ट्रेडिंग बॉट सुरक्षा: API keys और 2FA गाइड

जब आप किसी ट्रेडिंग बॉट को अपने exchange खाते से जोड़ते हैं, तो आप सॉफ़्टवेयर को अपनी ओर से एसेट्स खरीदने और बेचने की क्षमता दे रहे होते हैं — दिन के 24 घंटे, बिना किसी निगरानी के। यह असाधारण स्तर का भरोसा है, और यह असाधारण स्तर की सुरक्षा माँगता है।

अच्छी खबर: सही सावधानियों के साथ, सुरक्षा के नज़रिए से स्वचालित ट्रेडिंग मैन्युअल ट्रेडिंग से ज़्यादा जोखिमभरी नहीं है। कुछ मायनों में यह ज़्यादा सुरक्षित है — आप कभी सार्वजनिक Wi-Fi पर अपने exchange में लॉगिन नहीं करते, आप कभी रात 2 बजे गलती से मार्केट सेल ऑर्डर नहीं दे बैठते, और सही तरह से स्कोप की गई एक API key असल में पूरे खाते की पहुँच की तुलना में जो कुछ हो सकता है उसे सीमित कर देती है।

लेकिन अगर सुरक्षा की बुनियादी बातें गलत हो जाएँ, तो परिणाम गंभीर और अपरिवर्तनीय होते हैं। क्रिप्टो में न कोई बैंक है जिसे फ़ोन किया जा सके, न कोई चार्जबैक दायर करने का रास्ता, और न ही कोई बीमा एजेंट जो आपको बचा ले। एक बार फंड आपके खाते से निकल गया, तो वह गया।

यह गाइड वह सब कुछ कवर करती है जो आपको अपने ट्रेडिंग बॉट सेटअप को सुरक्षित रखने के लिए जानना ज़रूरी है — API key प्रबंधन से लेकर व्यक्तिगत सुरक्षा-स्वच्छता तक, और अगर कुछ गड़बड़ हो जाए तो क्या करें, यहाँ तक।

---

स्वचालित ट्रेडिंग में सुरक्षा #1 प्राथमिकता क्यों है

रणनीतियों, मुनाफ़े, या कौन सा प्लेटफ़ॉर्म चुनें पर चर्चा से पहले, सुरक्षा को पहले आना चाहिए। इसकी वजह यह है:

दाँव पर असली चीज़ें हैं

क्रिप्टोकरेंसी अपरिवर्तनीय, छद्म-नाम वाले ब्लॉकचेन पर चलती है। अगर कोई आपके exchange खाते या API keys तक अनधिकृत पहुँच पा ले और आपके फंड हिला दे, तो कोई अनडू बटन नहीं है। पारंपरिक बैंकिंग के विपरीत — जहाँ धोखाधड़ी वाले लेन-देन अक्सर पलटे जा सकते हैं — क्रिप्टो लेन-देन अंतिम होते हैं। एक अकेली सुरक्षा गलती फंड के पूर्ण, स्थायी नुकसान में बदल सकती है।

आप एक निशाना हैं

क्रिप्टो धारकों को परिष्कृत हमलावर सक्रिय रूप से निशाना बनाते हैं। exchanges की नकल करने वाली फ़िशिंग ईमेल, API keys चुराने के लिए बनाए गए नकली बॉट प्लेटफ़ॉर्म, सोशल मीडिया पर सोशल इंजीनियरिंग हमले, SMS सत्यापन को दरकिनार करने के लिए SIM-swap हमले — खतरे का दायरा व्यापक और लगातार बदलता हुआ है। स्वचालित ट्रेडिंग अतिरिक्त हमला-सतह जोड़ती है क्योंकि API keys सुरक्षित रखने योग्य एक नई मूल्यवान क्रेडेंशियल बन जाती हैं।

अच्छी सुरक्षा सरल है

उत्साहजनक वास्तविकता यह है कि मज़बूत सुरक्षा के लिए उन्नत तकनीकी ज्ञान की ज़रूरत नहीं होती। इसके लिए अनुशासन चाहिए — गैर-समझौतायोग्य प्रथाओं के एक छोटे-से समूह को लगातार लागू करना। इस गाइड में दिए उपाय सेट करने में कुछ मिनट लगते हैं और स्थायी सुरक्षा देते हैं।

---

API Key सुरक्षा: आपकी रक्षा की पहली पंक्ति

API keys वह तंत्र हैं जिनके ज़रिए आपका ट्रेडिंग बॉट आपके exchange से संवाद करता है। बॉट को सुरक्षित रूप से इस्तेमाल करने के लिए इन्हें गहराई से समझना ज़रूरी है।

API Keys क्या हैं?

एक API key क्रेडेंशियल की एक जोड़ी है — एक public key (जिसे API Key भी कहते हैं) और एक secret key (जिसे API Secret भी कहते हैं) — जो आपके बॉट के अनुरोधों को exchange के प्रति प्रमाणित करती है। public key को एक यूज़रनेम और secret key को एक पासवर्ड की तरह समझें। मिलकर, ये exchange को यह साबित करती हैं कि कोई अनुरोध आपके द्वारा अधिकृत है।

जब आपका बॉट कोई ऑर्डर देना चाहता है, तो वह आपकी secret key से हस्ताक्षरित एक अनुरोध exchange को भेजता है। exchange आपकी public key का उपयोग करके हस्ताक्षर सत्यापित करता है। अगर मेल खाता है, तो ऑर्डर निष्पादित होता है। अगर नहीं, तो अस्वीकार कर दिया जाता है।

अनुमति स्कोपिंग: सबसे महत्वपूर्ण अवधारणा

हर प्रमुख exchange आपको प्रत्येक API key पर विशिष्ट अनुमतियाँ सेट करने देता है। यही API key सुरक्षा की नींव है। आम अनुमतियों में शामिल हैं:

