क्या Cake Wallet सुरक्षित है?
Cake Wallet एक असली, ओपन-सोर्स, self-custody वॉलेट है जो 2018 से चल रहा है, और ज़्यादातर यूज़र्स के लिए यह सुरक्षित है, बशर्ते इसे ऑफिशियल सोर्स से इंस्टॉल किया जाए और सही तरीके से बैकअप लिया जाए। इसकी सबसे बुरी घटना 2020–2021 के वर्ज़न से बने कमज़ोर Bitcoin seeds थी, जिसका खुलासा Cake ने मई 2021 में किया। असल दुनिया में ज़्यादातर नुकसान नकली ऐप, फ़िशिंग और शेयर किए गए seeds से होते हैं, खुद ऐप से नहीं।
Self-custody वॉलेट के लिए "सुरक्षित" के दो हिस्से हैं: क्या सॉफ्टवेयर आपकी keys की रक्षा करता है, और क्या आप इसके आसपास के स्कैम से बच सकते हैं। यह पेज अक्टूबर 2026 की स्थिति के अनुसार, तारीखों के साथ, दोनों को कवर करता है।
छोटा जवाब
- असली (legit): हां। Cake Wallet को Cake Labs बनाती है, यह 2018 से App Store पर है, और अपना कोड MIT लाइसेंस के तहत GitHub पर प्रकाशित करता है।
- आपकी keys आपके पास रहती हैं: ऑन-चेन कॉइन non-custodial हैं। Cake आपके फंड्स को फ्रीज़, रिवर्स या रिकवर नहीं कर सकता।
- पूरी तरह बेदाग नहीं: इसमें एक गंभीर खामी (2020–2021 में कमज़ोर Bitcoin seeds), 2026 में एक मध्यम advisory, और ऐसे बिल्ड हैं जिन्हें स्वतंत्र रूप से reproduce नहीं किया जा सकता।
- सबसे बड़ा खतरा: कोड नहीं, लोग। हमने जिन नुकसानों की चर्चा देखी है, उनमें से ज़्यादातर नकली ऐप, नकली सपोर्ट और seed की चोरी से हुए हैं।
सिक्योरिटी फैक्टर
| फैक्टर | स्थिति (अक्टूबर 2026) |
|---|---|
| कस्टडी | ऑन-चेन कॉइन्स के लिए non-custodial; keys आपके डिवाइस पर बनती और स्टोर होती हैं |
| सोर्स कोड | GitHub पर सार्वजनिक, MIT लाइसेंस |
| Reproducible builds | नहीं; Cake कहता है कि उसके बिल्ड अभी reproducible नहीं हैं |
| साइन की गई रिलीज़ | सितंबर 2026 में Cake ने checksum फाइलों और रिलीज़ टैग्स को साइन करने के लिए एक release key प्रकाशित की; बिना साइन की गई checksum फाइल वाली रिलीज़ नोट्स में SHA-256 हैश देती हैं |
| स्वतंत्र ऑडिट | ऐप का कोई ऑडिट नहीं मिला |
| Vulnerability रिपोर्टिंग | प्राइवेट GitHub advisory चैनल और एक encrypted ईमेल एड्रेस के साथ सिक्योरिटी पॉलिसी |
| अकाउंट या KYC | वॉलेट के लिए कोई नहीं |
| डेटा कलेक्शन | App Store लेबल कहता है "Data Not Collected" (डेवलपर द्वारा खुद बताया गया) |
| ऐप सुरक्षा | PIN, बायोमेट्रिक्स, वैकल्पिक Cake 2FA, Duress PIN |
2020–2021 के कमज़ोर Bitcoin seeds
यही वह घटना है जो सबसे ज़्यादा मायने रखती है। 2020 और 2021 की शुरुआत में रिलीज़ हुए Cake Wallet वर्ज़न ने एक असुरक्षित random number generator से Bitcoin वॉलेट बनाए। प्रभावित seeds 12-शब्दों वाले Electrum-स्टाइल ("Segwit") Bitcoin seeds हैं। रिसर्चर्स का अनुमान है कि इनकी असरदार randomness इतनी कम थी कि कोई हमलावर keys को दोबारा बना सकता है।
