가짜 암호화폐 AML 체크어가 사용자를 지갑 드레인 거래 승인으로 유도

가짜 자금세탁방지(AML) 스크리닝 웹사이트가 암호화폐 투자자로부터 자금을 훔치고 있다.

이 웹사이트들은 사용자에게 지갑을 연결하고 거래에 서명하라고 요청하는데, 이는 실제 지갑 확인에 필요하지 않다. Malwarebytes는 이번 주 이 공격을 발견했다.

실제 지갑 스크리닝은 공개 주소만 필요하다

은행 및 규제 기관은 자금세탁방지 규칙에 따라 고객과 범죄와의 연관성이 없는지 확인해야 한다.

암호화폐에서 이 스크리닝은 해킹, 도난, 제재 대상자 또는 기타 의심스러운 활동과의 접촉 여부를 확인하기 위해 지갑 주소의 공개 거래 내역을 살펴보는 것을 의미한다.

Malwarebytes 연구원 Stefan Dasic에 따르면 사기성 웹사이트는 이 아이디어를 무기로 전환한다.

일부는 합법적인 스크리닝 서비스인 AMLBot의 브랜딩을 복사한다. 다른 일부는 ‘AML Check’와 같은 일반적인 이름을 사용한다.

방문자는 암호화폐를 선택하고 스캔을 클릭한 후 결과를 보기 위해 지갑 연결을 요청받는다.

Malwarebytes가 조사한 한 버전은 ‘지갑 내역 확인 중…’ 및 ‘준수성 검증 중…’과 같은 메시지가 표시된 진행률 표시줄을 표시한 후, ‘수수료 충당을 위해’ 소액의 추가 입금을 요청하는 가짜 오류를 표시한다.

다시 시도 탭을 누르면 애니메이션이 다시 실행된 후 ‘안전, 저위험’이라는 안심시키는 판정과 보고서 다운로드 제안을 반환한다.

실제 기본 스크리닝에는 지갑의 공개 주소만 필요하다. 이는 조회일 뿐이며, 서명, 권한 부여 또는 지갑 연결이 필요 없다.

“AML 체크어가 공개 주소를 단순히 입력하라고 하는 대신 지갑 연결을 요청하면, 이를 경고 신호로 간주해야 한다,”고 Malwarebytes 팀은 작성했다.

지갑을 연결한다고 해서 키가 넘겨지는 것은 아니지만, 공개 주소가 노출된다. 이를 통해 운영자는 지갑 내 자산을 확인하고 해당 특정 지갑을 표적으로 한 거래를 구성할 수 있다.

그런 다음 해당 거래가 피해자에게 승인용으로 전송된다. 승인이 바로 자금이 이동하는 순간이다.

연구원은 예기치 않은 거래를 확인하지 말 것을 권고한다.

Malwarebytes는 동일한 뼈대가 다른 이름과 로고로 사용되고 있는 것을 발견했다. 이 키트는 리브랜딩되어 재판매되고 있다.

500 달러 키트가 15% 보너스를 behind 가짜 복구 구문을 피싱한다

이번 달, Cryptopolitan은 사이버 범죄 포럼에서 판매 중인 500달러의 턴키 키트에 대해 보도했다. 이 키트는 가짜 $TSLA 프리세일을 생성하고 각 방문자의 지갑에서 가치 있는 자산을 스캔한다.

그런 다음 15% 보너스를 제공하여 12자 복구 구문을 피싱하려 한다. 그 관리자 패널은 피해자가 계속 지불하도록 가짜 잔액을 마음대로 불린다.

5월, Solana Floor 분석가들은 Jupiter Exchange의 Jupuary 에어드롭을 사칭하는 가짜 “$CJUP” 토큰을 Solana 지갑에 범람시키고 수신자를 드레이너 사이트로 리디렉션하는_scheme를 발견했다. 이는 당시 Cryptopolitan이 보도한 바 있다.

CoinDCX는 2024년 4월부터 2026년 1월까지 자사 플랫폼을 사칭하는 1,212개 이상의 가짜 웹사이트를 감지했다고 밝혔다. 뭄바이 경찰은 CoinDCX를 사칭하는 웹사이트를 통한 사기에 대해 형사소송법(FIR)을 등록했다.

Malwarebytes는 지갑만 연결한 사람은 즉시 사이트를 연결 해제해야 한다고 권고했다. 토큰에 지갑 접근 권한을 부여한 사람은 낯선 권한이 있는지 확인하고 취소해야 한다.

모르는 것에 서명했다면 최근 활동을 검토하고 자금이 노출된 경우 모든 자금을 새 지갑으로 이동해야 한다. 복구 구문이나 개인 키를 입력한 사람은 지갑이 침해되었을 것으로 간주해야 한다.