• Read / View — बैलेंस, ऑर्डर इतिहास और मार्केट डेटा देख सकता है
• Trade / Spot Trading — खरीद/बिक्री के ऑर्डर दे और रद्द कर सकता है
• Futures Trading — futures/derivatives ऑर्डर दे और रद्द कर सकता है
• Withdrawal — exchange से बाहरी वॉलेट में फंड ट्रांसफ़र कर सकता है
• Internal Transfer — सब-अकाउंट्स के बीच फंड हिला सकता है

स्वर्णिम नियम: कभी निकासी अनुमतियाँ चालू न करें

इसे इससे ज़्यादा ज़ोर देकर नहीं कहा जा सकता: किसी तीसरे-पक्ष के प्लेटफ़ॉर्म से जुड़ी किसी भी API key पर कभी निकासी की अनुमतियाँ चालू न करें। किसी भी वैध बॉट प्लेटफ़ॉर्म को आपके exchange से आपके फंड निकालने की क्षमता की ज़रूरत नहीं होती।

निकासी की अनुमतियाँ बंद होने पर, अगर आपकी API key से समझौता हो भी जाए तो सबसे बुरी स्थिति यही होगी कि कोई हमलावर आपके खाते पर ट्रेड कर सकता है। हालाँकि यह आदर्श नहीं है, आपकी मूल पूँजी exchange पर ही रहती है और बाहर ट्रांसफ़र नहीं की जा सकती। यह अकेली सेटिंग ही ‘‘हमलावर ने कुछ बुरे ट्रेड किए’’ और ‘‘हमलावर ने मेरा पूरा खाता खाली कर दिया’’ के बीच का फ़र्क़ है।

एक सुरक्षित API Key कैसे बनाएँ

तीन प्रमुख exchanges के लिए यहाँ चरण-दर-चरण निर्देश दिए गए हैं:

Binance:

1. अपने Binance खाते में लॉगिन करें और Account → API Management पर जाएँ
2. Create API पर क्लिक करें और System generated चुनें
3. अपनी key को वर्णनात्मक रूप से लेबल करें (जैसे, "Freya Finance Bot - May 2026")
4. 2FA सत्यापन पूरा करें
5. API restrictions के अंतर्गत, केवल Enable Spot & Margin Trading चेक करें
6. IP access restrictions के अंतर्गत, Restrict access to trusted IPs only चुनें और अपने बॉट प्लेटफ़ॉर्म के सर्वर IPs डालें
7. अपनी API Key और Secret Key सहेजें — secret सिर्फ़ एक बार दिखाई जाती है

Bybit:

1. लॉगिन करें और Profile → API Management → Create New Key पर जाएँ
2. System-generated API Keys चुनें
3. अपनी key को वर्णनात्मक रूप से नाम दें
4. API Key permissions के अंतर्गत, केवल Spot के लिए Read-Write चालू करें (या ज़रूरत हो तो Derivatives)
5. सुनिश्चित करें कि Withdraw चेक नहीं है
6. IP Access के अंतर्गत, अपने प्लेटफ़ॉर्म के IP पते जोड़ें
7. 2FA सत्यापन पूरा करें और अपनी keys सहेजें

OKX:

1. लॉगिन करें और Profile → API Keys → Create API Key पर जाएँ
2. एक लेबल और passphrase डालें (OKX अतिरिक्त सुरक्षा के लिए एक passphrase माँगता है — इसे सुरक्षित रूप से संग्रहित करें)
3. Permissions के अंतर्गत, केवल Trade चुनें
4. whitelist में अपने प्लेटफ़ॉर्म के IP पते जोड़ें
5. 2FA सत्यापन पूरा करें
6. अपनी API Key, Secret Key और Passphrase सहेजें

IP Whitelisting: चुराई गई keys को बेकार बनाना

IP whitelisting आपकी API key को इस तरह सीमित करती है कि वह केवल तभी काम करे जब अनुरोध विशिष्ट IP पतों से आएँ। अगर कोई हमलावर आपकी API key और secret चुरा भी ले, तो वह इसे अपने सर्वरों से इस्तेमाल नहीं कर सकता क्योंकि exchange अनधिकृत IPs से आने वाले अनुरोधों को अस्वीकार कर देगा।

यह कैसे काम करता है:

1. आपका बॉट प्लेटफ़ॉर्म विशिष्ट, निश्चित IP पतों वाले सर्वरों पर चलता है
2. आप उन IP पतों को exchange पर अपनी API key की whitelist में जोड़ते हैं
3. exchange किसी भी ऐसे API अनुरोध को अस्वीकार कर देता है जो उन whitelisted IPs में से किसी से नहीं आता

अधिकांश प्रतिष्ठित प्लेटफ़ॉर्म अपने सर्वर IP पते अपनी डॉक्युमेंटेशन में प्रकाशित करते हैं। Freya Finance API key कनेक्शन प्रक्रिया के दौरान अपने सर्वर IPs देता है, जिससे सेटअप सीधा हो जाता है।

IP whitelisting पर ज़रूरी बातें:

• अगर आपके प्लेटफ़ॉर्म के IPs बदल जाएँ (दुर्लभ, पर इन्फ़्रास्ट्रक्चर अपडेट के दौरान संभव), तो आपको अपनी whitelist अपडेट करनी होगी
• कुछ exchanges, जैसे Binance, IP whitelisting को वैकल्पिक रखते हैं पर इसकी दृढ़ता से अनुशंसा करते हैं। अन्य किसी IP के whitelisted न होने पर key की कार्यक्षमता को सीमित कर सकते हैं
• IP whitelisting आपकी रक्षा नहीं करती अगर बॉट प्लेटफ़ॉर्म से ख़ुद समझौता हो जाए — यह आपकी रक्षा तब करती है जब आपकी key अलग से लीक हो (जैसे, किसी फ़िशिंग हमले या किसी दूसरी सेवा में डेटा सेंध के ज़रिए)

