Verificadores falsos de AML em criptomoedas empurram os usuários a aprovar transações que drenam a carteira

Sites falsos de triagem anti-lavagem de dinheiro estão roubando de investidores em criptomoedas.

Esses sites solicitam que os usuários conectem uma carteira e assinem uma transação, o que não é necessário para nenhuma verificação de carteira genuína. A Malwarebytes descobriu o ataque nesta semana.

A triagem real de carteiras requer apenas o endereço público

Bancos e empresas reguladas precisam verificar, sob as regras anti-lavagem de dinheiro, que seus clientes não têm vínculos com crimes.

Em criptomoedas, essa triagem significa analisar o histórico de transações públicas de um endereço de carteira em busca de contato com hacks, roubos, partes sancionadas ou outras atividades suspeitas.

Os sites fraudulentos pegam essa ideia e a transformam em uma arma, segundo o pesquisador da Malwarebytes, Stefan Dasic.

Alguns copiam a marca da AMLBot, um serviço de triagem legítimo. Outros operam sob nomes genéricos como "AML Check".

Um visitante seleciona uma criptomoeda, clica para escaneá-la e é solicitado a conectar uma carteira para ver o resultado.

Uma versão que a Malwarebytes examinou exibe uma barra de progresso com mensagens como "Verificando histórico da carteira…" e "Verificando conformidade…" antes de exibir um erro falso que pede um pequeno recarga para "cobrir a taxa".

Clique em tentar novamente, e a animação roda novamente antes de entregar um veredito tranquilizador "Limpo, Baixo Risco" e uma oferta para baixar um relatório.

Uma triagem básica genuína requer apenas o endereço público da carteira. É uma consulta, e não há assinatura, concessão de permissões ou conexão de carteira.

"Se um verificador de AML pedir para você conectar sua carteira em vez de simplesmente inserir seu endereço público, trate isso como um sinal de alerta", escreveu a equipe da Malwarebytes.

Conectar uma carteira não entrega as chaves, mas expõe o endereço público. Isso permite que os operadores vejam quais ativos estão dentro e construam uma transação direcionada a essa carteira específica.

Essa transação é então enviada à vítima para aprovação. A aprovação é o momento em que o dinheiro se move.

Os pesquisadores aconselham contra a confirmação de uma transação inesperada.

A Malwarebytes descobriu que o mesmo esqueleto está sendo usado sob nomes e logotipos diferentes. O kit está sendo relançado e revendido.

Um kit de $500 faz phishing de frases de recuperação por trás de um bônus de 15%

Este mês, a Cryptopolitan reportou sobre um kit turnkey por US$ 500 disponível em um fórum de cibercrime. Este kit cria uma pré-venda falsa de $TSLA e escaneia a carteira de cada visitante em busca de ativos valiosos.

Em seguida, tenta fazer phishing da frase de recuperação de 12 palavras oferecendo um bônus de 15%. Seu painel de administração infla saldos falsos à vontade para que as vítimas continuem pagando.

Em maio, analistas do Solana Floor identificaram um esquema que inundou carteiras Solana com tokens falsos de "$CJUP" que se passavam pelo airdrop Jupuary da Jupiter Exchange e redirecionavam os destinatários para um site drainer, conforme relatado pela Cryptopolitan na época.

A CoinDCX disse que detectou mais de 1.212 sites falsos que se passam por sua plataforma entre abril de 2024 e janeiro de 2026. A polícia de Mumbai registrou um FIR contra fraudes cometidas por meio de um site que se passa pela CoinDCX.

A Malwarebytes aconselhou que qualquer pessoa que apenas conectou uma carteira deve desconectar o site. Qualquer pessoa que deu permissão a um token para acessar sua carteira deve verificar permissões desconhecidas e revogá-las.

Qualquer pessoa que assinou algo que não compreendeu deve revisar a atividade recente e, se os fundos estiverem expostos, mover tudo para uma nova carteira. Qualquer pessoa que inseriu uma frase de recuperação ou chave privada deve assumir que a carteira está comprometida.