| तारीख | घटना |
|---|---|
| 10 मई 2021 | वर्ज़न 4.1.7 ने Bitcoin seeds बनाने का तरीका बदला |
| 11 मई 2021 | वर्ज़न 4.2.0 ने यूज़र्स से वॉलेट दोबारा बनाने को कहने वाला इन-ऐप बैनर जोड़ा; मई 2021 में Cake ने सार्वजनिक रूप से समस्या का खुलासा किया और यूज़र्स से नए वॉलेट बनाकर फंड्स ट्रांसफर करने को कहा |
| दिसंबर 2023 | Cake ने उन यूज़र्स के लिए इन-ऐप चेतावनी जोड़ी जो अब भी कोई ज्ञात कमज़ोर seed इस्तेमाल कर रहे हैं (कोड 18 दिसंबर 2023 को मर्ज हुआ, लगभग वर्ज़न 4.12.0 में आया), जिसमें Milk Sad रिसर्चर्स के दिए 8,700 से ज़्यादा वॉलेट्स का डेटा इस्तेमाल हुआ |
| मई 2024 | Milk Sad टीम ने एक तकनीकी रिपोर्ट प्रकाशित की |
| 21 मई 2024 से | रिसर्चर्स के अनुसार कमज़ोर वॉलेट्स से होने वाले बड़े आउटगोइंग ट्रांज़ैक्शन ज़्यादातर दुर्भावनापूर्ण हैं |
रिसर्चर्स ने 8,757 कमज़ोर वॉलेट गिने और नवंबर 2020 से अक्टूबर 2024 के बीच उनसे होकर लगभग 548.9 BTC गुज़रे; यह सब चोरी नहीं हुआ था, और कुल नुकसान का कोई आंकड़ा प्रकाशित नहीं हुआ है (Milk Sad रिसर्च अपडेट, 2024)। जहां तक पता है, Monero, Litecoin और दूसरे कॉइन प्रभावित नहीं हुए।
क्या करें: अगर आपके पास 2020 या 2021 की शुरुआत में Cake Wallet में बना 12-शब्दों वाला Bitcoin seed है, या आपने ऐसा seed किसी दूसरे वॉलेट में इंपोर्ट किया है, तो उसे compromised मानें। मौजूदा वर्ज़न से नया वॉलेट बनाएं और बचे हुए फंड्स तुरंत ट्रांसफर करें। हमारा seed टाइप चेकर सिर्फ शब्दों की गिनती से seed टाइप पहचानने में मदद करता है। असली शब्द कभी किसी वेबसाइट पर टाइप न करें।
ओपन सोर्स क्या साबित करता है और क्या नहीं
ओपन-सोर्स कोड से कोई भी पढ़ सकता है कि Cake Wallet keys कैसे बनाता है, nodes से कैसे बात करता है और ट्रांज़ैक्शन कैसे बनाता है। इसी वजह से बाहरी रिसर्चर्स 2021 की seed खामी का विस्तार से अध्ययन कर पाए, और इसका मतलब है कि कोड में बदलाव GitHub पर सबके सामने होते हैं।
यह साबित नहीं करता कि स्टोर वाला ऐप उसी कोड से बना है। Cake कहता है कि उसके बिल्ड अभी reproducible नहीं हैं, इसलिए आप खुद कोड compile करके तुलना के लिए हूबहू वही फाइल नहीं पा सकते (Cake Wallet VERIFY.md, 2026)। आप यह चेक कर सकते हैं कि डाउनलोड असली है: सितंबर 2026 में Cake ने नई रिलीज़ की checksum फाइलों और टैग्स को साइन करने के लिए एक release key प्रकाशित की, हर रिलीज़ SHA-256 हैश देती है, और GitHub, Accrescent और Cake की F-Droid repository के Android APK एक ही signing certificate शेयर करते हैं। हमारी डाउनलोड गाइड दिखाती है कि दोनों कैसे चेक करें।
अक्टूबर 2026 तक हमें Cake Wallet ऐप का कोई प्रकाशित स्वतंत्र सिक्योरिटी ऑडिट भी नहीं मिला। Cake एक vulnerability disclosure पॉलिसी ज़रूर चलाता है: रिसर्चर्स GitHub या encrypted ईमेल से निजी तौर पर समस्याएं रिपोर्ट कर सकते हैं, और फिक्स आने के बाद Cake advisories प्रकाशित करता है।