---

Two-Factor Authentication (2FA): आपकी रक्षा की दूसरी पंक्ति

Two-Factor Authentication आपके पासवर्ड से परे एक दूसरा सत्यापन चरण जोड़ता है। अगर कोई हमलावर आपका exchange पासवर्ड पा भी ले, तो वह दूसरे फ़ैक्टर के बिना आपके खाते तक नहीं पहुँच सकता।

2FA के प्रकार

सभी 2FA तरीक़े समान रूप से सुरक्षित नहीं होते:

Authenticator ऐप (अनुशंसित ✅)

Google Authenticator, Authy, या Microsoft Authenticator जैसे ऐप समय-आधारित वन-टाइम पासवर्ड (TOTP) जेनरेट करते हैं जो हर 30 सेकंड में रिफ़्रेश होते हैं। ये कोड आपके डिवाइस पर स्थानीय रूप से जेनरेट होते हैं और कभी नेटवर्क पर प्रसारित नहीं होते, जिससे ये इंटरसेप्शन के प्रति प्रतिरोधी बनते हैं।

हार्डवेयर सिक्योरिटी की (सबसे सुरक्षित 🔒)

YubiKey जैसे भौतिक डिवाइस प्रमाणीकरण सुरक्षा का सर्वोच्च स्तर देते हैं। प्रमाणित करने के लिए आप भौतिक रूप से key डालते या टैप करते हैं। ये फ़िशिंग से प्रतिरक्षित होते हैं क्योंकि key जवाब देने से पहले वेबसाइट की पहचान सत्यापित करती है। सभी प्रमुख exchanges FIDO2/WebAuthn हार्डवेयर keys का समर्थन करते हैं।

SMS-आधारित 2FA (अनुशंसित नहीं ⚠️)

SMS कोड टेक्स्ट मैसेज के ज़रिए आपके फ़ोन नंबर पर भेजे जाते हैं। कुछ न होने से बेहतर होने के बावजूद, SMS SIM-swap हमलों के प्रति कमज़ोर है — जहाँ एक हमलावर आपके मोबाइल कैरियर को आपका फ़ोन नंबर उनके SIM कार्ड पर ट्रांसफ़र करने के लिए मना लेता है। क्रिप्टो समुदाय में, SIM-swap हमले परेशान करने वाली हद तक आम हैं और इनके चलते लाखों डॉलर का नुकसान हुआ है।

ईमेल-आधारित 2FA (कम-जोखिम इस्तेमाल के लिए स्वीकार्य)

आपके ईमेल पते पर भेजे गए कोड। SMS से ज़्यादा सुरक्षित (ईमेल खातों को उनके अपने 2FA से मज़बूत किया जा सकता है), पर authenticator ऐप्स से कम सुविधाजनक और कम सुरक्षित।

Authenticator ऐप 2FA सेट करना

1. एक authenticator ऐप डाउनलोड करें — Google Authenticator, Authy, या Microsoft Authenticator। Authy का एक फ़ायदा है: यह एन्क्रिप्टेड क्लाउड बैकअप का समर्थन करता है, इसलिए फ़ोन खोने पर आप कोड रिकवर कर सकते हैं।
2. अपने exchange की सुरक्षा सेटिंग्स में जाएँ और "Enable Authenticator App" या "Enable Google 2FA" चुनें
3. exchange द्वारा दिखाए गए QR कोड को स्कैन करें अपने authenticator ऐप से
4. महत्वपूर्ण: बैकअप/रिकवरी key सहेजें। यह अक्षरों की एक स्ट्रिंग है (आमतौर पर 16-32 अक्षर) जो QR कोड के साथ दिखाई जाती है। इसे काग़ज़ पर लिख लें और किसी भौतिक रूप से सुरक्षित जगह रखें। अगर आप इस key के बिना अपना फ़ोन खो देते हैं, तो जब तक सपोर्ट आपकी पहचान सत्यापित करती है, आप हफ़्तों तक अपने खाते से बाहर रह सकते हैं।
5. सेटअप की पुष्टि के लिए अपने authenticator ऐप से 6-अंकों का कोड डालें
6. यह सुनिश्चित करने के लिए कि 2FA सही ढंग से काम कर रहा है, लॉगआउट करके दोबारा लॉगिन करके इसे टेस्ट करें

---

Exchange सुरक्षा: एक सुरक्षित Exchange चुनना

आपका ट्रेडिंग बॉट उतना ही सुरक्षित है जितना वह exchange जिससे वह जुड़ा है। यहाँ मूल्यांकन करने योग्य बातें हैं:

कस्टडी मॉडल

• सेंट्रलाइज़्ड एक्सचेंज (CEX): Binance, Bybit, OKX और इसी तरह के exchanges आपके फंड को अपनी कस्टडी में रखते हैं। यह सुविधाजनक है पर इसका मतलब है कि आप अपनी एसेट्स की सुरक्षा के लिए exchange पर भरोसा कर रहे हैं। मज़बूत ट्रैक रिकॉर्ड और सुदृढ़ सुरक्षा इन्फ़्रास्ट्रक्चर वाले exchanges चुनें।
• डीसेंट्रलाइज़्ड एक्सचेंज (DEX): आप एक निजी वॉलेट के ज़रिए अपने फंड की कस्टडी अपने पास रखते हैं। हालाँकि इससे exchange जोखिम ख़त्म हो जाता है, यह अन्य जोखिम लाता है (स्मार्ट कॉन्ट्रैक्ट की कमज़ोरियाँ, फ़िशिंग अप्रूवल ट्रांज़ेक्शन) और अधिकांश ट्रेडिंग बॉट प्लेटफ़ॉर्म अभी DEX ट्रेडिंग का समर्थन नहीं करते।

