क्या Rabby Wallet सुरक्षित है?

छोटा जवाब

आधिकारिक स्टोर से इंस्टॉल किया गया असली Rabby Wallet रोज़ाना EVM इस्तेमाल के लिए एक ठोस विकल्प है, और इसके साइन-से-पहले वाले चेक इसे व्यवहार में कई वॉलेट्स से ज़्यादा सुरक्षित बनाते हैं। "सुरक्षित" होना वॉलेट से ज़्यादा इस बात पर निर्भर करता है कि आप इसे कैसे इस्तेमाल करते हैं: नकली डाउनलोड, किसी वेबसाइट में टाइप किया गया seed phrase या किसी drainer कॉन्ट्रैक्ट को दिया गया unlimited approval किसी भी वॉलेट को खाली कर देगा। बड़ी रकम के लिए Rabby को हार्डवेयर वॉलेट के साथ इस्तेमाल करें।

Rabby आपकी keys की सुरक्षा कैसे करता है

• सेल्फ-कस्टडी। आपका seed phrase और private keys आपके डिवाइस पर बनते हैं और आपके पासवर्ड से encrypted होकर स्टोर होते हैं। Rabby के सर्वर इन्हें नहीं रखते।
• लोकल पासवर्ड। पासवर्ड सिर्फ उसी डिवाइस पर वॉलेट अनलॉक करता है। यह कोई अकाउंट पासवर्ड नहीं है और कहीं और आपके फंड रिकवर नहीं कर सकता। अगर आप इसे भूल जाएं, तो seed phrase से रिस्टोर करें (देखें Rabby पासवर्ड भूल गए)।
• हार्डवेयर-वॉलेट का विकल्प। Ledger, Trezor, Keystone या ऐसे ही डिवाइस के साथ keys कभी आपके कंप्यूटर या फोन को नहीं छूतीं; Rabby सिर्फ डिवाइस से साइन करवाने के लिए ट्रांज़ैक्शन तैयार करता है। देखें Rabby में हार्डवेयर वॉलेट।
• साइन से पहले चेक। Rabby हर ट्रांज़ैक्शन को simulate करके बैलेंस के अनुमानित बदलाव दिखाता है, और जोखिम भरे approvals, अनजान प्राप्तकर्ताओं और संदिग्ध कॉन्ट्रैक्ट्स को फ्लैग करता है। देखें transaction simulation।

ओपन सोर्स

एक्सटेंशन का सोर्स कोड GitHub पर MIT लाइसेंस के तहत सार्वजनिक है, और मोबाइल ऐप का कोड एक अलग repository में सार्वजनिक है (CryptoSlate, अक्टूबर 2026 के अनुसार लाइसेंस फाइल के बिना)। सार्वजनिक कोड से रिसर्चर्स जांच सकते हैं कि keys कैसे स्टोर होती हैं। लेकिन इससे अपने आप यह साबित नहीं होता कि स्टोर का build उसी कोड से मेल खाता है, इसलिए ऑडिट और लंबा ट्रैक रिकॉर्ड भी मायने रखते हैं।

ऑडिट

Rabby अपनी ऑडिट रिपोर्ट अपनी GitHub repository के audits फोल्डर में रखता है, और Least Authority अपनी रिपोर्ट अपनी साइट पर प्रकाशित करता है।

स्रोत: Least Authority के ऑडिट पेज; Rabby का GitHub ऑडिट फोल्डर; CryptoSlate रिव्यू (24 अक्टूबर 2026 को अपडेट)। हमने 2026 की रिपोर्टों की findings का सारांश नहीं दिया है क्योंकि हम उन्हें पूरा नहीं पढ़ पाए। ऑडिट किसी एक समय पर कोड की समीक्षा है, कोई गारंटी नहीं। अनसुलझी findings का मतलब है कि ऑडिटरों को सुधार की गुंजाइश दिखी जिसे रिपोर्ट प्रकाशित होने तक Rabby ने नहीं अपनाया था; इसका मतलब यह नहीं कि किसी ज्ञात exploit से फंड खतरे में थे।

