De faux sites prétendant vérifier le blanchiment d'argent volent des fonds aux investisseurs en crypto.
Ces sites web demandent aux utilisateurs de connecter leur portefeuille et de signer une transaction, ce qui n'est pas requis pour l'authentification. La société Malwarebytes a découvert cette attaque cette semaine.
Pour authentifier un portefeuille, seule l'adresse publique suffit
Conformément aux règles de lutte contre le blanchiment, les banques et les entreprises réglementées doivent vérifier si leurs clients ont des liens avec des activités criminelles.
Dans la cryptosphère, une telle vérification implique d'analyser l'historique public des transactions d'une adresse de portefeuille pour détecter des contacts avec des piratages, vols, personnes sous sanctions ou autres activités suspectes.
Selon le chercheur de Malwarebytes, Stefan Dasic, les sites frauduleux détournent cette idée pour en faire une arme.
Certains copient l'identité visuelle d'AMLBot, un service légitime de vérification. D'autres opèrent sous des noms génériques, comme « AML Check ».
Le visiteur choisit une cryptomonnaie, clique sur un bouton de scan, puis on lui propose de connecter son portefeuille pour voir le résultat.
Une version analysée par Malwarebytes affiche une barre de progression avec des messages comme « Vérification de l'historique du portefeuille... » et « Vérification de la conformité... », avant d'afficher une fausse erreur demandant un petit dépôt pour « couvrir les frais ».
En cliquant sur « Réessayer », l'animation reprend, puis affiche un verdict rassurant « Nettoyé, risque faible » et propose de télécharger un rapport.
Pour une vérification de base complète, seule l'adresse publique du portefeuille est nécessaire. Il s'agit d'une simple recherche, sans signature, autorisation ou connexion de portefeuille.
« Si un outil de vérification AML vous demande de connecter votre portefeuille plutôt que de simplement saisir son adresse publique, considérez cela comme un signal d'alarme », a écrit l'équipe de Malwarebytes.
Connecter un portefeuille ne transmet pas les clés privées, mais révèle l'adresse publique. Cela permet aux opérateurs de voir quels actifs s'y trouvent et de créer des transactions ciblant ce portefeuille spécifique.
Cette transaction est ensuite envoyée à la victime pour approbation. L'approbation déclenche le transfert des fonds.
Les chercheurs déconseillent d'approuver des transactions inattendues.
Malwarebytes a découvert qu'un même modèle de logiciel malveillant est utilisé sous différents noms et logos. Le kit est renommé et revendu.
Un kit à 500 $ utilise des phrases de récupération pour reconnecter, promettant un bonus de 15%
Ce mois-ci, Cryptopolitan a rapporté qu'un kit prêt à l'emploi à 500 $ était disponible sur un forum cybercriminel. Ce kit crée une prévente fictive de $TSLA et scanne le portefeuille de chaque visiteur à la recherche d'actifs de valeur.
Les escrocs tentent ensuite d'extirper la phrase de récupération de 12 mots, en promettant un bonus de 15%. Le panneau d'administration gonfle artificiellement le solde pour inciter les victimes à continuer de payer.
En mai, Solana Floor a découvert une arnaque diffusant de faux jetons « $CJUP » sur des portefeuilles Solana, imitant l'airdrop Jupuary de Jupiter Exchange et redirigeant les destinataires vers un faux site, comme Cryptopolitan l'avait rapporté.
CoinDCX a signalé avoir identifié plus de 1212 faux sites web se faisant passer pour sa plateforme entre avril 2024 et janvier 2026. La police de Mumbai a enregistré une plainte pour fraude via un site usurpant l'identité de CoinDCX.
Malwarebytes conseille à toute personne n'ayant fait que connecter son portefeuille de déconnecter le site. À toute personne ayant accordé une autorisation à un jeton, de vérifier les autorisations inconnues et de les révoquer.
À toute personne ayant signé quelque chose d'incompréhensible, de vérifier l'activité récente et, si les fonds sont compromis, de tout transférer vers un nouveau portefeuille. À toute personne ayant saisi sa phrase de récupération ou clé privée, de considérer le portefeuille comme compromis.
end-content
