De faux sites de vérification anti-blanchiment sont utilisés pour voler les investisseurs en cryptomonnaies, selon Malwarebytes, qui a découvert l'attaque cette semaine. Ces sites frauduleux partagent un signe révélateur : ils incitent les visiteurs à connecter un portefeuille et à signer une transaction — des étapes qu'aucune vérification de portefeuille authentique n'exige jamais.

Une véritable vérification ne nécessite que l'adresse publique

Au titre des règles de lutte contre le blanchiment d'argent, les banques et les entreprises réglementées doivent vérifier que leurs clients n'ont aucun lien avec la criminalité. En crypto, cette vérification consiste à examiner l'historique public des transactions d'une adresse de portefeuille pour détecter d'éventuels contacts avec des piratages, des vols, des parties sous sanctions ou toute autre activité suspecte. Les plateformes d'échange et les banques effectuent généralement ces contrôles à grande échelle via des prestataires d'analyse de blockchain tels que Chainalysis, Elliptic et TRM Labs, tandis que des services grand public comme AMLBot proposent des versions simplifiées de cette même recherche.

Les sites frauduleux transforment ce concept en arme, selon le chercheur de Malwarebytes Stefan Dasic. Certains copient l'image de marque d'AMLBot, un service de vérification légitime, tandis que d'autres opèrent sous des noms génériques comme « AML Check ».

Un visiteur sélectionne une cryptomonnaie, clique pour l'analyser, puis est invité à connecter un portefeuille pour consulter le résultat. Une version examinée par Malwarebytes affiche une barre de progression avec des messages comme « Vérification de l'historique du portefeuille… » et « Vérification de la conformité… » avant de faire apparaître une fausse erreur réclamant un petit dépôt complémentaire pour « couvrir les frais ». En appuyant sur « Réessayer », l'animation se relance, après quoi le site délivre un verdict rassurant de « Propre, risque faible » et propose de télécharger un rapport.

Une véritable vérification de base ne nécessite, en revanche, que l'adresse publique du portefeuille. Il s'agit d'une simple recherche — sans signature, sans permission accordée et sans connexion de portefeuille.

« Si un vérificateur AML vous demande de connecter votre portefeuille plutôt que de simplement saisir son adresse publique, considérez cela comme un signal d'alerte », a écrit l'équipe de Malwarebytes.

Connecter un portefeuille ne remet pas les clés, mais il expose l'adresse publique. Cela permet aux opérateurs de voir quels actifs s'y trouvent et de construire une transaction ciblant ce portefeuille précis, qui est ensuite envoyée à la victime pour approbation. L'approbation est le moment où l'argent change de main, et les chercheurs déconseillent de confirmer une transaction inattendue. Ce mécanisme d'approbation est le même que celui des kits de drainage commerciaux, que les enquêteurs on-chain ont associés à des centaines de millions de dollars de cryptomonnaies volées ces dernières années.

Malwarebytes a découvert la même structure de site utilisée sous différents noms et logos, signe que le kit est rebaptisé et revendu.

Un kit à 500 dollars hameçonne les phrases de récupération derrière un bonus de 15 %

Cette campagne s'inscrit dans un schéma plus large d'outils de fraude crypto clés en main. Ce mois-ci, Cryptopolitan a rapporté qu'un kit vendu 500 dollars sur un forum de cybercriminalité crée une fausse prévente $TSLA et analyse le portefeuille de chaque visiteur à la recherche d'actifs de valeur. Le kit tente ensuite d'hameçonner la phrase de récupération de 12 mots en proposant un bonus de 15 %, et son panneau d'administration permet aux opérateurs de gonfler à volonté de faux soldes afin que les victimes continuent de payer.

En mai, les analystes de Solana Floor ont repéré un dispositif qui a inondé les portefeuilles Solana de faux jetons « $CJUP » usurpant l'airdrop Jupuary de Jupiter Exchange et redirigeant les destinataires vers un site de drainage, comme Cryptopolitan l'avait rapporté à l'époque.

CoinDCX, de son côté, a déclaré avoir détecté plus de 1 212 faux sites usurpant l'identité de sa plateforme entre avril 2024 et janvier 2026. La police de Mumbai a enregistré une FIR contre une fraude perpétrée via un site usurpant l'identité de CoinDCX.

Que faire après avoir interagi avec un faux vérificateur

Malwarebytes a formulé les conseils suivants :

• Toute personne qui a simplement connecté un portefeuille devrait déconnecter le site.
• Toute personne qui a accordé à un jeton la permission d'accéder à son portefeuille devrait vérifier les permissions inconnues et les révoquer.
• Toute personne qui a signé quelque chose qu'elle ne comprenait pas devrait examiner son activité récente et, si des fonds sont exposés, tout transférer vers un nouveau portefeuille.
• Toute personne qui a saisi une phrase de récupération ou une clé privée devrait considérer son portefeuille comme compromis.

Pour le scénario des permissions, des outils gratuits comme Revoke.cash et le traqueur d'approbations de jetons d'Etherscan sont largement utilisés pour examiner et annuler les approbations de jetons en cours.