किसी Exchange में क्या देखें

• Proof of Reserves (PoR): नियमित, स्वतंत्र रूप से ऑडिट की गई रिपोर्ट जो साबित करती है कि exchange के पास सभी उपयोगकर्ता जमाओं को कवर करने के लिए पर्याप्त एसेट्स हैं। 2022 में FTX के पतन के बाद, Proof of Reserves एक उद्योग मानक बन गया। Binance, Bybit और OKX सभी PoR रिपोर्ट प्रकाशित करते हैं।
• बीमा कोष / SAFU: किसी सुरक्षा सेंध की स्थिति में उपयोगकर्ता के नुकसान को कवर करने के लिए अलग रखे गए समर्पित फंड। Binance का SAFU (Secure Asset Fund for Users) पहलों में से एक था और इसके रिज़र्व में $1 बिलियन से अधिक है।
• कोल्ड स्टोरेज: अधिकांश उपयोगकर्ता फंड ऑफ़लाइन, एयर-गैप्ड कोल्ड वॉलेट में रखे जाने चाहिए जो इंटरनेट से नहीं जुड़े हों। प्रतिष्ठित exchanges फंड का 90-95% कोल्ड स्टोरेज में रखते हैं।
• बग बाउंटी प्रोग्राम: ऐसे exchanges जो सुरक्षा शोधकर्ताओं को कमज़ोरियों का ज़िम्मेदारी से खुलासा करने के लिए भुगतान करते हैं, आम तौर पर ऐसे न करने वालों की तुलना में ज़्यादा मज़बूत सुरक्षा स्थिति रखते हैं।
• नियामक अनुपालन: नियामक ढाँचों के तहत काम करने वाले exchanges (जैसे, EU, UAE, या जापान में लाइसेंस रखना) निरंतर निगरानी के अधीन होते हैं और आम तौर पर उच्च सुरक्षा मानक बनाए रखते हैं।

अपने Exchange का एंटी-फ़िशिंग कोड सेट करें

तीनों प्रमुख exchanges एक एंटी-फ़िशिंग कोड देते हैं — एक कस्टम वाक्यांश जो exchange की हर वैध ईमेल में दिखता है। अगर आपको ऐसी कोई ईमेल मिलती है जो आपके exchange से होने का दावा करती है पर इस कोड के बिना है, तो यह एक फ़िशिंग प्रयास है। इसे तुरंत सेट करें:

• Binance: Security → Anti-Phishing Code
• Bybit: Account & Security → Anti-Phishing Code
• OKX: Security → Anti-Phishing Code

---

प्लेटफ़ॉर्म सुरक्षा: अपने बॉट प्रदाता से क्या माँगें

एक सुरक्षित और भरोसेमंद बॉट प्लेटफ़ॉर्म चुनना अहम है। यहाँ बताया गया है कि एक सुरक्षित प्लेटफ़ॉर्म कैसा दिखता है — और वे ख़तरे के संकेत जो आपको दूर हट जाने पर मजबूर करने चाहिए।

एक सुरक्षित प्लेटफ़ॉर्म क्या प्रदान करता है

कोई फंड कस्टडी नहीं

प्लेटफ़ॉर्म को आपके exchange से केवल API keys के ज़रिए जुड़ना चाहिए। आपके फंड हर समय exchange पर ही रहते हैं। प्लेटफ़ॉर्म कभी आपकी क्रिप्टो को न रखता है, न ट्रांसफ़र करता है, न ही उस तक सीधी पहुँच रखता है। अगर कोई बॉट प्लेटफ़ॉर्म आपसे उनके प्लेटफ़ॉर्म में फंड जमा करने को कहता है, तो यह एक कस्टोडियल मॉडल है — और एक अतिरिक्त जोखिम परत।

एन्क्रिप्टेड API Key संग्रहण

आपकी API keys को मज़बूत, उद्योग-मानक एन्क्रिप्शन का उपयोग करके रेस्ट पर एन्क्रिप्ट किया जाना चाहिए और एक समर्पित, सुरक्षित key-प्रबंधन सेवा के ज़रिए प्रबंधित किया जाना चाहिए। प्लेटफ़ॉर्म के कर्मचारियों को आपकी API keys सादे-टेक्स्ट में देख पाने में सक्षम नहीं होना चाहिए।

ऑडिट ट्रेल्स

आपका बॉट जो भी कार्रवाई करता है — हर ऑर्डर जो दिया जाता है, हर पोज़िशन जो खोली और बंद की जाती है — लॉग किया जाना चाहिए और आपको दिखना चाहिए। यह पारदर्शिता आपको सत्यापित करने देती है कि आपका बॉट ठीक वही कर रहा है जो उसे करना चाहिए और उससे ज़्यादा कुछ नहीं।

भूमिका-आधारित पहुँच नियंत्रण

अगर प्लेटफ़ॉर्म टीम या संगठनात्मक खाते प्रदान करता है, तो उसे भूमिका-आधारित अनुमतियों का समर्थन करना चाहिए। टीम में हर किसी को API key कनेक्शन बनाने या बदलने की क्षमता की ज़रूरत नहीं होती।

नियमित सुरक्षा ऑडिट

प्रतिष्ठित प्लेटफ़ॉर्म नियमित तीसरे-पक्ष सुरक्षा ऑडिट और पेनिट्रेशन टेस्टिंग से गुज़रते हैं। ऐसे प्लेटफ़ॉर्म ढूँढें जो अपनी सुरक्षा प्रथाओं के बारे में पारदर्शी हों।

ध्यान रखने योग्य ख़तरे के संकेत

• ❌ API keys पर निकासी अनुमतियाँ माँगता है
• ❌ आपका exchange पासवर्ड माँगता है — किसी भी प्लेटफ़ॉर्म को इसकी कभी ज़रूरत नहीं होती
• ❌ आपसे बॉट प्लेटफ़ॉर्म में ही फंड जमा करने को कहता है
• ❌ प्लेटफ़ॉर्म के अपने लॉगिन पर कोई 2FA विकल्प नहीं
• ❌ विशिष्ट रिटर्न की गारंटी देता है — कोई वैध प्लेटफ़ॉर्म ऐसा नहीं करता
• ❌ कोई स्पष्ट कंपनी जानकारी नहीं — गुमनाम टीमें एक जोखिम हैं
• ❌ सुरक्षा प्रथाओं के बारे में कोई सार्वजनिक डॉक्युमेंटेशन नहीं
• ❌ दबाव की रणनीति — "अभी निवेश करें वरना चूक जाएँगे" जैसी भाषा

