Поддельные сайты, занимающиеся проверкой на предмет отмывания денег, воруют деньги у криптоинвесторов.
Эти веб-сайты предлагают пользователям подключить кошелек и подписать транзакцию, что не требуется для проверки подлинности кошелька. Компания Malwarebytes обнаружила эту атаку на этой неделе.
Для проверки подлинности кошелька достаточно указать только публичный адрес
В соответствии с правилами борьбы с отмыванием денег банки и регулируемые фирмы обязаны проверять, не имеют ли их клиенты связей с преступностью.
В криптовалюте такая проверка означает анализ публичной истории транзакций адреса кошелька на предмет контактов с взломами, кражами, лицами, находящимися под санкциями, или другой подозрительной деятельностью.
По словам исследователя Malwarebytes Стефана Дасича, мошеннические сайты берут эту идею и превращают ее в оружие.
Некоторые копируют фирменный стиль AMLBot, легитимного сервиса проверки на отмывание денег. Другие работают под общими названиями, такими как «AML Check»
Посетитель выбирает криптовалюту, нажимает кнопку сканирования, после чего ему предлагается подключить кошелек, чтобы увидеть результат.
Одна из версий, изученных Malwarebytes, отображает индикатор выполнения с сообщениями типа «Проверка истории кошелька...» и «Проверка соответствия...», после чего появляется ложная ошибка с просьбой внести небольшое пополнение для «покрытия комиссии»
Нажмите «Повторить», и анимация запустится снова, после чего выдаст успокаивающий вердикт «Чистота, низкий риск» и предложит загрузить отчет.
Для полноценной базовой проверки требуется только публичный адрес кошелька. Это просто поиск, без подписания документов, предоставления разрешений или подключения кошелька.
«Если программа проверки на отмывание денег просит вас подключить свой кошелек, а не просто ввести его публичный адрес, отнеситесь к этому как к тревожному сигналу», — написала команда Malwarebytes.
Подключение кошелька не передает ключи, но раскрывает публичный адрес. Это позволяет операторам видеть, какие активы находятся внутри, и создавать транзакции, ориентированные на конкретный кошелек.
Затем эта транзакция отправляется жертве на утверждение. Утверждением считается момент, когда деньги начинают поступать.
Исследователи не рекомендуют подтверждать неожиданные транзакции.
Компания Malwarebytes обнаружила, что один и тот же шаблон вредоносного ПО используется под разными названиями и логотипами. Набор программ переименовывается и перепродается.
Набор за 500 долларов использует фишинговые фразы для восстановления соединения, обещая 15% бонуса
В этом месяце Cryptopolitan сообщила о готовом комплекте за 500 долларов, доступном на форуме для киберпреступников. Этот комплект создает фиктивную предварительную продажу $TSLA и сканирует кошелек каждого посетителя на наличие ценных бумаг.
Затем мошенники пытаются выманить 12-словную фразу для восстановления соединения, предлагая 15% бонус. Административная панель автоматически искусственно завышает баланс, чтобы жертвы продолжали платить.
В мае Solana Floor обнаружили схему, в рамках которой Solana кошельки поддельными токенами «$CJUP», имитирующими аирдроп Jupuary от Jupiter Exchange и перенаправляющими получателей на фиктивный сайт, как Cryptopolitan сообщало тогда
Компания CoinDCX сообщила об обнаружении более 1212 поддельных веб-сайтов, выдающих себя за ее платформу, в период с апреля 2024 года по январь 2026 года. Полиция Мумбаи зарегистрировала заявление о мошенничестве, совершаемом через веб-сайт, выдающий себя за CoinDCX.
Компания Malwarebytes посоветовала всем, кто подключил только кошелек, отключить сайт. Всем, кто предоставил токену разрешение на доступ к своему кошельку, следует проверить наличие незнакомых разрешений и отозвать их.
Всем, кто подписал что-то непонятное, следует проверить недавнюю активность и, если средства скомпрометированы, перевести все на новый кошелек. Всем, кто ввел фразу восстановления или закрытый ключ, следует предположить, что кошелек скомпрометирован.
end-content
