Malwarebytes a identifié de faux vérificateurs crypto AML qui incitent les utilisateurs à connecter leur portefeuille et à approuver des transactions.

Ces sites se font passer pour des services légitimes comme AMLBot et utilisent de faux scans et de faux résultats pour paraître authentiques.

Une vérification AML de base nécessite uniquement une adresse publique de portefeuille, et non une connexion de portefeuille ou une approbation de transaction.

La société de cybersécurité Malwarebytes a averti que des escrocs ciblent les détenteurs de crypto avec de faux services de lutte contre le blanchiment d’argent conçus pour amener les utilisateurs à approuver des transactions susceptibles de mettre leurs actifs numériques en danger.

Dans un rapport publié mercredi, Malwarebytes a indiqué que ces sites usurpent l’identité de services qui vérifient si des portefeuilles crypto ont interagi avec des fonds volés ou illicites. Certains imitent le service légitime AMLBot, tandis que d’autres utilisent des noms génériques comme « AML Check ».

Les services crypto AML examinent l’historique public des transactions d’un portefeuille pour détecter des liens avec des piratages, des escroqueries, des entités sanctionnées et d’autres activités suspectes. Une vérification de base nécessite uniquement l’adresse publique d’un portefeuille et n’exige pas des utilisateurs qu’ils connectent leur portefeuille, approuvent des permissions ou signent une transaction. Les plateformes d’échange et autres services crypto effectuent un filtrage similaire à partir de listes de sanctions et de bases de données sur la finance illicite, et les fonds liés à des adresses compromises peuvent être signalés ou gelés — c’est pourquoi de nombreux utilisateurs vérifient une adresse avant d’envoyer ou de recevoir des fonds.

Selon Malwarebytes, les faux sites demandent aux utilisateurs de connecter leur portefeuille crypto pour une vérification AML, puis simulent le processus avec de faux messages de progression et de faux résultats. Un site demandait aux utilisateurs une petite somme pour couvrir un prétendu frais avant de retourner un résultat « Clean, Low Risk » (propre, risque faible), qu’une véritable vérification ait eu lieu ou non.

« Si un vérificateur AML vous demande de connecter votre portefeuille au lieu de simplement saisir son adresse publique, considérez cela comme un signal d’alarme », ont écrit les chercheurs de Malwarebytes.

La seule connexion d’un portefeuille ne permet pas aux escrocs de voler des fonds, mais elle révèle l’adresse publique du portefeuille, ce qui leur permet de voir ses actifs et de créer une transaction que la victime doit approuver. C’est à cette étape d’approbation que réside le véritable risque : sur des réseaux comme Ethereum, la signature d’une approbation donne à un contrat intelligent l’autorisation de dépenser les tokens détenus dans le portefeuille, généralement sans limite de temps — le mécanisme derrière les campagnes de phishing de type « wallet drainer » (draineur de portefeuille), dans lesquelles les victimes autorisent sans le savoir des transferts qui vident leurs fonds.

Malwarebytes a constaté que le même design et le même processus de base étaient utilisés sous plusieurs noms et logos, ce qui suggère que le modèle d’escroquerie est réutilisé et rebaptisé.

Les utilisateurs crypto expérimentés ne sont pas étrangers à ce genre de schémas, mais les dernières semaines ont vu une série de campagnes de phishing utilisant de faux sites web pour cibler les détenteurs de crypto.

Début ce mois-ci, les fabricants de portefeuilles matériels Trezor et Foundation ont averti de l’existence d’e-mails de phishing dirigeant les utilisateurs vers un site Coldcard cloné. En mars, Malwarebytes avait découvert une fausse version du jeu Pudgy World de Pudgy Penguins conçue pour voler les mots de passe des portefeuilles. Ce même mois, la plateforme d’échange crypto CoinDCX a déclaré avoir identifié plus de 1 200 sites web usurpant l’identité de sa plateforme entre avril 2024 et janvier 2026.

Malwarebytes a conseillé aux utilisateurs ayant approuvé un accès à des tokens de révoquer les permissions suspectes, ce qui peut être fait via des outils de révocation d’approbation de tokens permettant aux propriétaires de portefeuilles d’annuler les permissions de dépense précédemment accordées. Les utilisateurs ayant saisi une phrase de récupération ou une clé privée devraient considérer leur portefeuille comme compromis et transférer leurs actifs vers un nouveau portefeuille.

« Les transactions crypto ne peuvent généralement pas être annulées une fois confirmées, il est donc essentiel d’agir rapidement si vous avez approuvé quelque chose de suspect », a déclaré Malwarebytes.