مواقع مزيفة لفحص مكافحة غسل الأموال تسرق من مستثمري العملات الرقمية.
تطلب هذه المواقع من المستخدمين ربط محفظتهم والتوقيع على معاملة، وهو أمر غير مطلوب لأي فحص حقيقي للمحفظة. اكتشفت شركة Malwarebytes هذا الهجوم هذا الأسبوع.
فحص المحفظة الحقيقي يحتاج فقط إلى العنوان العام
يتعين على البنوك والشركات الخاضعة للتنظيم التحقق بموجب قواعد مكافحة غسل الأموال من أن عملاءهم ليس لديهم أي صلات بالجريمة.
في عالم العملات الرقمية، يعني هذا الفحص النظر في سجل المعاملات العام لعنوان المحفظة للتحقق من وجود اتصال باختراقات أو سرقات أو أطراف خاضعة للعقوبات أو أي نشاط مشبوه آخر.
المواقع الاحتيالية تأخذ هذه الفكرة وتحولها إلى سلاح، وفقًا للباحث في Malwarebytes ستيفان داسيتش.
بعضها يقلد العلامة التجارية لخدمة AMLBot، وهي خدمة فحص شرعية. والبعض الآخر يعمل بأسماء عامة مثل “AML Check”.
يزور الزائر الموقع، ويختار عملة رقمية، وينقر لفحصها، ثم يُطلب منه ربط محفظته لرؤية النتيجة.
إحدى النسخ التي فحصتها Malwarebytes تعرض شريط تقدم مع رسائل مثل “جارٍ فحص سجل المحفظة…” و”جارٍ التحقق من الامتثال…” قبل عرض خطأ مزيف يطلب مبلغًا صغيرًا “لتغطية الرسوم”.
عند الضغط على إعادة المحاولة، تتكرر الرسوم المتحركة قبل إظهار نتيجة مطمئنة “نظيف، مخاطر منخفضة” وعرض لتنزيل تقرير.
الفحص الأساسي الحقيقي يتطلب فقط العنوان العام للمحفظة. إنه مجرد بحث، ولا يوجد توقيع أو منح أذونات أو ربط محفظة.
“إذا طلب منك برنامج فحص مكافحة غسل الأموال ربط محفظتك بدلاً من مجرد إدخال عنوانها العام، فتعامل مع ذلك كعلامة تحذير”، كتب فريق Malwarebytes.
ربط المحفظة لا يمنح المفاتيح، لكنه يكشف العنوان العام. وهذا يسمح للمشغلين برؤية الأصول الموجودة داخل المحفظة وبناء معاملة موجهة لتلك المحفظة بالتحديد.
تُرسل هذه المعاملة بعد ذلك إلى الضحية للموافقة عليها. الموافقة هي اللحظة التي تتحرك فيها الأموال.
ينصح الباحثون بعدم تأكيد أي معاملة غير متوقعة.
اكتشفت Malwarebytes نفس الهيكل مستخدمًا تحت أسماء وشعارات مختلفة. هذه الحزمة يُعاد تسميتها وإعادة بيعها.
حزمة بـ500 دولار تصطاد عبارات الاسترداد مقابل مكافأة 15%
في وقت سابق من هذا الشهر، نشرت Cryptopolitan تقريرًا عن حزمة جاهزة للاستخدام بسعر 500 دولار متاحة في منتدى للجرائم الإلكترونية. هذه الحزمة تنشئ بيعًا مسبقًا مزيفًا لعملة $TSLA وتفحص محفظة كل زائر بحثًا عن أصول ثمينة.
ثم تحاول اصطياد عبارة الاسترداد المكونة من 12 كلمة بعرض مكافأة 15%. لوحة التحكم الخاصة بها تضخم الأرصدة المزيفة كيفما تشاء حتى يستمر الضحايا في الدفع.
في مايو، رصد محللو Solana Floor مخططًا أغرق محافظ Solana برموز “CJUP” المزيفة التي تنتحل صفة إيردروب Jupiter Exchange وتوجه المستلمين إلى موقع استنزاف، كما ذكرت Cryptopolitan في ذلك الوقت.
قالت CoinDCX إنها اكتشفت أكثر من 1,212 موقعًا مزيفًا ينتحل صفة منصتها بين أبريل 2024 ويناير 2026. وسجلت شرطة مومباي قضية جنائية ضد الاحتيال المرتكب عبر موقع ينتحل صفة CoinDCX.
نصحت Malwarebytes أي شخص ربط محفظته فقط بفصل الموقع. وأي شخص منح رمزًا إذنًا للوصول إلى محفظته يجب أن يتحقق من الأذونات غير المألوفة ويلغيها.
أي شخص وقع على شيء لم يفهمه يجب أن يراجع نشاطه الأخير، وإذا كانت الأموال معرضة للخطر، ينقل كل شيء إلى محفظة جديدة. أما أي شخص أدخل عبارة استرداد أو مفتاحًا خاصًا فيجب أن يفترض أن محفظته معرضة للخطر.
الأسئلة الشائعة
س: كيف أعرف أن موقع فحص مكافحة غسل الأموال حقيقي؟
ج: المواقع الحقيقية لا تطلب منك ربط محفظتك أبدًا. الفحص الشرعي يحتاج فقط إلى عنوان محفظتك العام. إذا طلب منك الموقع ربط محفظتك أو التوقيع على معاملة، فهو موقع احتيالي.
س: ماذا أفعل إذا قمت بربط محفظتي بموقع مشبوه؟
ج: افصل الموقع فورًا عن محفظتك، وراجع الأذونات التي منحتها وألغِ أي أذونات غير مألوفة. إذا وقعت على معاملة أو أدخلت عبارة الاسترداد، انقل أموالك فورًا إلى محفظة جديدة.
س: هل يمكن للصوص سرقة أموالي بمجرد معرفة عنوان محفظتي؟
ج: لا، معرفة العنوان العام فقط لا تمكنهم من سرقة أموالك. لكنها تسمح لهم برؤية ما تملكه وبناء معاملة خادعة لخداعك للموافقة عليها. لذلك لا توافق أبدًا على معاملات غير متوقعة.
