Fałszywe sprawdzarki AML dla kryptowalut próbują opróżniać portfele użytkowników
Najważniejsze informacje
- •Fałszywe strony sprawdzające AML podszywają się pod legalne usługi weryfikacji kryptowalut, w tym AMLBot, aby atakować posiadaczy portfeli.
- •Malwarebytes podał, że prawdziwa kontrola AML wymaga jedynie publicznego adresu portfela i nie powinna prosić o połączenie portfela ani podpisanie transakcji.
- •Niektóre z fałszywych stron symulują skanowanie za pomocą komunikatów postępu i mogą prosić o niewielką płatność przed pokazaniem fałszywego wyniku niskiego ryzyka.
- •Udzielenie zgody na token może pozwolić inteligentnemu kontraktowi wydawać aktywa z portfela, co stanowi kluczowe ryzyko w oszustwach typu wallet drainer.
- •Użytkownicy, którzy zatwierdzili podejrzany dostęp, powinni szybko cofnąć uprawnienia, a każdy, kto podał frazę odzyskiwania lub klucz prywatny, powinien uznać portfel za skompromitowany.
Malwarebytes wykrył fałszywe sprawdzarki AML dla kryptowalut, które nakłaniają użytkowników do łączenia portfeli i zatwierdzania transakcji.
Strony podszywają się pod legalne usługi, takie jak AMLBot, i wykorzystują fałszywe skany oraz wyniki, aby wyglądać wiarygodnie.
Podstawowa kontrola AML wymaga jedynie publicznego adresu portfela, a nie połączenia z portfelem ani zatwierdzenia transakcji.
Firma cybersecurity Malwarebytes ostrzegła, że oszuści atakują posiadaczy kryptowalut za pomocą fałszywych usług przeciwdziałania praniu pieniędzy, zaprojektowanych tak, aby skłonić użytkowników do zatwierdzania transakcji, które mogą narazić ich aktywa cyfrowe na ryzyko.
W raporcie opublikowanym w środę Malwarebytes podał, że strony podszywają się pod usługi sprawdzające, czy portfele kryptowalut miały kontakt z kradzionymi lub nielegalnymi środkami. Niektóre imitują legalną usługę AMLBot, a inne używają ogólnych nazw, takich jak „AML Check”.
Usługi AML dla kryptowalut analizują publiczną historię transakcji portfela pod kątem powiązań z atakami hakerskimi, oszustwami, podmiotami objętymi sankcjami oraz inną podejrzaną aktywnością. Podstawowa kontrola wymaga jedynie publicznego adresu portfela i nie wymaga od użytkownika łączenia portfela, zatwierdzania uprawnień ani podpisywania transakcji. Giełdy i inne usługi kryptowalutowe prowadzą podobną weryfikację względem list sankcyjnych i baz danych dotyczących nielegalnych przepływów finansowych, a środki powiązane z „skażonymi” adresami mogą zostać oznaczone lub zamrożone — dlatego wielu użytkowników sprawdza adres przed wysłaniem lub odebraniem środków.
Według Malwarebytes fałszywe strony proszą użytkowników o połączenie portfeli kryptowalutowych w celu wykonania kontroli AML, a następnie symulują proces za pomocą fałszywych komunikatów postępu i wyników. Jedna ze stron prosiła użytkowników o niewielkie doładowanie, aby pokryć rzekomą opłatę, po czym zwracała wynik „Clean, Low Risk”, niezależnie od tego, czy rzeczywiście przeprowadzono kontrolę.
„Jeśli sprawdzarka AML prosi o połączenie portfela zamiast po prostu o wpisanie jego publicznego adresu, traktuj to jako sygnał ostrzegawczy” — napisali badacze Malwarebytes.
Samo połączenie portfela nie pozwala oszustom ukraść środków, ale ujawnia publiczny adres portfela, co umożliwia im sprawdzenie jego aktywów i utworzenie transakcji do zatwierdzenia przez ofiarę. To właśnie etap zatwierdzania niesie rzeczywiste ryzyko: w sieciach takich jak Ethereum podpisanie zgody przyznaje inteligentnemu kontraktowi uprawnienie do wydawania tokenów znajdujących się w portfelu, zwykle bez limitu czasowego — to mechanizm stojący za phishingowymi schematami „wallet drainer”, w których ofiary nieświadomie autoryzują transfery opróżniające ich środki.
Malwarebytes stwierdził, że ten sam podstawowy projekt i proces pojawiał się pod kilkoma nazwami i logotypami, co sugeruje, że szablon oszustwa jest ponownie wykorzystywany i zmieniany pod nową marką.
Doświadczeni użytkownicy kryptowalut nie są obcy tego rodzaju sztuczkom, ale w ostatnich tygodniach pojawiła się seria kampanii phishingowych wykorzystujących fałszywe strony internetowe do atakowania posiadaczy kryptowalut.
Na początku tego miesiąca producenci portfeli sprzętowych Trezor i Foundation ostrzegli przed phishingowymi e-mailami kierującymi użytkowników na sklonowaną stronę Coldcard. W marcu Malwarebytes odkrył fałszywą wersję gry Pudgy Penguins „Pudgy World”, zaprojektowaną do kradzieży haseł do portfeli. W tym samym miesiącu giełda kryptowalut CoinDCX podała, że zidentyfikowała ponad 1,200 stron internetowych podszywających się pod jej platformę między kwietniem 2024 a styczniem 2026.
Malwarebytes zalecił użytkownikom, którzy zatwierdzili dostęp do tokenów, cofnięcie podejrzanych uprawnień. Użytkownicy, którzy wpisali frazę odzyskiwania lub klucz prywatny, powinni uznać portfel za skompromitowany i przenieść swoje aktywa do nowego portfela.
„Transakcji kryptowalutowych zasadniczo nie da się odwrócić po ich potwierdzeniu, więc szybkie działanie ma znaczenie, jeśli zatwierdziłeś coś podejrzanego” — powiedział Malwarebytes.
