Malwarebytesは、ユーザーを騙してウォレットを接続させ、トランザクションを承認させる偽の暗号資産AMLチェッカーを特定した。

これらのサイトはAMLBotなどの正当なサービスになりすまし、偽のスキャンや結果を表示して本物のように見せかけている。

基本的なAMLチェックに必要なのは公開ウォレットアドレスのみであり、ウォレットの接続やトランザクションの承認は必要ない。

サイバーセキュリティ企業のMalwarebytesは、詐欺師が偽のマネーロンダリング対策（AML）サービスを使って暗号資産保有者を狙い、デジタル資産を危険にさらしかねないトランザクションを承認させようとしていると警告した。

水曜日に公開された報告書の中で、Malwarebytesは、これらのサイトが暗号資産ウォレットと盗難資金や違法資金との関わりを確認するサービスになりすましていると述べた。中には正当なサービスであるAMLBotを模倣したものもあれば、「AML Check」のような一般的な名称を使うものもある。

暗号資産のAMLサービスは、ウォレットの公開トランザクション履歴を調べ、ハッキング、詐欺、制裁対象の組織、その他の不審な活動との関連を確認する。基本的なチェックに必要なのはウォレットの公開アドレスだけであり、ユーザーがウォレットを接続したり、権限を承認したり、トランザクションに署名したりする必要はない。取引所やその他の暗号資産サービスも、制裁リストや違法金融に関するデータベースと照合する同様のスクリーニングを実施しており、汚染されたアドレスにたどれる資金はフラグ付けや凍結の対象となり得る。そのため多くのユーザーは資金の送受信前にアドレスを確認している。

Malwarebytesによると、偽サイトはAMLチェックのために暗号資産ウォレットを接続するようユーザーに促し、その後、偽の進行メッセージや結果でプロセスを装う。あるサイトは、本物のチェックが行われたかどうかにかかわらず、「Clean, Low Risk（クリーン・低リスク）」という結果を返す前に、手数料と称して少額の入金を求めていた。

「AMLチェッカーが公開アドレスの入力だけでなくウォレットの接続を求めてくる場合は、それを警戒サインとみなすべきです」とMalwarebytesの研究者は述べた。

ウォレットを接続するだけでは詐欺師が資金を盗むことはできないが、ウォレットの公開アドレスが露わになり、彼らはその資産を確認し、被害者に承認させるトランザクションを作成できるようになる。本当のリスクはこの承認の段階にある。Ethereumなどのネットワークでは、承認に署名するとスマートコントラクトにウォレット内のトークンを使用する権限が付与され、通常は有効期限が設けられていない。これが「ウォレットドレイナー」型フィッシング詐欺の仕組みであり、被害者は知らないうちに資金を空にする移転を承認してしまう。

Malwarebytesは、複数の名称やロゴの下で同じ基本的なデザインと手順が使われていることを確認し、この詐欺のテンプレートが再利用・再ブランド化されている可能性を指摘した。

経験を積んだ暗号資産ユーザーにとってこうした手口は珍しいものではないが、ここ数週間は偽のウェブサイトを使って暗号資産保有者を狙う一連のフィッシングキャンペーンが発生している。

今月上旬、ハードウェアウォレットメーカーのTrezorとFoundationは、Coldcardのクローンサイトへユーザーを誘導するフィッシングメールについて警告した。3月にはMalwarebytesが、ウォレットのパスワードを盗む目的で作られたPudgy Penguinsのゲーム「Pudgy World」の偽バージョンを発見した。同じ月、暗号資産取引所のCoinDCXは、2024年4月から2026年1月の間に、自社プラットフォームになりすました1,200件を超えるウェブサイトを特定したと発表した。

Malwarebytesは、トークンへのアクセスを承認してしまったユーザーに対し、不審な権限を取り消すよう助言した。これは、ウォレット所有者が以前に付与した使用権限を取り消せるトークン承認取り消しツールを通じて行うことができる。リカバリーフレーズや秘密鍵を入力してしまったユーザーは、そのウォレットが侵害されたとみなし、資産を新しいウォレットに移すべきである。

「暗号資産のトランザクションは一般的に、一度確認されると取り消すことができません。不審なものを承認してしまった場合は、迅速な対応が重要です」とMalwarebytesは述べた。