---

ट्रेडिंग बॉट क्षेत्र में आम स्कैम और ख़तरे के संकेत

क्रिप्टो बॉट क्षेत्र स्कैमरों को आकर्षित करता है क्योंकि यह दो ऐसी चीज़ों को जोड़ता है जो उन्हें पसंद हैं: पैसा कमाने को उत्सुक लोग और ऐसी तकनीक जिसे ज़्यादातर लोग पूरी तरह नहीं समझते। यहाँ सबसे आम स्कैम दिए गए हैं:

1. नकली बॉट प्लेटफ़ॉर्म

स्कैमर पेशेवर दिखने वाली वेबसाइटें बनाते हैं जो गारंटीड रिटर्न वाले "AI-संचालित" ट्रेडिंग बॉट का विज्ञापन करती हैं। वे नकली प्रशंसापत्र, गढ़े गए मुनाफ़े के स्क्रीनशॉट, और यहाँ तक कि काल्पनिक ट्रेड दिखाने वाले नकली लाइव डैशबोर्ड भी दिखा सकते हैं। लक्ष्य आपसे फंड जमा करवाना या निकासी अनुमतियाँ चालू की गई API keys दिलवाना है।

इन्हें कैसे पहचानें:

• गारंटीड या असामान्य रूप से ऊँचे रिटर्न के वादे (जैसे, "50% मासिक गारंटीड")
• कोई सत्यापन-योग्य ट्रैक रिकॉर्ड या कंपनी पंजीकरण नहीं
• किसी अवसर के समाप्त होने से पहले "अभी कार्रवाई करें" का दबाव
• केवल जमा स्वीकार करता है, आप जब निकालने की कोशिश करते हैं तो बहाने बनाता है

2. API Key फ़िशिंग

हमलावर वैध प्लेटफ़ॉर्म की नकल करते हुए ईमेल या संदेश भेजते हैं, आपसे किसी नकली वेबसाइट पर आपकी API keys डालकर उन्हें "फिर से कनेक्ट" या "अपडेट" करने को कहते हैं। नकली साइट आपकी क्रेडेंशियल्स कैद कर लेती है।

खुद को कैसे बचाएँ:

• हमेशा URL सीधे टाइप करके प्लेटफ़ॉर्म पर जाएँ — ईमेल में कभी लिंक पर क्लिक न करें
• अपने ब्राउज़र के एड्रेस बार में URL को ध्यान से सत्यापित करें (हमलावर मिलते-जुलते डोमेन इस्तेमाल करते हैं जैसे सिरिलिक अक्षरों वाला "binanсe.com")
• अपने exchange पर एंटी-फ़िशिंग कोड सेट करें ताकि आप वैध ईमेल सत्यापित कर सकें

3. सोशल मीडिया नकल

स्कैमर Telegram, Discord, Twitter, या Reddit पर वैध प्लेटफ़ॉर्म के सपोर्ट कर्मचारियों की नकल करते हैं। वे आपको "मदद" की पेशकश करते हुए DM करेंगे और अंततः API keys, पासवर्ड, या seed phrases माँगेंगे।

खुद को कैसे बचाएँ:

• वैध सपोर्ट टीमें आपको कभी पहले DM नहीं करेंगी
• किसी भी मैसेजिंग ऐप में कभी API keys, पासवर्ड, या seed phrases साझा न करें
• केवल प्लेटफ़ॉर्म की वेबसाइट पर सूचीबद्ध आधिकारिक सपोर्ट चैनल इस्तेमाल करें

4. "मेरा बॉट कॉपी करो" स्कैम

सोशल मीडिया पर कोई प्रभावशाली मुनाफ़े के स्क्रीनशॉट दिखाता है और अपना बॉट कॉन्फ़िगरेशन साझा करने की पेशकश करता है — पर केवल तभी अगर आप किसी संदिग्ध प्लेटफ़ॉर्म पर उनके रेफ़रल लिंक का इस्तेमाल करें, या अगर आप उन्हें क्रिप्टो में कोई "सेटअप फ़ीस" भेजें।

खुद को कैसे बचाएँ:

• मुनाफ़े के स्क्रीनशॉट आसानी से गढ़े जा सकते हैं
• Freya Finance जैसे वैध मार्केटप्लेस प्लेटफ़ॉर्म कॉन्फ़िगरेशन साझा करना प्लेटफ़ॉर्म के भीतर पारदर्शी रूप से संभालते हैं
• ट्रेडिंग बॉट पहुँच के लिए किसी को भी "फ़ीस" के तौर पर कभी क्रिप्टो न भेजें

5. पोंज़ी स्कीम बॉट

ऐसे प्लेटफ़ॉर्म जो ट्रेडिंग बॉट चलाने का दावा करते हैं पर असल में नए निवेशकों की जमाओं से "रिटर्न" चुकाते हैं। नई जमाएँ धीमी होने पर ये ढह जाते हैं, और अधिकांश प्रतिभागी सब कुछ खो देते हैं।

इन्हें कैसे पहचानें:

• रिटर्न संदिग्ध रूप से एकसमान होते हैं (असली ट्रेडिंग में गिरावटें होती हैं)
• "रेफ़रल बोनस" और नए उपयोगकर्ताओं की भर्ती पर भारी ज़ोर
• असल ट्रेडिंग रणनीतियों की अस्पष्ट या कोई व्याख्या नहीं
• सत्यापन-योग्य exchange ट्रेडिंग इतिहास नहीं दे सकते