दूसरी advisories
4 सितंबर 2026 को Cake ने GitHub advisory GHSA-695v-fhpj-fv8x प्रकाशित की, जिसे मध्यम रेटिंग दी गई। वर्ज़न 6.1.2 से 6.3.0 में, chain ID छूट जाने की वजह से Ethereum-स्टाइल पेमेंट रिक्वेस्ट गलत EVM नेटवर्क पर तैयार हो सकती थी। खतरा एक फेल या गलत जगह गए पेमेंट का था, key चोरी का नहीं, और इसे 6.4.4 में ठीक किया गया। लेटेस्ट वर्ज़न पर अपडेट करें। घटनाओं की पूरी लिस्ट हमारे सिक्योरिटी हिस्ट्री पेज पर है।
Lightning का सवाल
वर्ज़न 6.0 (फरवरी 2026) में जोड़ा गया Lightning, Breez SDK के ज़रिए Spark नेटवर्क पर चलता है। Cake इसे self-custodial बताता है, जिसमें कोई channel मैनेज नहीं करना पड़ता। इसके docs यह भी कहते हैं कि Spark ट्रांसफर को ऑपरेटर्स का एक छोटा, permissioned समूह co-sign करता है, जो अमाउंट और एड्रेस देख सकता है (Cake Wallet docs, 2026)।
6 अक्टूबर 2026 को WalletScrutiny ने Cake Wallet को "Custodial" के रूप में फिर से वर्गीकृत किया, क्योंकि उसके विश्लेषण के अनुसार ऐप ऑपरेटर्स के बिना Lightning बैलेंस को वापस ऑन-चेन ले जाने का कोई तरीका नहीं देता। यह फैसला सिर्फ Lightning बैलेंस के बारे में है; इसका Monero, ऑन-चेन Bitcoin या दूसरे कॉइन्स से कोई संबंध नहीं है। सावधानी भरा तरीका यह है कि Lightning में सिर्फ खर्च करने लायक पैसे रखें। देखें Cake Wallet में Lightning।
प्राइवेसी बनाम सुरक्षा
Cake Wallet डिफ़ॉल्ट रूप से Cake के अपने nodes और सर्विसेज़ से कनेक्ट होता है। यह सुविधाजनक है, लेकिन वे सर्विसेज़ आपका IP एड्रेस और आप कौन सा वॉलेट डेटा मांगते हैं, यह देख सकती हैं। ज़्यादा प्राइवेसी के लिए अपना खुद का node या Tor इस्तेमाल करें। एक बात ध्यान रखें: Silent Payments के लिए, अगर आपके अपने Bitcoin सर्वर में ज़रूरी index नहीं है, तो Cake के docs कहते हैं कि ऐप Cake सर्वर पर वापस चला जाता है। पूरी जानकारी प्राइवेसी और Tor और कस्टम node में है।
असल में नुकसान कहां होता है
- नकली ऐप और क्लोन वेबसाइटें जो आपका seed मांगती हैं। सिर्फ हमारी डाउनलोड गाइड में दिए ऑफिशियल सोर्स से इंस्टॉल करें और डाउनलोड चेकर से लिंक चेक करें।
- नकली सपोर्ट। Cake Wallet कहता है कि उसका सपोर्ट कभी आपका seed नहीं मांगेगा, और जो भी पहले खुद मैसेज करके सपोर्ट ऑफर करे वह लगभग हमेशा स्कैमर होता है (Cake Wallet docs, 2026)।
- ऑनलाइन स्टोर किया गया seed, जैसे स्क्रीनशॉट, नोट्स ऐप, क्लाउड ड्राइव या ईमेल में।
- गलत एड्रेस या नेटवर्क। ट्रांज़ैक्शन वापस नहीं हो सकते। एड्रेस चेकर इस्तेमाल करें और पहले एक छोटा टेस्ट भेजें।
- "रिकवरी" सर्विसेज़ जो चोरी हुआ क्रिप्टो वापस दिलाने का वादा करती हैं। ये स्कैम हैं।
और चेतावनी के संकेत नकली Cake Wallet ऐप और स्कैम में हैं।
सुरक्षा चेकलिस्ट
