Gefälschte Prüfseiten für Anti-Geldwäsche-Screenings (AML) werden genutzt, um Kryptowährungsanleger zu bestehlen, wie Malwarebytes berichtet, das den Angriff diese Woche aufgedeckt hat. Die Betrugsseiten haben ein gemeinsames Erkennungsmerkmal: Sie fordern Besucher auf, eine Wallet zu verbinden und eine Transaktion zu signieren – Schritte, die keine echte Wallet-Prüfung jemals erfordert.

Eine echte Prüfung erfordert nur die öffentliche Adresse

Nach den Anti-Geldwäsche-Vorschriften müssen Banken und regulierte Unternehmen überprüfen, dass ihre Kunden keine Verbindungen zur Kriminalität haben. Im Kryptobereich besteht dieses Screening darin, die öffentliche Transaktionshistorie einer Wallet-Adresse auf Kontakte mit Hacks, Diebstählen, sanktionierten Parteien oder anderen verdächtigen Aktivitäten zu prüfen. Börsen und Banken führen solche Prüfungen üblicherweise im großen Maßstab über Blockchain-Analyseanbieter wie Chainalysis, Elliptic und TRM Labs durch, während Dienste für Endkunden wie AMLBot vereinfachte Versionen derselben Abfrage anbieten.

Die Betrugsseiten machen laut dem Malwarebytes-Forscher Stefan Dasic aus diesem Konzept eine Waffe. Einige kopieren das Markenbild von AMLBot, einem seriösen Prüfdienst, andere treten unter generischen Namen wie „AML Check“ auf.

Ein Besucher wählt eine Kryptowährung aus, startet per Klick einen Scan und wird anschließend aufgefordert, eine Wallet zu verbinden, um das Ergebnis zu sehen. Eine von Malwarebytes untersuchte Version zeigt eine Fortschrittsleiste mit Meldungen wie „Checking wallet history…“ und „Verifying compliance…“, bevor ein vorgetäuschter Fehler erscheint, der eine kleine Nachzahlung zur „Deckung der Gebühr“ verlangt. Klickt man auf „Retry“, läuft die Animation erneut, ehe die Seite ein beschwichtigendes „Clean, Low Risk“-Urteil zurückgibt und den Download eines Berichts anbietet.

Eine echte Basisprüfung setzt dagegen nur die öffentliche Adresse der Wallet voraus. Es handelt sich um eine einfache Abfrage – ohne Signieren, ohne erteilte Berechtigungen und ohne Wallet-Verbindung.

„Wenn ein AML-Prüfdienst Sie auffordert, Ihre Wallet zu verbinden, statt lediglich die öffentliche Adresse einzugeben, betrachten Sie das als Warnsignal“, schrieb das Malwarebytes-Team.

Das Verbinden einer Wallet übergibt zwar nicht die Schlüssel, legt jedoch die öffentliche Adresse offen. Das ermöglicht es den Betreibern zu sehen, welche Assets sich in der Wallet befinden, und eine gezielt auf diese Wallet zugeschnittene Transaktion zu erstellen, die dem Opfer anschließend zur Genehmigung zugesendet wird. Die Genehmigung ist der Moment, in dem das Geld bewegt wird, und Forscher raten davon ab, eine unerwartete Transaktion zu bestätigen. Derselbe Genehmigungsmechanismus steckt auch hinter kommerziellen Drainer-Kits, die On-Chain-Ermittler in den vergangenen Jahren mit Hunderten Millionen US-Dollar an gestohlener Kryptowährung in Verbindung gebracht haben.

Malwarebytes hat entdeckt, dass dasselbe Grundgerüst unter verschiedenen Namen und Logos verwendet wird – ein Hinweis darauf, dass das Kit umbenannt und weiterverkauft wird.

Ein Kit für 500 US-Dollar phisht mithilfe eines 15-%-Bonus nach Wiederherstellungsphrasen

Die Kampagne fügt sich in ein breiteres Muster von Fertig-Betrugswerkzeugen im Kryptobereich ein. In diesem Monat berichtete Cryptopolitan über ein für 500 US-Dollar in einem Cybercrime-Forum angebotenes Kit, das eine gefälschte $TSLA-Presale erstellt und die Wallet jedes Besuchers nach wertvollen Assets durchsucht. Anschließend versucht das Kit, per Phishing an die aus 12 Wörtern bestehende Wiederherstellungsphrase zu gelangen, indem es einen Bonus von 15 % anbietet; das Admin-Panel erlaubt es den Betreibern, falsche Guthaben nach Belieben aufzublähen, damit die Opfer weiterzahlen.

Im Mai entdeckten Analysten von Solana Floor ein Schema, das Solana-Wallets mit gefälschten „$CJUP“-Token überschüttete, die den Jupuary-Airdrop von Jupiter Exchange imitierten, und Empfänger auf eine Drainer-Seite umleitete, wie Cryptopolitan damals berichtete.

CoinDCX wiederum hat mitgeteilt, zwischen April 2024 und Januar 2026 mehr als 1.212 gefälschte Websites entdeckt zu haben, die sich als die eigene Plattform ausgeben. Die Polizei in Mumbai hat eine FIR (Erstanzeige) wegen Betrugs registriert, der über eine Website verübt wird, die sich als CoinDCX ausgibt.

Was tun nach der Interaktion mit einem gefälschten Prüfdienst

Malwarebytes gab folgende Hinweise:

• Wer nur eine Wallet verbunden hat, sollte die Verbindung zur Website trennen.
• Wer einem Token die Berechtigung für den Zugriff auf die eigene Wallet erteilt hat, sollte nach unbekannten Berechtigungen suchen und diese widerrufen.
• Wer etwas signiert hat, das er nicht verstanden hat, sollte die letzten Aktivitäten prüfen und – falls Gelder gefährdet sind – alles in eine neue Wallet verschieben.
• Wer eine Wiederherstellungsphrase oder einen privaten Schlüssel eingegeben hat, sollte davon ausgehen, dass die Wallet kompromittiert ist.

Für den Berechtigungsfall werden kostenlose Tools wie Revoke.cash und der Token-Freigabe-Tracker von Etherscan häufig verwendet, um bestehende Token-Freigaben zu prüfen und rückgängig zu machen.