Фальшивые AML-проверки криптокошельков выманивают разрешения у пользователей

Что произошло

Malwarebytes выпустила отчет о фальшивых сайтах, которые маскируются под криптовалютные AML-сервисы. Такие сервисы обычно проверяют публичную историю транзакций кошелька на связи со взломами, скамом, санкционными адресами и другой подозрительной активностью.

Часть сайтов копирует легитимный сервис AMLBot, другие используют общие названия вроде AML Check. По данным Malwarebytes, мошеннические страницы просят пользователей подключить кошелек для AML-проверки, после чего показывают фальшивые сообщения о ходе процесса и результаты.

Как работает схема

Базовая проверка AML требует только публичный адрес кошелька. Пользователю не нужно подключать кошелек, подтверждать разрешения или подписывать транзакцию.

Один из выявленных сайтов просил внести небольшую сумму для оплаты якобы комиссии, а затем показывал результат «Clean, Low Risk» независимо от того, проводилась ли настоящая проверка.

Само подключение кошелька не дает мошенникам прямой возможности украсть средства. Но оно раскрывает публичный адрес, позволяет увидеть активы и подготовить транзакцию, которую жертве предложат одобрить.

На что обратить внимание

Исследователи Malwarebytes назвали тревожным сигналом ситуацию, когда AML-сервис просит подключить кошелек вместо того, чтобы просто ввести его публичный адрес.

Компания также обнаружила один и тот же базовый дизайн и процесс под разными названиями и логотипами. Это указывает на повторное использование и ребрендинг мошеннического шаблона.

Контекст

Malwarebytes отмечает, что в последнее время идет серия фишинговых кампаний с поддельными сайтами, нацеленными на держателей криптовалют.

Ранее в этом месяце производители аппаратных кошельков Trezor и Foundation предупреждали о фишинговых письмах, которые вели пользователей на клонированный сайт Coldcard. В марте Malwarebytes обнаружила фальшивую версию игры Pudgy Penguins Pudgy World, созданную для кражи паролей от кошельков.

В том же месяце криптобиржа CoinDCX заявила, что выявила более 1 200 сайтов, имитировавших ее платформу в период с апреля 2024 года по январь 2026 года.

Что советует Malwarebytes

Пользователям, которые уже одобрили доступ к токенам, Malwarebytes рекомендует отозвать подозрительные разрешения.

Если пользователь ввел seed-фразу или приватный ключ, кошелек следует считать скомпрометированным и перевести активы на новый кошелек. Malwarebytes напоминает, что подтвержденные криптотранзакции обычно нельзя отменить, поэтому при подозрительном одобрении важно действовать быстро.