---

व्यक्तिगत सुरक्षा-स्वच्छता

तकनीकी सुरक्षा उपाय उतने ही मज़बूत होते हैं जितनी आपकी व्यक्तिगत आदतें। इन प्रथाओं को लागू करने में कुछ मिनट लगते हैं और ये आपकी हमला-सतह को नाटकीय रूप से कम कर देती हैं।

एक समर्पित ईमेल पता इस्तेमाल करें

एक अलग ईमेल पता बनाएँ जो केवल आपके exchange खातों और ट्रेडिंग प्लेटफ़ॉर्म पंजीकरणों के लिए इस्तेमाल हो। यह ईमेल:

• आपका व्यक्तिगत या कार्य ईमेल न हो
• सार्वजनिक रूप से आपकी पहचान से न जुड़ा हो
• एक मज़बूत, यूनीक पासवर्ड इस्तेमाल करे
• authenticator-आधारित 2FA चालू रखे
• सोशल मीडिया, न्यूज़लेटर, या किसी और चीज़ के लिए इस्तेमाल न हो

यह पृथक्करण मतलब है कि अगर आपका मुख्य ईमेल किसी डेटा सेंध में समझौता हो जाए, तो आपके exchange खाते अप्रभावित रहते हैं।

एक पासवर्ड मैनेजर इस्तेमाल करें

हर खाते के पास एक यूनीक, यादृच्छिक रूप से जेनरेट किया गया पासवर्ड होना चाहिए जो कम से कम 16 अक्षर लंबा हो। आप वास्तविकता में हर सेवा के लिए यूनीक, जटिल पासवर्ड याद नहीं रख सकते — इसलिए 1Password, Bitwarden, या KeePass जैसा पासवर्ड मैनेजर इस्तेमाल करें।

आपके पासवर्ड मैनेजर को क्या संग्रहित करना चाहिए:

• Exchange लॉगिन क्रेडेंशियल्स
• बॉट प्लेटफ़ॉर्म लॉगिन क्रेडेंशियल्स
• 2FA बैकअप/रिकवरी कोड (सुरक्षित नोट्स में)
• API key लेबल और बनाने की तारीख़ें (पर असल API secrets को एक अलग, ज़्यादा सुरक्षित जगह रखने पर विचार करें)

फ़िशिंग को लेकर पैरानॉयड रहें

क्रिप्टो में फ़िशिंग #1 हमला-वेक्टर है। हमलावरों को exchange हैक करने की ज़रूरत नहीं — उन्हें बस आपको धोखा देना होता है।

जीने के नियम:

• अपने exchange और प्लेटफ़ॉर्म के URLs को बुकमार्क करें और हमेशा उन्हें बुकमार्क से ही खोलें
• exchanges से होने का दावा करने वाली ईमेल में कभी लिंक पर क्लिक न करें — सीधे साइट पर जाएँ
• क्रेडेंशियल्स डालने से पहले URLs को अक्षर-दर-अक्षर सत्यापित करें
• तात्कालिकता पैदा करने वाले किसी भी संदेश पर शक करें ("आपका खाता 24 घंटे में लॉक हो जाएगा!")
• अपना API secret, पासवर्ड, seed phrases, या 2FA कोड किसी के साथ कभी साझा न करें — यहाँ तक कि "सपोर्ट" के साथ भी नहीं

अपने डिवाइस सुरक्षित करें

• अपने ऑपरेटिंग सिस्टम और ऐप्स को अपडेट रखें — सुरक्षा पैच मायने रखते हैं
• फ़ुल-डिस्क एन्क्रिप्शन इस्तेमाल करें (Mac पर FileVault, Windows पर BitLocker)
• अनजान स्रोतों से ब्राउज़र एक्सटेंशन इंस्टॉल न करें — दुर्भावनापूर्ण एक्सटेंशन क्लिपबोर्ड की सामग्री पढ़ सकते हैं और वेब पेजों में कोड इंजेक्ट कर सकते हैं
• एक प्रतिष्ठित एंटीवायरस इस्तेमाल करें और उसे अपडेट रखें
• अपने फ़ोन को बायोमेट्रिक्स और एक मज़बूत PIN से लॉक करें — आपका authenticator ऐप इसी डिवाइस पर है

---

अगर आपको सुरक्षा सेंध का संदेह हो तो क्या करें

अगर आपको लगता है कि आपकी API keys, exchange खाते, या बॉट प्लेटफ़ॉर्म खाते से समझौता हुआ है, तो तुरंत कार्रवाई करें। गति मायने रखती है — आपकी देरी का हर मिनट वह मिनट है जिसमें एक हमलावर काम कर सकता है।

तत्काल प्रतिक्रिया (पहले 5 मिनट)

चरण 1: अपने exchange पर सभी API keys डिलीट करें

अपने exchange में सीधे लॉगिन करें (किसी लिंक के ज़रिए नहीं) और तुरंत हर API key डिलीट करें। यह तुरंत आपके खाते तक सभी तीसरे-पक्ष की पहुँच रद्द कर देता है, जिसमें आपका बॉट प्लेटफ़ॉर्म भी शामिल है। आप बाद में keys दोबारा बना सकते हैं — अभी, प्राथमिकता नियंत्रण है।

चरण 2: अपना exchange पासवर्ड बदलें

अपना exchange पासवर्ड एक नए, यूनीक, यादृच्छिक रूप से जेनरेट किए गए पासवर्ड में बदलें। यह किसी ऐसे डिवाइस से करें जिस पर आप भरोसा करते हैं — आदर्श रूप से उसी डिवाइस से नहीं जहाँ समझौता हुआ हो सकता है।

चरण 3: खुले ऑर्डर और पोज़िशन की समीक्षा करें

किसी भी ऐसे ऑर्डर या पोज़िशन की जाँच करें जो आपने नहीं बनाई। किसी भी संदिग्ध खुले ऑर्डर को तुरंत रद्द करें। अपनी जानकारी के बिना खोली गई किसी भी पोज़िशन को बंद करें।