अक्टूबर 2022 का Rabby Swap exploit

Rabby Swap 14 सितंबर 2022 को लॉन्च हुआ। 11 अक्टूबर 2022 को एक हमलावर ने swap कॉन्ट्रैक्ट की एक खामी का फायदा उठाया, जिससे वह कई चेन पर उन यूज़र्स के टोकन मूव कर सका जिन्होंने इसे approve किया था (The Block, 11 अक्टूबर 2022)। रिपोर्ट किया गया नुकसान लगभग 114 ETH और 179 BNB था, उस समय करीब 200,000 US डॉलर (Web3 Is Going Great; CryptoSlate)। कॉन्ट्रैक्ट का ऑडिट PeckShield ने किया था, जो यह खामी नहीं पकड़ पाया।

Rabby ने Swap इस्तेमाल करने वाले सभी लोगों से सभी चेन पर सभी approvals revoke करने को कहा और बताया कि जिन वॉलेट्स ने कभी Swap इस्तेमाल नहीं किया वे प्रभावित नहीं हैं। Private keys प्रभावित नहीं हुईं। बाद के कुछ रिव्यू कहते हैं कि पीड़ितों को भरपाई की गई, लेकिन हमें इस पर Rabby का मूल बयान नहीं मिला। पुराने कॉन्ट्रैक्ट को pause नहीं किया जा सकता, इसलिए उसकी ओर इशारा करने वाला कोई भी approval अब भी जोखिम भरा है। यह सबक हर वॉलेट पर लागू होता है: किसी कॉन्ट्रैक्ट को दिया गया approval revoke करने तक खुला रहता है। अपने approvals approval explainer से जांचें और पुराने approvals revoke करें। और घटनाएं Rabby की सिक्योरिटी हिस्ट्री में दी गई हैं।

Silent-signature बग, अगस्त 2026

अगस्त 2026 में सिक्योरिटी रिसर्चर V12 ने एक्सटेंशन की एक खामी उजागर की: जिस malicious साइट से आप पहले ही कनेक्ट हो चुके थे, वह आपके देखे बिना signature हासिल कर सकती थी, लेकिन सिर्फ तब जब आपका auto-lock 10 मिनट पर सेट हो। Rabby के कोड फिक्स ने यह सुनिश्चित किया कि कोई pending signature request सिर्फ वॉलेट अनलॉक करने से approve न हो सके। फिक्स वाला एक्सटेंशन 11 अगस्त 2026 को रिलीज़ हुआ; मोबाइल ऐप प्रभावित नहीं था और किसी exploitation की रिपोर्ट नहीं आई (TechFlow, 20 अगस्त 2026; Rabby GitHub)। Rabby को अपडेट रखें।

सितंबर 2025 में, लोकप्रिय JavaScript पैकेजों पर बड़े पैमाने पर हुए हमले के दौरान, Rabby ने कहा कि उसका वॉलेट प्रभावित नहीं हुआ क्योंकि वह अपनी dependencies को pin करता है (X पर Rabby, 9 सितंबर 2025, IQ.wiki के सारांश के अनुसार)।

बड़ा जोखिम: नकली Rabby वॉलेट

Rabby से जुड़े नुकसान बग से कहीं ज़्यादा नकलबाज़ी से होते हैं:

• नकली App Store ऐप (फरवरी 2024)। "Solution Development" नाम के डेवलपर के "Rabby Wallet & Crypto Solution" नाम के ऐप ने Rabby का असली iOS ऐप रिलीज़ होने से पहले seed phrases चुराए। Rabby ने 16 फरवरी 2024 को यूज़र्स को चेतावनी दी (ForkLog)।
• नकली Firefox add-ons (2025 और 2026)। Socket के रिसर्चर्स को 40 malicious Firefox add-ons में Rabby के 13 बदले हुए builds मिले जो वॉलेट डेटा हमलावरों को भेजते थे (The Hacker News, 20 अगस्त 2026), और अक्टूबर 2026 में चार और Rabby क्लोन मिले। Rabby का कोई आधिकारिक Firefox add-on नहीं है।
• नकली वेबसाइटें। Rabby के सर्च रिज़ल्ट फ्री होस्टिंग, कोर्स प्लेटफॉर्म और हैक की गई साइटों पर बने मिलते-जुलते डाउनलोड पेजों से भरे हैं।

