Siti web falsi di verifica antiriciclaggio vengono utilizzati per rubare agli investitori in criptovalute, secondo Malwarebytes, che ha scoperto l'attacco questa settimana. I siti fraudolenti condividono un segnale rivelatore: invitano i visitatori a collegare un wallet e a firmare una transazione — passaggi che nessun controllo autentico del wallet richiede mai.

La verifica autentica richiede solo l'indirizzo pubblico

Secondo le normative antiriciclaggio, le banche e le società regolamentate devono verificare che i propri clienti non abbiano legami con la criminalità. Nel settore delle criptovalute, questa verifica consiste nell'esaminare la cronologia delle transazioni pubbliche di un indirizzo wallet alla ricerca di contatti con attacchi informatici, furti, parti sanzionate o altre attività sospette. Gli exchange e le banche in genere eseguono questi controlli su larga scala tramite fornitori di analisi blockchain come Chainalysis, Elliptic e TRM Labs, mentre i servizi rivolti ai consumatori come AMLBot offrono versioni semplificate della stessa consultazione.

I siti fraudolenti trasformano quel concetto in un'arma, secondo il ricercatore di Malwarebytes Stefan Dasic. Alcuni copiano il marchio di AMLBot, un servizio di verifica legittimo, mentre altri operano con nomi generici come “AML Check”.

Un visitatore seleziona una criptovaluta, fa clic per avviare la scansione e poi gli viene chiesto di collegare un wallet per vedere il risultato. Una versione esaminata da Malwarebytes mostra una barra di avanzamento con messaggi come “Checking wallet history…” e “Verifying compliance…” prima di visualizzare un falso errore che richiede un piccolo versamento per “coprire la commissione”. Toccando “riprova”, l'animazione si ripete, dopo di che il sito restituisce un rassicurante verdetto “Clean, Low Risk” e l'offerta di scaricare un report.

Una verifica base autentica, al contrario, richiede soltanto l'indirizzo pubblico del wallet. Si tratta di una semplice consultazione — niente firme, nessuna autorizzazione concessa e nessuna connessione del wallet.

“Se un verificatore AML ti chiede di collegare il wallet invece di inserire semplicemente il suo indirizzo pubblico, consideralo un segnale d'allarme”, ha scritto il team di Malwarebytes.

Collegare un wallet non comporta la consegna delle chiavi, ma espone l'indirizzo pubblico. Questo consente agli operatori di vedere quali attività contiene e di costruire una transazione mirata a quel preciso wallet, che viene poi inviata alla vittima per l'approvazione. L'approvazione è il momento in cui il denaro si muove, e i ricercatori sconsigliano di confermare una transazione inattesa. Quel meccanismo di approvazione è lo stesso alla base dei kit drainer commerciali, che gli investigatori on-chain hanno collegato a centinaia di milioni di dollari in criptovalute rubate negli ultimi anni.

Malwarebytes ha scoperto che lo stesso scheletro di sito viene riutilizzato con nomi e loghi diversi, un segnale che il kit viene ribattezzato e rivenduto.

Un kit da 500 dollari sottrae frasi di recupero dietro un bonus del 15%

La campagna si inserisce in un quadro più ampio di strumenti di frode cripto pronti all'uso. Questo mese, Cryptopolitan ha riferito di un kit da 500 dollari in vendita su un forum di criminalità informatica che crea un falso presale di $TSLA e analizza il wallet di ogni visitatore alla ricerca di attività di valore. Il kit tenta poi di carpire la frase di recupero di 12 parole offrendo un bonus del 15%, e il suo pannello di amministrazione consente agli operatori di gonfiare a piacere i saldi falsi così che le vittime continuino a pagare.

A maggio, gli analisti di Solana Floor hanno individuato uno schema che ha inondato i wallet Solana di finti token “$CJUP” che si spacciavano per l'airdrop Jupuary di Jupiter Exchange e reindirizzavano i destinatari a un sito drainer, come Cryptopolitan ha riferito all'epoca.

CoinDCX, da parte sua, ha dichiarato di aver rilevato più di 1.212 siti web falsi che imitavano la propria piattaforma tra aprile 2024 e gennaio 2026. La polizia di Mumbai ha registrato un FIR contro una frode perpetrata tramite un sito web che impersonava CoinDCX.

Cosa fare dopo aver interagito con un finto verificatore

Malwarebytes ha fornito i seguenti consigli:

• Chi ha soltanto collegato un wallet dovrebbe disconnettere il sito.
• Chi ha concesso a un token l'autorizzazione ad accedere al proprio wallet dovrebbe controllare la presenza di autorizzazioni non riconosciute e revocarle.
• Chi ha firmato qualcosa senza comprenderla dovrebbe esaminare l'attività recente e, se i fondi sono esposti, trasferire tutto su un nuovo wallet.
• Chi ha inserito una frase di recupero o una chiave privata dovrebbe considerare il wallet compromesso.

Per quanto riguarda lo scenario delle autorizzazioni, strumenti gratuiti come Revoke.cash e il tracker delle approvazioni token di Etherscan sono ampiamente utilizzati per esaminare e annullare le approvazioni token in sospeso.