चरण 4: निकासियाँ अक्षम करें (अगर संभव हो)

कुछ exchanges आपको एक अवधि के लिए निकासियाँ फ़्रीज़ करने देते हैं (जैसे, सुरक्षा बदलावों के बाद Binance का 24-घंटे का निकासी लॉक)। अगर उपलब्ध हो तो इसे चालू करें।

जाँच (अगले 30 मिनट)

चरण 5: API key एक्सेस लॉग्स की समीक्षा करें

अपरिचित IP पतों से आए अनुरोधों के लिए अपने exchange के API एक्सेस लॉग्स जाँचें। इससे यह तय करने में मदद मिलती है कि आपकी API key वास्तव में किसी हमलावर द्वारा इस्तेमाल हुई या ख़तरा नियंत्रित रहा।

चरण 6: लॉगिन इतिहास की समीक्षा करें

अपरिचित डिवाइस, स्थानों, या IP पतों के लिए अपने exchange का लॉगिन इतिहास जाँचें। अगर आपको अनधिकृत लॉगिन दिखते हैं, तो आपकी खाता क्रेडेंशियल्स (सिर्फ़ API keys नहीं) से समझौता हो सकता है।

चरण 7: अपना ईमेल खाता जाँचें

अगर आपके exchange खाते से समझौता हुआ, तो आपका ईमेल भी समझौतित हो सकता है। संदिग्ध लॉगिन गतिविधि, अनधिकृत फ़ॉरवर्डिंग नियमों, या अपरिचित कनेक्टेड ऐप्स के लिए जाँचें। अपना ईमेल पासवर्ड बदलें और 2FA सेटिंग्स की समीक्षा करें।

चरण 8: अपने डिवाइस स्कैन करें

किसी भी ऐसे डिवाइस पर पूरा मैलवेयर स्कैन चलाएँ जिसका इस्तेमाल आपने अपने exchange या बॉट प्लेटफ़ॉर्म तक पहुँचने के लिए किया है।

रिकवरी (नियंत्रण के बाद)

चरण 9: exchange सपोर्ट से संपर्क करें

किसी भी अनधिकृत गतिविधि के विवरण के साथ अपने exchange की आधिकारिक सपोर्ट टीम को घटना की रिपोर्ट करें।

चरण 10: कड़ी सुरक्षा के साथ API keys दोबारा बनाएँ

एक बार जब आप सत्यापित कर लें कि आपका खाता सुरक्षित है, तो IP whitelisting और न्यूनतम आवश्यक अनुमतियों के साथ नई API keys बनाएँ।

चरण 11: सब कुछ दस्तावेज़ करें

समयरेखा, आपने क्या देखा, और आपने क्या कार्रवाइयाँ कीं, इनका रिकॉर्ड रखें। यह किसी भी सपोर्ट जाँच में मदद करता है और अगर आपको अधिकारियों को घटना की रिपोर्ट करने की ज़रूरत हो तो अहम है।

---

जोखिम प्रबंधन: वह सुरक्षा जो आप अपनी रणनीति में बनाते हैं

सुरक्षा केवल अनधिकृत पहुँच रोकने के बारे में नहीं है — यह बाज़ार जोखिम के कारण अत्यधिक नुकसान से खुद को बचाने के बारे में भी है। उचित जोखिम प्रबंधन वित्तीय सुरक्षा का एक रूप है।

पोज़िशन साइज़िंग

अपना पूरा ट्रेडिंग बैलेंस कभी किसी एक बॉट या एक ट्रेडिंग जोड़ी को न आवंटित करें। एक सामान्य दिशानिर्देश:

• प्रति-बॉट आवंटन: प्रति बॉट अपनी कुल ट्रेडिंग पूँजी का 10-20% से ज़्यादा नहीं
• प्रति-जोड़ी आवंटन: किसी एक ट्रेडिंग जोड़ी में अपनी पूँजी का 25-30% से ज़्यादा नहीं
• कुल सक्रिय आवंटन: अप्रत्याशित बाज़ार स्थितियों के लिए अपने बैलेंस का 20-30% रिज़र्व में रखें

Stop Losses गैर-समझौतायोग्य हैं

हर बॉट में एक Stop Loss कॉन्फ़िगर होना चाहिए। एक Stop Loss स्वचालित रूप से आपकी पोज़िशन बंद कर देता है अगर नुकसान एक पूर्व-निर्धारित सीमा से आगे बढ़ जाए, जिससे एक बुरा ट्रेड एक विनाशकारी ट्रेड बनने से रुक जाता है।

हाँ, Stop Losses का मतलब है कि कभी-कभी आप किसी रिकवरी से पहले बंद हो जाएँगे। यह बीमे की क़ीमत है। वे ट्रेड जहाँ एक Stop Loss किसी ढहती एसेट पर 70-80% की गिरावट से आपको बचा लेता है, हर समय-पूर्व निकास के लायक़ हैं।

विविधीकरण

पाँच बॉट सब एक ही एसेट ट्रेड करते हुए न चलाएँ। अगर BTC 20% गिरता है, तो पाँचों बॉट एक साथ मुसीबत में हैं। अपने बॉट को इनमें फैलाएँ:

• अलग-अलग ट्रेडिंग जोड़ियाँ (BTC, ETH, SOL, आदि)
• अलग-अलग रणनीतियाँ (DCA, grid, signal-आधारित)
• अलग-अलग टाइमफ़्रेम (अल्पकालिक और दीर्घकालिक)

छोटे से शुरू करें और धीरे-धीरे बढ़ाएँ

जब तक आप सीखते हैं कि आपके बॉट कैसा बर्ताव करते हैं, तब तक थोड़ी पूँजी से शुरू करें। अपना आवंटन तभी बढ़ाएँ जब आपने अलग-अलग बाज़ार स्थितियों में एकसमान प्रदर्शन देख लिया हो। Backtesting रणनीतियों को मान्य करने में मदद करती है, पर छोटी राशियों के साथ लाइव ट्रेडिंग उनकी पुष्टि करती है।

