Фейковые AML-чекеры: как мошенники крадут криптовалюту под видом проверки

После P2P-сделки покупатель просит у вас AML-отчет. Или вы получили платеж от незнакомого человека и видите в чате предупреждение, что из-за «грязных» USDT биржа может приостановить зачисление депозита и отправить его на проверку. Вы ищете «AML-проверка кошелька» и попадаете на сайт, похожий на обычный AML-сервис, но вместо публичного адреса он просит подключить кошелек и что-то подписать.

19 августа 2026 года Malwarebytes описала сеть таких сайтов. Они маскируются под AML-сервисы, которые оценивают риск публичного адреса или транзакции по данным блокчейна. Поэтому подделка выглядит убедительно: человек приходит проверить средства и не ожидает, что сама «проверка» станет источником риска. Разберем, как работает эта схема, что действительно нужно AML-сервису и что делать, если вы уже подключили кошелек или что-то подтвердили.

Почему эта схема работает

Риск блокировки USDT или дополнительной проверки депозита действительно существует, поэтому требование «проверить средства» звучит правдоподобно.

В Ethereum и TRON у Tether есть техническая возможность добавлять адреса в черный список USDT. После этого токены остаются видимыми в блокчейне, но перевести их обычным способом уже нельзя. По данным онлайн-трекера BlockSec, на 18 сентября 2026 года в черном списке Tether находилось 10 289 адресов в Ethereum и TRON с совокупным балансом около $5,93 млрд USDT.

Также действует T3 Financial Crime Unit — совместная инициатива Tether, TRON и TRM Labs. 14 мая 2026 года ее участники сообщили о более чем $450 млн замороженных активов с момента запуска в сентябре 2024 года и сотрудничестве с правоохранительными органами в 23 юрисдикциях.

Биржа может приостановить зачисление депозита и попросить объяснить происхождение средств. P2P-контрагенты иногда запрашивают AML-отчет перед сделкой, а некоторые обменные сервисы сами проверяют адрес или транзакцию. В такой ситуации желание заранее проверить криптовалюту вполне понятно.

Заморозка USDT и AML-отчет — разные механизмы. Tether может ограничить перевод USDT для конкретного адреса на уровне самого токена, тогда как AML-сервис анализирует адрес или транзакцию и показывает оценку риска по собственным данным и методике. Низкая оценка риска не исключает блокировку в будущем, а высокая сама по себе не означает, что средства уже заморожены.

AML-проверка кошелька: что нужно сервису

AML-проверка кошелька не требует подключения к сервису: для базового анализа достаточно самого публичного адреса. Если нужно проверить конкретный перевод, сервис может попросить хеш транзакции. Подпись в кошельке для такого анализа не нужна.

Для такого анализа сервису не нужны:

• seed-фраза или приватный ключ;
• подпись транзакции или сообщения, если сервис лишь оценивает риск;
• разрешение на расходование токенов (token approval);
• подключение кошелька для получения базовой оценки риска;
• перевод «комиссии за разблокировку» на сторонний адрес.

История транзакций в публичном блокчейне доступна без вашего участия. AML-сервис дополняет эти данные собственной аналитикой: объединяет адреса в кластеры, определяет их связь с биржами и другими сервисами, использует базы известных взломов, мошеннических схем и санкционных адресов, а также оценивает прямые и косвенные связи по своей методике.

Стоимость проверки зависит от сервиса, типа отчета и тарифа: платят за аналитический отчет или доступ к платформе. «Очистка», «сертификация» или разблокировка средств не относятся к обычной AML-проверке.

Один и тот же адрес может получить разные оценки в разных системах. AMLBot объясняет это различиями в данных, группировке и атрибуции адресов, способах оценки прямых и косвенных связей, весах отдельных категорий риска и правилах самой платформы, принимающей депозит. Поэтому низкая оценка в одном сервисе не означает, что биржа автоматически зачислит средства.

Если хотите отдельно разобраться, откуда берется рискованная история средств и как читать такие отчеты, мы подробно объяснили это в материале «Грязная криптовалюта: как проверить свои средства на чистоту».

Как работает фейковый AML-чекер

Malwarebytes описала несколько сайтов, работавших по одному сценарию: аккуратный дизайн, выбор сети или монеты и большая кнопка проверки, после нажатия на которую сайт предлагает подключить кошелек и подтвердить запрос.

