Malwarebytes、偽の暗号資産AMLチェッカーがウォレット接続プロンプトで資金を盗み出すと警告
重要ポイント
- •本物のAMLウォレットスクリーニングに必要なのは公開アドレスのみであり、ウォレットの接続やトランザクションへの署名を求めてくるサイトは警告サインとみなすべきである。
- •一部の偽チェッカーは正規サービスのAMLBotを装い、他は一般的な名称を使用している。あるバージョンでは、偽の「Clean, Low Risk」判定を表示する前に少額の手数料の追加送金を要求する。
- •ウォレット接続後に送られてくる標的トランザクションを承認することで資金が移動する。これは、数億ドル規模の盗難暗号資産に関連付けられている商業用ドレイナーキットと同じ承認の仕組みである。
- •Malwarebytesは、同一のWebサイト基盤が異なる名前やロゴで運用されていることを発見しており、この詐欺キットが再ブランド化され転売されていることを示している。
- •Malwarebytesは、偽チェッカーに接触した人に対し、当該サイトを切断し、Revoke.cashやEtherscanのトークン承認トラッカーなどのツールでトークン権限を取り消し、危険にさらされた資金を新しいウォレットに移し、リカバリーフレーズを入力したウォレットは侵害されたとみなすよう助言している。
偽のアンチマネーロンダリング(AML)スクリーニングWebサイトが暗号資産投資家からの窃取に利用されており、Malwarebytesによると、同社が今週この攻撃を発見した。これらの詐欺サイトに共通する特徴は、訪問者にウォレットの接続とトランザクションへの署名を促す点であり、正当なウォレットチェックでこのような手順が求められることは決してない。
本物のスクリーニングに必要なのは公開アドレスのみ
アンチマネーロンダリング規則の下では、銀行および規制対象企業は、顧客が犯罪と関わりがないことを確認しなければならない。暗号資産の分野では、このスクリーニングは、ウォレットアドレスの公開トランザクション履歴にハッキング、盗難、制裁対象者、その他の不審な活動との接触がないかを確認する形で行われる。取引所や銀行は通常、Chainalysis、Elliptic、TRM Labsなどのブロックチェーン分析プロバイダーを通じてこうしたチェックを大規模に実施しており、AMLBotのような消費者向けサービスは同様の照会を簡略化したバージョンを提供している。
Malwarebytesの研究者Stefan Dasicによると、詐欺サイトはこの概念を武器に変えた。一部は正規のスクリーニングサービスであるAMLBotのブランドを模倣しており、その他は「AML Check」のような一般的な名称で運営されている。
訪問者は暗号資産を選択してスキャンをクリックすると、結果を確認するためにウォレットの接続を求められる。Malwarebytesが調査した1つのバージョンでは、「Checking wallet history…」(ウォレット履歴を確認中…)や「Verifying compliance…」(コンプライアンスを検証中…)といったメッセージとともにプログレスバーが表示され、その後、「手数料をカバーする」ための少額の追加送金を求める偽のエラーが表示される。再試行をタップするとアニメーションが再度実行され、サイトは安心させるような「Clean, Low Risk」(クリーン、低リスク)という判定結果とレポートのダウンロード案内を返してくる。
一方、本物の基本的なスクリーニングに必要なのはウォレットの公開アドレスのみである。これは単純な照会であり、署名も、権限の付与も、ウォレットの接続も伴わない。
「AMLチェッカーが公開アドレスの入力だけでなくウォレットの接続を求めてくる場合は、それを警告サインと考えてください」とMalwarebytesチームは述べている。
ウォレットを接続しても鍵が渡されるわけではないが、公開アドレスは露出する。これにより運営者はウォレット内の資産を確認し、その特定のウォレットを狙ったトランザクションを作成して、被害者に承認のために送信できる。資金が動くのは承認の瞬間であり、研究者らは予期しないトランザクションを確認しないよう助言している。この承認の仕組みは商業用ドレイナーキットに使われているものと同一であり、オンチェーン調査者は、ここ数年で数億ドル規模の盗難暗号資産にそれらが関連していることを突き止めている。
Malwarebytesは、同一の基盤が異なる名前やロゴで使用されていることを発見しており、これはキットが再ブランド化されて転売されている兆候である。
500ドルのキット、15%ボーナスを隠れ蓑にリカバリーフレーズをフィッシング
このキャンペーンは、ターンキー型の暗号資産詐欺ツールというより広範な傾向に当てはまる。今月、Cryptopolitanが報じたところによれば、サイバー犯罪フォーラムで販売されている500ドルのキットは、偽の$TSLAプレセールを作成し、訪問者ごとのウォレットに価値ある資産がないかスキャンする。このキットは15%のボーナスの提供を餌に12語のリカバリーフレーズのフィッシングを試み、その管理パネルでは運営者が偽の残高を自由に膨らませることができるため、被害者は支払いを続けてしまう。
5月には、Solana Floorのアナリストが、Jupiter ExchangeのJupuaryエアドロップを装った偽の「$CJUP」トークンをSolanaウォレットに大量に送りつけ、受け取った人をドレイナーサイトへリダイレクトする手法を発見した。当時Cryptopolitanが報じたとおりである。
またCoinDCXは、2024年4月から2026年1月の間に、自社プラットフォームを装った1,212件を超える偽Webサイトを検出したと述べている。ムンバイ警察は、CoinDCXを装うWebサイトを通じて行われた詐欺についてFIRを登録した。
偽のチェッカーを利用した後の対応
Malwarebytesは以下の助言を示した。
- ウォレットを接続しただけの場合は、当該サイトを切断すべきである。
- トークンにウォレットへのアクセス権限を与えた場合は、見覚えのない権限がないか確認し、取り消すべきである。
- 理解していないものに署名した場合は、最近のアクティビティを確認し、資金が危険にさらされている場合はすべてを新しいウォレットに移すべきである。
- リカバリーフレーズや秘密鍵を入力した場合は、ウォレットが侵害されたと想定すべきである。
権限のケースについては、Revoke.cashやEtherscanのトークン承認トラッカーなどの無料ツールが、残存するトークン承認の確認と取り消しに広く利用されている。
