偽の暗号通貨AMLチェッカーがユーザーにウォレットドレイン取引の承認を促す

偽のマネーロンダリング対策スクリーニングウェブサイトが暗号通貨投資家から資金を盗んでいます。

これらのウェブサイトは、ユーザーにウォレットを接続し、トランザクションに署名するよう促しますが、これは正当なウォレットチェックには必要ありません。Malwarebytesは今週、この攻撃を発見しました。

正当なウォレットスクリーニングには公開アドレスのみが必要です

銀行や規制対象企業は、マネーロンダリング規制の下で、顧客が犯罪との関連がないことを確認する必要があります。

暗号通貨において、このスクリーニングとは、ハッキング、盗難、制裁対象者、またはその他の不審な活動との接触について、ウォレットアドレスの公開トランザクション履歴を確認することを意味します。

偽のウェブサイトは、この考え方を武器に変えています。これはMalwarebytesの研究者Stefan Dasicによるものです。

一部のサイトは、正当なスクリーニングサービスであるAMLBotのブランドをコピーしています。他のサイトは「AML Check」などの一般的な名称で運営されています。

訪問者は暗号通貨を選択し、スキャンをクリックすると、結果を表示するためにウォレットの接続を求められます。

Malwarebytesが調査した1つのバージョンは、「ウォレット履歴を確認中…」「コンプライアンスを検証中…」などのメッセージを表示するプログレスバーを表示し、その後、「手数料をカバーするため」の少額のチャージを要求する偽のエラーを表示します。

再試行をタップすると、アニメーションが再度実行され、「Clean, Low Risk」という安心させる判定と、レポートのダウンロードオファーが返されます。

正当な基本スクリーニングには、ウォレットの公開アドレスのみが必要です。これはルックアップであり、署名、権限の付与、ウォレットの接続は必要ありません。

「AMLチェッカーが公開アドレスを入力するのではなく、ウォレットの接続を要求する場合、それを警告サインとして扱ってください」とMalwarebytesチームは記しています。

ウォレットを接続しても鍵が渡されるわけではありませんが、公開アドレスが露出します。これにより、作業者は内部の資産を確認し、特定のウォレットを対象としたトランザクションを構築できます。

その後、そのトランザクションが被害者に送信され、承認を求められます。承認が資金移動の瞬間です。

研究者は、予期しないトランザクションの確認を避けるよう助言しています。

Malwarebytesは、異なる名称やロゴの下で同じ骨格が使用されていることを発見しました。このキットはリブランディングされ、再販売されています。

500のキットが15%のボーナスを装ってリカバリーフレーズをフィッシング

今月、Cryptopolitan は、サイバー犯罪フォーラムで入手可能な500ドルのターンキーキットについて報じました。このキットは偽の$TSLAプレセールを作成し、各訪問者のウォレットから貴重な資産をスキャンします。

その後、15%のボーナスを提供することで、12語のリカバリーフレーズをフィッシングしようとします。その管理パネルは、被害者が支払いを続けるように、偽の残高を自由に膨らませます。

5月、Solana Floorの分析家は、Solanaウォレットに偽の「$CJUP」トークンを大量に送信し、Jupiter ExchangeのJupuaryエアドロップを装って受信者をドレイナーサイトにリダイレクトするスキームを発見しました。これは当時Cryptopolitanが報じた内容です。

CoinDCXは、2024年4月から2026年1月の間に、自社のプラットフォームを模倣した1,212件以上の偽ウェブサイトを検出したと述べています。ムンバイ警察は、CoinDCXを模倣したウェブサイトを通じて行われている詐欺に対してFIRを登録しました。

Malwarebytes は、ウォレットに接続しただけの人はサイトを切断すべきだと助言しました。トークンにウォレットへのアクセス権限を与えた人は、見知らぬ権限がないか確認し、取り消すべきです。

理解していないものに署名した人は、最近のアクティビティを確認し、資金が露出している場合はすべてを新しいウォレットに移動すべきです。リカバリーフレーズやプライベートキーを入力した人は、ウォレットが侵害されたと見なすべきです。