Fałszywe strony do weryfikacji zgodności z przepisami AML są wykorzystywane do kradzieży środków inwestorom kryptowalutowym, wynika z ustaleń Malwarebytes, które odkryło atak w tym tygodniu. Oszukańcze witryny mają jeden charakterystyczny sygnał: proszą odwiedzających o połączenie portfela i podpisanie transakcji — to kroki, których żadna prawdziwa kontrola portfela nigdy nie wymaga.

Prawdziwa weryfikacja wymaga tylko publicznego adresu

Zgodnie z przepisami dotyczącymi przeciwdziałania praniu pieniędzy banki i podmioty regulowane muszą sprawdzać, czy ich klienci nie mają powiązań z przestępczością. W krypto taka kontrola polega na sprawdzaniu publicznej historii transakcji adresu portfela pod kątem kontaktów z atakami hakerskimi, kradzieżami, podmiotami objętymi sankcjami lub inną podejrzaną aktywnością. Giełdy i banki zwykle wykonują te kontrole na dużą skalę za pośrednictwem dostawców analityki blockchain, takich jak Chainalysis, Elliptic i TRM Labs, a usługi skierowane do użytkowników, takie jak AMLBot, oferują uproszczone wersje tego samego sprawdzenia.

Według badacza Malwarebytes Stefana Dasica fałszywe strony zamieniają tę koncepcję w broń. Niektóre kopiują identyfikację wizualną AMLBot, legalnej usługi weryfikacyjnej, a inne działają pod ogólnymi nazwami, takimi jak „AML Check”.

Odwiedzający wybiera kryptowalutę, klika, aby ją przeskanować, a następnie otrzymuje prośbę o połączenie portfela, aby zobaczyć wynik. Jedna z wersji analizowanych przez Malwarebytes wyświetla pasek postępu z komunikatami typu „Checking wallet history…” i „Verifying compliance…” przed pokazaniem fałszywego błędu, który prosi o niewielką dopłatę, aby „cover the fee”. Po kliknięciu ponów próbę animacja uruchamia się ponownie, po czym witryna zwraca uspokajający werdykt „Clean, Low Risk” i oferuje pobranie raportu.

Prawdziwa podstawowa weryfikacja wymaga natomiast wyłącznie publicznego adresu portfela. To proste wyszukiwanie — bez podpisywania, bez nadawania uprawnień i bez łączenia portfela.

„If an AML checker asks you to connect your wallet rather than simply enter its public address, treat that as a warning sign,” wrote the Malwarebytes team.

Połączenie portfela nie oddaje kluczy, ale ujawnia publiczny adres. Umożliwia to operatorom sprawdzenie, jakie aktywa się w nim znajdują, i przygotowanie transakcji skierowanej do konkretnego portfela. Następnie taka transakcja jest wysyłana do ofiary w celu zatwierdzenia. Zatwierdzenie to moment, w którym pieniądze zaczynają odpływać.

Badacze odradzają potwierdzanie nieoczekiwanej transakcji.

Malwarebytes odkryło tę samą strukturę wykorzystywaną pod różnymi nazwami i logo. Oznacza to, że zestaw jest przepakowywany i odsprzedawany.

Zestaw za 500 USD wyłudza frazy odzyskiwania w zamian za 15% bonusu

W tym miesiącu Cryptopolitan informował o gotowym zestawie za 500 USD dostępnym na forum cyberprzestępczym. Zestaw tworzy fałszywą przedsprzedaż $TSLA i skanuje portfel każdego odwiedzającego w poszukiwaniu wartościowych aktywów.

Następnie próbuje wyłudzić 12-wyrazową frazę odzyskiwania, oferując 15% bonusu. Panel administracyjny pozwala operatorom dowolnie zawyżać fałszywe salda, aby ofiary nadal płaciły.

W maju analitycy Solana Floor zauważyli schemat, który zalewał portfele Solana fałszywymi tokenami „$CJUP”, podszywającymi się pod airdrop Jupuary od Jupiter Exchange i przekierowującymi odbiorców do strony drenującej, jak wówczas informował Cryptopolitan.

CoinDCX podał z kolei, że wykrył ponad 1,212 fałszywych stron podszywających się pod jego platformę między kwietniem 2024 a styczniem 2026. Policja w Mumbaju zarejestrowała FIR w sprawie oszustw dokonywanych za pośrednictwem strony podszywającej się pod CoinDCX.

Co zrobić po kontakcie z fałszywą sprawdzarką

Malwarebytes przekazało następujące zalecenia:

• Osoby, które tylko połączyły portfel, powinny odłączyć witrynę.
• Osoby, które nadały tokenowi uprawnienia do dostępu do portfela, powinny sprawdzić nieznane uprawnienia i je cofnąć.
• Osoby, które podpisały coś, czego nie rozumiały, powinny przejrzeć ostatnią aktywność i, jeśli środki są narażone, przenieść wszystko do nowego portfela.
• Osoby, które podały frazę odzyskiwania lub klucz prywatny, powinny uznać portfel za skompromitowany.

W przypadku uprawnień powszechnie używa się bezpłatnych narzędzi, takich jak Revoke.cash i tracker zatwierdzeń tokenów Etherscan, do sprawdzania i cofania istniejących zgód na tokeny.