Phishing Code سیٹ ہے یا نہیں
• وائٹ لسٹ موجود ہے یا نہیں
• پاس ورڈ مضبوط ہے یا نہیں
• کوئی غیر معمولی لاگ ان؟

💡 مشورہ: یہ چیک اپ ہر 2-3 ماہ بعد ضرور چلائیں۔ یہ 30 سیکنڈ کا کام ہے، اور آپ کو بتا دے گا کہ کہیں کوئی سیٹنگ بکھری تو نہیں۔

Device Management (ڈیوائس مینجمنٹ)

• تمام لاگ ان ڈیوائسز کی فہرست (فون، لیپ ٹاپ، PC)
• ہر ڈیوائس کا آخری استعمال اور IP ایڈریس
• کسی بھی نامعلوم ڈیوائس کو فوراً لاگ آؤٹ کریں

⚠️ اہم: اگر آپ کوئی نیا فون/لیپ ٹاپ خریدیں، تو پرانا ڈیوائس یہاں سے لاگ آؤٹ ضرور کریں۔

Login History (لاگ ان ہسٹری)

• کونسی تاریخ/وقت پر کہاں سے لاگ ان ہوا
• اگر کبھی غیر ملکی IP نظر آئے، تو فوراً:
  1. پاس ورڈ بدلیں
  2. 2FA دوبارہ سیٹ کریں
  3. سپورٹ کو اطلاع دیں

اہم سیٹنگز کی فہرست:

📖 4.7 اکاؤنٹ قفل / رکاوٹ اور بحالی

اگر اکاؤنٹ لاک ہو جائے:

اکاؤنٹ کو فریز کرنا — خودکاری تحفظ

اگر آپ کو شک ہو کہ اکاؤنٹ ہائی جیک ہوا:

1. Settings → Security → Account Activity
2. "Freeze Account" یا "Lock Account" چیک کریں
3. فوراً پاس ورڈ بدلیں
4. 2FA دوبارہ سیٹ کریں
5. سپورٹ کو اطلاع دیں (Help Center → Live Chat)

بحالی کے لیے:

1. بائننس سپورٹ (Help Center) پر جائیں
2. درست دستاویزات (CNIC + سیلفی + متعلقہ ثبوت) اپ لوڈ کریں
3. صبر سے جواب کا انتظار کریں (24-72 گھنٹے)

💡 فوری مشورہ: جتنا جلدی آپ ردعمل ظاہر کریں گے، اتنا ہی کم نقصان ہوگا۔ پہلا گھنٹا سب سے اہم ہوتا ہے۔

📖 4.8 مکمل سیکیورٹی چیک لسٹ — 10 اقدامات

🎯 یہ چیک لسٹ آج ہی مکمل کریں۔ یہ 20 منٹ کا کام ہے، اور آپ کے پورے کرپٹو خزانے کو محفوظ بنا دے گا۔

✅ مکمل ہونے پر: آپ کا اکاؤنٹ اب 90% زیادہ محفوظ ہے۔ باقی 10%؟ وہ آپ کی حواس رکھنے کی ذمہ داری ہے۔