Поддельные AML-сервисы крадут криптовалюту через проверку кошельков

Поддельные AML-сервисы стали новой приманкой для владельцев криптовалют. Мошенники копируют настоящие платформы проверки адресов и предлагают оценить риск кошелька. Однако вместо защиты пользователь может предоставить злоумышленникам доступ к своим активам.

О новой схеме сообщили специалисты Malwarebytes Labs. Исследователи обнаружили сайты, которые копируют AMLBot или используют похожие названия. Например, мошенники применяют бренды вроде AML Check.

Как работают поддельные AML-сервисы

AML означает противодействие отмыванию денег. Такие сервисы анализируют историю операций публичного криптовалютного адреса.

Например, проверка может показать связь адреса со взломами или мошенническими схемами. Кроме того, система ищет контакты с санкционными адресами и другими источниками риска.

Для обычной AML-проверки нужен только публичный адрес кошелька. Поэтому подключать сам кошелек к сервису не требуется. Также пользователь не должен подписывать транзакции.

Однако мошеннические сайты работают иначе. Они сразу предлагают подключить криптокошелек через привычный интерфейс Web3.

Почему подключение кошелька создает риск

Само подключение еще не дает злоумышленнику возможность вывести средства. Однако сайт получает публичный адрес пользователя.

После этого мошенники видят активы на кошельке. Кроме того, они могут подготовить транзакцию специально под конкретную жертву.

Затем сайт предлагает пользователю подтвердить эту операцию. Именно на этом этапе возникает реальная угроза активам.

Поэтому незнакомую транзакцию нельзя подписывать автоматически. Даже профессионально оформленный сайт может оказаться фишинговым.

Фальшивая проверка выглядит убедительно

Мошенники стараются максимально точно имитировать настоящий сервис безопасности. Поэтому пользователь видит привычный процесс проверки.

Сначала сайт показывает сообщения вроде проверки истории кошелька. Затем появляется этап анализа соответствия требованиям AML.

После этого система может сообщить о вымышленной ошибке. Например, пользователю предлагают пополнить кошелек для оплаты небольшой комиссии.

При повторной попытке проверка запускается снова. В результате сервис показывает успокаивающий статус Clean, Low Risk.

Однако реального анализа адреса могло вообще не происходить.

Мошенники предлагают скачать фальшивый отчет

После завершения проверки некоторые сайты предлагают загрузить отчет. Однако Malwarebytes советует не открывать файлы с подозрительных ресурсов.

Если файл уже загружен, его рекомендуют удалить. Кроме того, специалисты советуют провести проверку устройства на вредоносное ПО.

Таким образом, схема может использовать сразу несколько способов атаки. Первый связан с криптовалютными разрешениями и транзакциями. Второй создает риск заражения устройства.

При этом интерфейс специально формирует ощущение безопасности. Именно поэтому такая схема особенно опасна для осторожных пользователей.

Почему жертвы доверяют AML-проверке

Парадокс заключается в самой цели пользователя. Человек заходит на сайт именно ради повышения безопасности.

Поэтому просьба выполнить дополнительную проверку может выглядеть логично. Кроме того, фальшивая комиссия создает ощущение настоящего блокчейн-сервиса.

Затем положительный результат снижает настороженность. В результате жертва начинает больше доверять сайту.

Malwarebytes отмечает, что один шаблон используется под разными брендами. Это позволяет мошенникам быстро создавать новые копии после блокировки старых.

Как отличить настоящий AML-сервис

Главный признак достаточно простой. Базовой AML-проверке не требуется доступ к вашему кошельку.

Пользователь должен лишь указать публичный адрес. При этом не требуется сид-фраза или приватный ключ.

Кроме того, настоящий сервис не должен требовать неожиданную транзакцию. Также подозрение должна вызвать просьба отправить криптовалюту ради завершения проверки.

Особенно опасны следующие действия:

• подключение кошелька без необходимости;
• предоставление разрешения на использование токенов;
• подтверждение непонятной транзакции;
• отправка криптовалюты для «проверки»;
• ввод сид-фразы или приватного ключа;
• загрузка неизвестных файлов.

Если сервис требует такие действия, проверку лучше сразу прекратить.

Что делать после подключения к подозрительному сайту

Дальнейшие действия зависят от того, что уже произошло.

Если пользователь только подключил кошелек, сайт следует отключить. Само подключение обычно не позволяет вывести криптовалюту.

Однако при выдаче разрешений ситуация становится серьезнее. В таком случае нужно проверить активные token approvals и отозвать неизвестные разрешения.

Если была подписана неизвестная транзакция, необходимо изучить историю операций. При угрозе оставшиеся активы лучше перевести на новый кошелек.

Если раскрыта сид-фраза, старый кошелек следует считать скомпрометированным. Поэтому оставшиеся средства нужно перенести на новый адрес.

После кражи появляется вторая волна мошенников

Malwarebytes отдельно предупреждает о схемах возврата украденной криптовалюты.

После потери денег жертве могут предложить вернуть активы за комиссию. Однако такие предложения часто являются еще одним видом мошенничества.

Поэтому не стоит переводить деньги неизвестным «специалистам по возврату». Кроме того, криптовалютные транзакции обычно невозможно отменить после подтверждения.

В результате скорость реакции имеет большое значение. Чем раньше пользователь отзовет разрешения, тем ниже потенциальный ущерб.

Потери криптоиндустрии остаются высокими

Проблема выходит далеко за пределы одной фишинговой кампании.

По данным CertiK, в 2025 году потери Web3-проектов достигли $3,35 млрд. Годом ранее показатель составлял около $2,45 млрд.

При этом фишинг остается одним из наиболее серьезных способов атак. В первом полугодии 2026 года CertiK зафиксировала $366,3 млн потерь от фишинга. Это второй крупнейший показатель среди категорий атак.

Кроме того, злоумышленники все активнее используют социальную инженерию. ИИ позволяет масштабировать такие кампании и быстрее создавать убедительные приманки.

Что это значит для инвестора?

Поддельные AML-сервисы используют доверие к инструментам безопасности против самих пользователей. Поэтому внешний вид сайта больше нельзя считать признаком надежности.

Прежде всего, для проверки риска достаточно публичного адреса. Подписание транзакции для этого обычно не требуется.

Кроме того, стоит внимательно проверять доменное имя сервиса. Особенно это важно после перехода из рекламы или социальных сетей.

Для крупных криптовалютных портфелей разумно разделять кошельки. Например, отдельный адрес можно использовать для взаимодействия с неизвестными приложениями.

При этом основное хранилище лучше не подключать к новым сайтам. Такой подход снижает последствия даже при успешном фишинге.

Вывод Expert Finance: настоящая AML-проверка не требует контроля над вашими активами. Если сайт просит подписать транзакцию или раскрыть ключи, это серьезный сигнал опасности.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.