- App Store, Google Play, Accrescent, Cake की F-Droid repository या GitHub से इंस्टॉल करें, जहां तक आप खुद cakewallet.com टाइप करके पहुंचे हों।
- ऐप को अपडेट रखें।
- हर seed कागज़ पर लिखें और ऑफलाइन रखें। 25-शब्दों वाले Monero seed के लिए restore height भी लिखें। देखें seed बैकअप।
- एक मज़बूत PIN सेट करें; Cake 2FA पर विचार करें। Cake बताता है कि 2FA उस व्यक्ति से बचाता है जिसके पास आपका फोन है, उससे नहीं जिसके पास आपका seed है।
- बड़ी रकम के लिए हार्डवेयर वॉलेट या Cupcake इस्तेमाल करें। देखें Ledger और Trezor।
- 2020–2021 के 12-शब्दों वाले Electrum seed वाले किसी भी पुराने Cake Bitcoin वॉलेट को बदल दें।
- अपना seed कभी शेयर न करें, और जो भी आपसे पहले खुद संपर्क करे उसे नज़रअंदाज़ करें।
अगर आपको लगे कि आपका वॉलेट compromised है
Cake की सलाह है कि हर प्रभावित कॉइन के लिए तुरंत नया वॉलेट बनाएं और बचे हुए फंड्स उसमें ट्रांसफर करें, पुराना वॉलेट इस्तेमाल करना बंद करें, हर चीज़ का रिकॉर्ड रखें, और चोरी की रिपोर्ट पुलिस और Cake सपोर्ट को करें (Cake Wallet docs, 2026)। Monero वॉलेट को सिंक करने में हमलावर को ज़्यादा समय लग सकता है, जिससे आपको कार्रवाई के लिए थोड़ा समय मिल सकता है। "रिकवरी" मददगारों को कभी और पैसे न भेजें।
अक्सर पूछे जाने वाले सवाल
क्या Cake Wallet असली (legit) है?
हां। यह Cake Labs का बनाया एक असली, ओपन-सोर्स वॉलेट है और 2018 से App Store पर उपलब्ध है। नकली कॉपी मौजूद हैं, इसलिए सिर्फ ऑफिशियल सोर्स से इंस्टॉल करें।
क्या Cake Wallet हैक हुआ है?
हमें Cake के अपने सिस्टम में कोई ऐसी सेंध नहीं मिली जिससे यूज़र्स के फंड्स खतरे में आए हों। गंभीर समस्या 2020–2021 के वर्ज़न से बने कमज़ोर Bitcoin seeds थी, और रिसर्चर्स के अनुसार 21 मई 2024 से उन वॉलेट्स से होने वाले बड़े आउटगोइंग ट्रांज़ैक्शन ज़्यादातर दुर्भावनापूर्ण रहे हैं, जहां यूज़र्स ने कभी अपने फंड्स ट्रांसफर नहीं किए।
क्या Cake Wallet मेरे फंड्स देख या फ्रीज़ कर सकता है?
नहीं, ऑन-चेन कॉइन्स के लिए नहीं। Cake ट्रांज़ैक्शन को फ्रीज़, रिवर्स या रिकवर नहीं कर सकता। जब तक आप Tor या अपना खुद का node इस्तेमाल न करें, Cake के सर्वर आपका IP एड्रेस देख सकते हैं।
क्या बड़ी रकम के लिए Cake Wallet सुरक्षित है?
बड़ी रकम के लिए इसे Ledger या Trezor के साथ जोड़ें, या Cupcake को ऑफलाइन साइनर के रूप में इस्तेमाल करें, और seed का बैकअप ऑफलाइन रखें।
क्या Cake Wallet सपोर्ट कभी पहले खुद मैसेज करता है?
Cake Wallet कहता है कि जो भी पहले खुद मैसेज करके सपोर्ट ऑफर करने का दावा करे वह लगभग हमेशा स्कैमर होता है, और उसका सपोर्ट कभी आपका seed नहीं मांगेगा।
क्या 2021 की seed खामी से मेरे Monero फंड्स प्रभावित हैं?
नहीं। यह खामी 2020 और 2021 की शुरुआत में बने 12-शब्दों वाले Electrum-स्टाइल Bitcoin seeds पर असर डालती थी, Monero seeds पर नहीं।