पूरी जानकारी और रिकवरी स्टेप्स: नकली Rabby वॉलेट स्कैम।

Signing विंडो में खतरे के संकेत

Rabby का पॉप-अप आपको जानकारी देता है; उसे पढ़ना फिर भी आपको ही है। इनमें से कुछ भी दिखे तो रुकें और reject करें:

• ऐसे टोकन बाहर जाते दिखें जिनकी आपको उम्मीद नहीं थी, जैसे कोई "free mint" या "claim" जो आपके ETH या stablecoins बाहर जाते दिखाए।
• ऐसे टोकन के लिए approval या permit जिसे आप ट्रेड नहीं कर रहे थे, खासकर unlimited अमाउंट के लिए या ऐसे spender को जिसे Rabby नया या जोखिम भरा बताए।
• किसी अनजान साइट पर NFT collection के लिए "set approval for all" रिक्वेस्ट। यह उस collection का हर NFT सौंप देता है।
• ऐसा off-chain signature (permit) जो आपको समझ न आए। किसी मैसेज पर साइन करने से उस समय बिना कोई gas खर्च हुए ट्रांसफर की अनुमति मिल सकती है।
• ऐसे एड्रेस के लिए "पहली बार का प्राप्तकर्ता" जिसे आप सोचते थे कि पहले इस्तेमाल कर चुके हैं। यह address poisoning का क्लासिक संकेत है; पूरा एड्रेस address checker से मिलाएं।
• ऐसी साइट जिस पर आप जाना ही नहीं चाहते थे। रिक्वेस्ट में दिखाया गया डोमेन जांचें।

ईमानदार सीमाएं

• यह एक hot wallet है। Keys इंटरनेट से जुड़े डिवाइस पर रहती हैं। आपके कंप्यूटर या फोन का malware, या कोई malicious ब्राउज़र एक्सटेंशन, फिर भी उन्हें चुरा सकता है।
• ब्राउज़र का जोखिम। आपका इंस्टॉल किया हर दूसरा एक्सटेंशन वेब पेज पढ़ और बदल सकता है, और कुछ पर हमलावर कब्ज़ा कर सकते हैं। कम से कम एक्सटेंशन रखें।
• चेतावनियों को नज़रअंदाज़ किया जा सकता है। Rabby आपको उसकी चेतावनियों के बावजूद साइन करने देता है, और असामान्य ट्रांज़ैक्शन के लिए blind signing अभी भी संभव है।
• Simulation की सीमाएं हैं। यह दिखाता है कि अभी क्या होगा; यह नहीं बता सकता कि approve किया गया कॉन्ट्रैक्ट बाद में क्या करेगा, और हो सकता है यह हर कस्टम नेटवर्क पर न चले।
• कमज़ोर पासवर्ड लोकल encryption को कमज़ोर करते हैं। लंबा, यूनिक पासवर्ड इस्तेमाल करें।

Rabby को सुरक्षित तरीके से कैसे इस्तेमाल करें

1. सिर्फ आधिकारिक स्टोर से इंस्टॉल करें। rabby.io खुद टाइप करें या बुकमार्क इस्तेमाल करें, और एक्सटेंशन ID acmacodkjbdgmoleebolmdjonilkdbch को verifier से जांचें।
2. अपना seed phrase कागज़ या मेटल पर लिखें और ऑफलाइन रखें। देखें seed phrase बैकअप।
3. अपना seed phrase कभी किसी वेबसाइट, चैट या फॉर्म में टाइप न करें। Rabby और DeBank इसे कभी नहीं मांगते, और असली सपोर्ट कभी पहले DM नहीं करता।
4. हर signature पर बैलेंस-बदलाव का प्रीव्यू पढ़ें। अगर ऐसे टोकन बाहर जाते दिखें जिनकी आपको उम्मीद नहीं थी, तो रुक जाएं।
5. Unlimited approvals से बचें और पुराने approvals नियमित रूप से revoke करें।
6. बचत के लिए हार्डवेयर वॉलेट इस्तेमाल करें और hot अकाउंट में सिर्फ खर्च के पैसे रखें।
7. अपना ब्राउज़र और Rabby अपडेट रखें, और गैर-ज़रूरी एक्सटेंशन हटा दें।

अक्सर पूछे जाने वाले सवाल