Gefälschte Krypto-AML-Checker versuchen, Wallets von Nutzern zu leeren
Wichtige Erkenntnisse
- •Gefälschte Websites für AML-Checks geben sich als legitime Krypto-Prüfdienste aus, darunter AMLBot, um Wallet-Inhaber ins Visier zu nehmen.
- •Malwarebytes erklärte, dass ein echter AML-Check nur eine öffentliche Wallet-Adresse benötigt und Nutzer nicht auffordern sollte, ein Wallet zu verbinden oder eine Transaktion zu signieren.
- •Einige der betrügerischen Websites simulieren Scans mit gefälschten Fortschrittsmeldungen und verlangen möglicherweise eine kleine Zahlung, bevor sie ein falsches Niedrigrisiko-Ergebnis anzeigen.
- •Die Erteilung einer Token-Freigabe kann einem Smart Contract erlauben, Vermögenswerte in einem Wallet auszugeben, was das zentrale Risiko hinter Wallet-Drainer-Betrug ist.
- •Nutzer, die verdächtige Zugriffe genehmigt haben, sollten Berechtigungen umgehend widerrufen; wer eine Recovery Phrase oder einen Private Key eingegeben hat, sollte das Wallet als kompromittiert betrachten.
Malwarebytes hat gefälschte Krypto-AML-Checker identifiziert, die Nutzer dazu bringen, ihre Wallets zu verbinden und Transaktionen zu genehmigen.
Die Websites geben sich als legitime Dienste wie AMLBot aus und verwenden gefälschte Scans und Ergebnisse, um echt zu wirken.
Ein grundlegender AML-Check erfordert nur eine öffentliche Wallet-Adresse, keine Wallet-Verbindung oder Transaktionsfreigabe.
Das Cybersecurity-Unternehmen Malwarebytes warnte, dass Betrüger Krypto-Inhaber mit gefälschten Anti-Geldwäsche-Diensten ins Visier nehmen, die darauf ausgelegt sind, Nutzer dazu zu bringen, Transaktionen zu genehmigen, die ihre digitalen Vermögenswerte gefährden könnten.
In einem am Mittwoch veröffentlichten Bericht sagte Malwarebytes, die Websites imitierten Dienste, die prüfen, ob Krypto-Wallets mit gestohlenen oder illegalen Geldern in Verbindung standen. Einige ahmen den legitimen Dienst AMLBot nach, während andere generische Namen wie „AML Check“ verwenden.
Krypto-AML-Dienste prüfen die öffentliche Transaktionshistorie einer Wallet auf Verbindungen zu Hacks, Betrugsfällen, sanktionierten Entitäten und anderen verdächtigen Aktivitäten. Ein grundlegender Check erfordert nur die öffentliche Adresse einer Wallet und verlangt nicht, dass Nutzer ihr Wallet verbinden, Berechtigungen freigeben oder eine Transaktion signieren. Börsen und andere Krypto-Dienste führen ähnliche Prüfungen gegen Sanktionslisten und Datenbanken zu illegalen Finanzströmen durch, und Mittel, die auf belastete Adressen zurückzuführen sind, können markiert oder eingefroren werden — deshalb prüfen viele Nutzer eine Adresse, bevor sie Gelder senden oder empfangen.
Laut Malwarebytes fordern die gefälschten Websites Nutzer auf, ihre Krypto-Wallets für einen AML-Check zu verbinden, und simulieren den Vorgang dann mit gefälschten Fortschrittsmeldungen und Ergebnissen. Eine Website verlangte von Nutzern eine kleine Aufladung, um eine angebliche Gebühr zu decken, bevor sie unabhängig davon, ob tatsächlich ein echter Check stattgefunden hatte, ein Ergebnis „Clean, Low Risk“ ausgab.
„Wenn ein AML-Checker Sie auffordert, Ihr Wallet zu verbinden, statt einfach nur die öffentliche Adresse einzugeben, sollten Sie das als Warnsignal behandeln“, schrieben Malwarebytes-Forscher.
Das bloße Verbinden eines Wallets ermöglicht es Betrügern nicht, Gelder zu stehlen, aber es legt die öffentliche Adresse des Wallets offen, sodass sie dessen Vermögenswerte sehen und eine Transaktion erstellen können, die das Opfer genehmigen soll. Genau dieser Freigabeschritt birgt das eigentliche Risiko: In Netzwerken wie Ethereum erteilt das Signieren einer Freigabe einem Smart Contract die Berechtigung, im Wallet gehaltene Token zu verwenden, häufig ohne zeitliche Begrenzung — der Mechanismus hinter „Wallet Drainer“-Phishing-Schemata, bei denen Opfer unwissentlich Transfers autorisieren, die ihre Mittel leeren.
Malwarebytes fand dasselbe grundlegende Design und denselben Ablauf unter mehreren Namen und Logos, was darauf hindeutet, dass die Betrugsvorlage wiederverwendet und neu gebrandet wird.
Erfahrene Krypto-Nutzer kennen solche Methoden, doch in den vergangenen Wochen hat es eine Reihe von Phishing-Kampagnen gegeben, die mit gefälschten Websites auf Krypto-Inhaber abzielen.
Anfang dieses Monats warnten die Hardware-Wallet-Hersteller Trezor und Foundation vor Phishing-E-Mails, die Nutzer auf eine geklonte Coldcard-Website leiteten. Im März entdeckte Malwarebytes eine gefälschte Version des Pudgy-World-Spiels von Pudgy Penguins, die darauf ausgelegt war, Wallet-Passwörter zu stehlen. Im selben Monat teilte die Kryptobörse CoinDCX mit, dass sie mehr als 1,200 Websites identifiziert habe, die ihre Plattform zwischen April 2024 und January 2026 imitierten.
Malwarebytes riet Nutzern, die einen Token-Zugriff genehmigt hatten, verdächtige Berechtigungen zu widerrufen, was über Tools zum Widerrufen von Token-Freigaben möglich ist, mit denen Wallet-Besitzer zuvor erteilte Ausgabenberechtigungen zurücknehmen können. Nutzer, die eine Recovery Phrase oder einen Private Key eingegeben haben, sollten das Wallet als kompromittiert betrachten und ihre Vermögenswerte auf ein neues Wallet übertragen.
„Krypto-Transaktionen lassen sich in der Regel nicht rückgängig machen, sobald sie bestätigt wurden, daher ist schnelles Handeln wichtig, wenn Sie etwas Verdächtiges genehmigt haben“, sagte Malwarebytes.
