Golpistas estão visando detentores de cripto com falsos serviços anti-lavagem de dinheiro, projetados para enganar os usuários a aprovarem transações que podem colocar seus ativos digitais em risco, alertou a empresa de cibersegurança Malwarebytes.

Em um relatório publicado na quarta-feira, a Malwarebytes afirmou que os sites se fazem passar por serviços que verificam se as carteiras de cripto interagiram com fundos roubados ou ilícitos. Alguns imitam o serviço legítimo AMLBot, enquanto outros usam nomes genéricos como “Verificação AML”.

Serviços AML de cripto verificam o histórico de transações públicas de uma carteira em busca de ligações com hacks, golpes, entidades sancionadas e outras atividades suspeitas. Uma verificação básica exige apenas o endereço público de uma carteira e não requer que os usuários conectem sua carteira, aprovem permissões ou assinem uma transação.

De acordo com a Malwarebytes, os sites falsos pedem aos usuários para conectarem suas carteiras de cripto para uma verificação AML, e então simulam o processo com mensagens de progresso e resultados falsos. Um site pediu aos usuários um pequeno "top-up" (recarga) para cobrir uma suposta taxa antes de retornar um resultado “Limpo, Baixo Risco”, independentemente de uma verificação genuína ter ocorrido.

“Se um verificador AML pedir para você conectar sua carteira em vez de simplesmente inserir seu endereço público, trate isso como um sinal de alerta”, escreveram os pesquisadores da Malwarebytes.

Conectar uma carteira por si só não permite que os golpistas roubem fundos, mas revela o endereço público da carteira, o que lhes permite ver seus ativos e criar uma transação para a vítima aprovar.

A Malwarebytes encontrou o mesmo design e processo básicos sob vários nomes e logotipos, sugerindo que o modelo de golpe está sendo reutilizado e reformulado.

Usuários experientes de cripto não são estranhos a esse tipo de artimanha, mas ultimamente tem havido uma série de campanhas de phishing usando sites falsos para atingir detentores de cripto.

No início deste mês, os fabricantes de carteiras de hardware Trezor e Foundation alertaram sobre e-mails de phishing direcionando os usuários para um site clonado da Coldcard, enquanto em março, a Malwarebytes descobriu uma versão falsa do jogo Pudgy World da Pudgy Penguins, projetada para roubar senhas de carteira. No mesmo mês, a exchange de cripto CoinDCX disse ter identificado mais de 1.200 sites se passando por sua plataforma entre abril de 2024 e janeiro de 2026.

A Malwarebytes aconselhou os usuários que aprovaram o acesso a tokens a revogarem permissões suspeitas. Usuários que inseriram uma frase de recuperação (recovery phrase) ou chave privada (private key) devem considerar a carteira comprometida e mover seus ativos para uma nova carteira.

“As transações de cripto geralmente não podem ser revertidas uma vez confirmadas, então agir rapidamente é importante se você aprovou algo suspeito”, disse a Malwarebytes.