Malwarebytes ha identificato finti strumenti di verifica AML crypto che inducono gli utenti a collegare i propri portafogli e ad approvare transazioni.

I siti si spacciano per servizi legittimi come AMLBot e utilizzano scansioni e risultati falsi per apparire autentici.

Un controllo AML di base richiede solo l'indirizzo pubblico del portafoglio, non il collegamento del portafoglio né l'approvazione di transazioni.

La società di cybersecurity Malwarebytes ha avvisato che i truffatori prendono di mira i possessori di crypto con falsi servizi antiriciclaggio progettati per indurre gli utenti ad approvare transazioni che potrebbero mettere a rischio i loro asset digitali.

In un rapporto pubblicato mercoledì, Malwarebytes ha dichiarato che i siti si spacciano per servizi che verificano se i portafogli crypto hanno interagito con fondi rubati o illeciti. Alcuni imitano il servizio legittimo AMLBot, mentre altri utilizzano nomi generici come “AML Check”.

I servizi AML crypto esaminano la cronologia pubblica delle transazioni di un portafoglio per individuare collegamenti con attacchi informatici, truffe, entità sanzionate e altre attività sospette. Un controllo di base richiede solo l'indirizzo pubblico di un portafoglio e non prevede che gli utenti colleghino il proprio portafoglio, approvino permessi o firmino una transazione. Gli exchange e altri servizi crypto effettuano screening simili rispetto alle liste di sanzioni e ai database di finanza illecita, e i fondi riconducibili ad indirizzi contaminati possono essere segnalati o congelati — ecco perché molti utenti verificano un indirizzo prima di inviare o ricevere fondi.

Secondo Malwarebytes, i siti falsi chiedono agli utenti di collegare i propri portafogli crypto per un controllo AML, per poi simulare il processo con falsi messaggi di avanzamento e risultati. Un sito ha chiesto agli utenti un piccolo versamento per coprire una presunta commissione prima di restituire un risultato “Clean, Low Risk”, indipendentemente dal fatto che fosse stata effettuata una verifica autentica.

“Se uno strumento di verifica AML chiede di collegare il portafoglio invece di inserire semplicemente il suo indirizzo pubblico, consideratelo un segnale d'allarme”, hanno scritto i ricercatori di Malwarebytes.

Il semplice collegamento di un portafoglio non consente ai truffatori di rubare fondi, ma rivela l'indirizzo pubblico del portafoglio, permettendo loro di vederne gli asset e di creare una transazione da far approvare alla vittima. È proprio nella fase di approvazione che risiede il rischio reale: su reti come Ethereum, firmare un'approvazione concede a uno smart contract il permesso di spendere i token presenti nel portafoglio, di solito senza limiti di tempo — il meccanismo alla base degli schemi di phishing con “wallet drainer”, in cui le vittime autorizzano inconsapevolmente trasferimenti che svuotano i loro fondi.

Malwarebytes ha riscontrato lo stesso design e processo di base utilizzati con diversi nomi e loghi, il che suggerisce che il modello della truffa venga riutilizzato e riproposto con nuovi marchi.

Gli utenti crypto esperti non sono nuovi a questo tipo di schemi, ma le ultime settimane hanno visto una serie di campagne di phishing che utilizzano siti web falsi per colpire i possessori di crypto.

All'inizio di questo mese, i produttori di portafogli hardware Trezor e Foundation hanno avvisato di email di phishing che indirizzavano gli utenti verso un sito web clonato di Coldcard. A marzo, Malwarebytes aveva scoperto una versione contraffatta del gioco Pudgy World di Pudgy Penguins progettata per rubare le password dei portafogli. Lo stesso mese, l'exchange crypto CoinDCX ha dichiarato di aver identificato oltre 1.200 siti web che si spacciavano per la sua piattaforma tra aprile 2024 e gennaio 2026.

Malwarebytes ha consigliato agli utenti che hanno approvato l'accesso ai token di revocare i permessi sospetti, operazione che può essere effettuata tramite strumenti di revoca delle approvazioni token che consentono ai proprietari dei portafogli di annullare i permessi di spesa precedentemente concessi. Gli utenti che hanno inserito una frase di recupero o una chiave privata devono considerare il portafoglio compromesso e trasferire i propri asset su un nuovo portafoglio.

“Le transazioni crypto in genere non possono essere annullate una volta confermate, quindi agire rapidamente è fondamentale se si è approvato qualcosa di sospetto”, ha dichiarato Malwarebytes.