नियमित समीक्षाएँ

अपने बॉट प्रदर्शन की साप्ताहिक समीक्षाएँ शेड्यूल करें। बाज़ार बदलते हैं, और एक रणनीति जो पिछले महीने काम आई वह इस महीने कमज़ोर प्रदर्शन कर सकती है। मौजूदा स्थितियों के आधार पर — पिछले नतीजों के आधार पर नहीं — बॉट को समायोजित, अनुकूलित करने, या रोकने के लिए तैयार रहें।

मुनाफ़े और यथार्थवादी रिटर्न अपेक्षाओं पर एक व्यापक गाइड के लिए, देखें क्या क्रिप्टो ट्रेडिंग बॉट सच में मुनाफ़ेदार हैं?।

---

अक्सर पूछे जाने वाले प्रश्न

अगर कोई मेरी API key पा ले तो क्या वह मेरे फंड चुरा सकता है?

अगर आपकी API key की निकासी अनुमतियाँ अक्षम हैं (जैसा अनुशंसित है), तो एक हमलावर exchange से आपके फंड नहीं निकाल सकता। वह संभावित रूप से आपके खाते पर ट्रेड कर सकता है, पर आपकी मूल पूँजी exchange पर ही रहती है। अगर आपने IP whitelisting भी चालू कर रखी है, तो चुराई गई API key अनिवार्य रूप से बेकार है क्योंकि exchange अनधिकृत IP पतों से आने वाले अनुरोध अस्वीकार कर देगा।

क्या ट्रेडिंग बॉट प्लेटफ़ॉर्म इस्तेमाल करना सुरक्षित है?

हाँ — बशर्ते आप एक प्रतिष्ठित प्लेटफ़ॉर्म चुनें और इस गाइड की सुरक्षा प्रथाओं का पालन करें। मुख्य आवश्यकताएँ ये हैं: प्लेटफ़ॉर्म कभी निकासी अनुमतियाँ न माँगे, कभी आपके फंड की कस्टडी न ले, आपकी API keys को रेस्ट पर एन्क्रिप्ट करे, और 2FA का समर्थन करे। Freya Finance जैसे प्लेटफ़ॉर्म इन सभी मानदंडों को पूरा करते हैं। किसी प्लेटफ़ॉर्म को चुनने में मदद के लिए, हमारी प्लेटफ़ॉर्म तुलना गाइड देखें।

2FA के लिए मुझे SMS इस्तेमाल करना चाहिए या authenticator ऐप?

हमेशा SMS के बजाय एक authenticator ऐप (जैसे Google Authenticator या Authy) इस्तेमाल करें। SMS SIM-swap हमलों के प्रति कमज़ोर है, जहाँ एक हमलावर आपके मोबाइल कैरियर को आपका फ़ोन नंबर उनके SIM कार्ड पर ट्रांसफ़र करने के लिए मना लेता है। Authenticator ऐप्स कोड आपके डिवाइस पर स्थानीय रूप से जेनरेट करते हैं और आपके फ़ोन नंबर पर निर्भर नहीं करते, जिससे ये SIM-swap हमलों से प्रतिरक्षित बनते हैं।

मुझे अपनी API keys कितनी बार बदलनी चाहिए?

कोई सार्वभौमिक नियम नहीं है, पर हर 3-6 महीने में अपनी API keys बदलना एक उचित अभ्यास है। आपको keys तुरंत भी बदल देनी चाहिए अगर: आपको किसी सुरक्षा सेंध का संदेह हो, आप किसी प्लेटफ़ॉर्म से पहुँच रद्द करें, या प्लेटफ़ॉर्म किसी सुरक्षा घटना की रिपोर्ट करे। जब आप बदलें, पहले एक नई key बनाएँ, प्लेटफ़ॉर्म अपडेट करें, सत्यापित करें कि वह काम कर रही है, और फिर पुरानी key डिलीट करें।

अगर मैं अपनी API keys डिलीट कर दूँ तो मेरे बॉट का क्या होगा?

आपके बॉट तुरंत exchange से अपना कनेक्शन खो देंगे और नए ऑर्डर देना बंद कर देंगे। हालाँकि, exchange पर पहले से दिए गए कोई भी ऑर्डर तब तक सक्रिय रहेंगे जब तक वे भर न जाएँ या समाप्त न हो जाएँ। API keys डिलीट करने के बाद, अपने exchange में लॉगिन करें और किसी भी खुले ऑर्डर की मैन्युअल रूप से समीक्षा करें। जब आप नई API keys बनाते हैं, तो आपको उन्हें अपने बॉट प्लेटफ़ॉर्म से दोबारा कनेक्ट करना होगा।

क्या क्रिप्टो ट्रेडिंग बॉट के बारे में कोई क़ानून या नियम हैं?

ट्रेडिंग बॉट अधिकांश क्षेत्राधिकारों में क़ानूनी हैं — ये बस सॉफ़्टवेयर उपकरण हैं जो उन कार्रवाइयों को स्वचालित करते हैं जिन्हें आप मैन्युअल रूप से कर सकते हैं। हालाँकि, बाज़ार हेरफेर (wash trading, spoofing, pump-and-dump स्कीम) के लिए बॉट का इस्तेमाल विनियमित exchanges पर अवैध है। नियम देश-दर-देश अलग होते हैं, इसलिए अपने स्थानीय क़ानून जाँचें। इस गाइड में और Freya Finance पर चर्चित बॉट और रणनीतियाँ DCA और grid ट्रेडिंग जैसी वैध ट्रेडिंग रणनीतियों के लिए बनाई गई हैं।

समीकरण के प्लेटफ़ॉर्म पक्ष का भी मूल्यांकन कर रहे हैं? क्या Freya Finance वैध और सुरक्षित है? Freya के अपने सुरक्षा मॉडल और गैर-कस्टोडियल डिज़ाइन को कवर करता है।

---