I falsi controllori AML crypto spingono gli utenti ad approvare transazioni che svuotano il wallet

I siti web falsi di screening anti-riciclaggio stanno rubando agli investitori crypto.

Questi siti web invitano gli utenti a connettere un wallet e firmare una transazione, cosa non richiesta per alcun controllo wallet genuino. Malwarebytes ha scoperto l'attacco questa settimana.

Il vero controllo del wallet richiede solo l'indirizzo pubblico

Le banche e le aziende regolamentate devono verificare, ai sensi delle norme anti-riciclaggio, che i propri clienti non abbiano legami con attività criminali.

Nel mondo crypto, questo screening significa esaminare la cronologia delle transazioni pubbliche di un indirizzo wallet per contatti con hack, furti, parti sanzionate o altre attività sospette.

I siti fraudolenti prendono questa idea e la trasformano in un'arma, secondo il ricercatore di Malwarebytes Stefan Dasic.

Alcuni copiano il branding di AMLBot, un servizio di screening legittimo. Altri operano con nomi generici come “AML Check.”

Un visitatore seleziona una criptovaluta, fa clic per scansionarla e viene invitato a connettere un wallet per vedere il risultato.

Una versione esaminata da Malwarebytes visualizza una barra di avanzamento con messaggi come “Controllo cronologia wallet…” e “Verifica conformità…” prima di visualizzare un errore falso che chiede un piccolo ricarico per “coprire la tassa.”

Si preme riprova e l'animazione si ripete prima di restituire un rassicurante verdetto “Pulito, Basso Rischio” e un'offerta di scaricare un rapporto.

Un vero screening di base richiede solo l'indirizzo pubblico del wallet. È una ricerca e non c'è firma, autorizzazioni concesse o connessione del wallet.

“Se un checker AML ti chiede di connettere il tuo wallet invece di inserire semplicemente il suo indirizzo pubblico, considera questo un segnale di allarme”, ha scritto il team di Malwarebytes.

Connettere un wallet non consegna le chiavi, ma espone l'indirizzo pubblico. Questo permette agli operatori di vedere quali asset si trovano all'interno e costruire una transazione mirata a quel particolare wallet.

Quella transazione viene quindi inviata alla vittima per l'approvazione. L'approvazione è il momento in cui i fondi si muovono.

I ricercatori sconsigliano di confermare una transazione inaspettata.

Malwarebytes ha scoperto lo stesso scheletro utilizzato con nomi e loghi diversi. Il kit viene ribattezzato e rivenduto.

Un kit da $500 fa phishing delle frasi di recupero dietro un bonus del 15%

Questo mese, Cryptopolitan ha riportato su un kit chiavi in mano da $500 disponibile su un forum di cybercriminalità. Questo kit crea una falsa presale di $TSLA e scansiona il wallet di ogni visitatore per asset di valore.

Poi tenta di fare phishing della frase di recupero di 12 parole offrendo un bonus del 15%. Il suo pannello di amministrazione gonfia i saldi finti a piacchio in modo che le vittime continuino a pagare.

A maggio, gli analisti di Solana Floor hanno individuato uno schema che ha inondato i wallet Solana con token falsi “$CJUP” che impersonavano l'airdrop Jupuary di Jupiter Exchange, reindirizzando i destinatari a un sito drainer, come riportato da Cryptopolitan all'epoca.

CoinDCX ha dichiarato di aver rilevato oltre 1.212 siti web falsi che impersonano la sua piattaforma tra aprile 2024 e gennaio 2026. La polizia di Mumbai ha registrato un FIR contro le frodi perpetrate attraverso un sito web che impersona CoinDCX.

Malwarebytes ha consigliato che chiunque abbia semplicemente connesso un wallet dovrebbe disconnettersi dal sito. Chiunque abbia concesso a un token l'autorizzazione ad accedere al proprio wallet dovrebbe verificare la presenza di autorizzazioni non familiari e revocarle.

Chiunque abbia firmato qualcosa che non comprendeva dovrebbe rivedere le attività recenti e, se i fondi sono esposti, spostare tutto in un nuovo wallet. Chiunque abbia inserito una frase di recupero o una chiave privata dovrebbe assumere che il wallet sia compromesso.