Типичный сценарий выглядит так:

1. Вы выбираете монету или сеть и нажимаете кнопку вроде «Check Wallet».
2. Сайт просит подключить кошелек, хотя для проверки публичного адреса это не требуется.
3. После подключения он получает ваш адрес и может прочитать из блокчейна баланс и историю.
4. На экране запускается имитация анализа: «Checking wallet history…», «Verifying compliance…» и т. п.
5. Во время этой «проверки» кошелек показывает запрос на подпись или транзакцию, которую нужно подтвердить.

Среди доменов, которые Malwarebytes зафиксировала в этой кампании, были amlbot-clear[.]com, audittrust[.]shop, bitget-aml[.]com, search-aml[.]net и swapstoken[.]app.

Ориентироваться на конкретный список доменов бессмысленно: мошеннические адреса быстро меняются. Надежнее смотреть на поведение самого сайта. Если для обычной AML-проверки адреса вас заставляют нажать Connect Wallet, а затем что-то подписать, закройте страницу и проверьте домен. AMLBot отдельно предупреждает, что для его проверок подключать кошелек не нужно.

Почему одного поиска недостаточно

Знакомое название бренда в результатах поиска еще не подтверждает, что вы открыли официальный сайт. Malwarebytes рекомендует отдельно проверять адрес страницы, особенно если вы перешли на нее из рекламы, сообщения, соцсетей или поисковой выдачи.

Для AMLBot официальный домен — amlbot.com, бот для проверок в Telegram — t.me/cryptoaml_bot. В текущей документации AMLBot также указан t.me/amlbot_support_bot как канал поддержки. Домен с дополнительным словом, другой зоной или похожим написанием не становится официальным только потому, что в нем есть amlbot.

Подборки вроде «топ AML-сервисов» тоже не стоит воспринимать как подтверждение надежности. Партнерская ссылка или высокая позиция в поиске не подтверждают подлинность домена и безопасность запросов, которые сайт покажет в кошельке.

Как проверить сайт за минуту

• Открывайте сервис по адресу из официальной документации или через сохраненную закладку, а не по случайной ссылке из чата.
• Сверяйте домен символ за символом. amlbot.com и amlbot-clear.com — разные домены.
• Возраст домена используйте только как дополнительный сигнал. Если его зарегистрировали недавно, хотя сервис заявляет о многолетней истории, перепроверьте адрес; сам по себе WHOIS ничего не доказывает.
• Для базовой проверки достаточно публичного адреса или хеша транзакции. Если сайт вместо этого настаивает на Connect Wallet, а затем просит подписать сообщение, выдать разрешение или подтвердить транзакцию, закройте страницу и сверьте домен с официальными каналами сервиса.

Что именно вы подписываете

Само подключение кошелька не дает сайту права списывать токены. После подключения сайт видит ваш адрес и может отправлять в кошелек запросы на подпись или транзакции. Риск возникает, когда вы подтверждаете такой запрос, не разобравшись в его содержании.

Подпись, которая не похожа на транзакцию

В EVM-сетях сайт иногда предлагает подписать сообщение без отправки транзакции. Один из распространенных форматов — EIP-712: кошелек показывает структурированные данные, которые вы подтверждаете подписью. За такое действие не нужно платить комиссию сети, и в истории транзакций оно не появится.

EIP-712 задает формат такой подписи, а последствия зависят от того, что именно позволяет сделать подписанное сообщение. Например, ERC-2612 Permit позволяет без отдельной транзакции дать другому адресу или контракту право потратить определенное количество ERC-20 токенов. Если мошенник получил такую подпись и она еще действует, он может передать ее соответствующему контракту и воспользоваться выданным разрешением.

Permit2 — это система разрешений от Uniswap, которую используют разные dApp. Чтобы она могла работать с конкретным токеном, пользователь сначала выдает контракту Permit2 обычное разрешение на расходование токена (approval). После этого отдельной подписью можно разрешить другому контракту расходовать токены; одна подпись может относиться сразу к нескольким токенам. Permit2-подпись может определять, кто и какие токены сможет тратить, поэтому ее содержание нужно проверять так же внимательно, как и обычное разрешение на токены.

Механику Approve, Permit, Permit2 и WalletConnect мы отдельно разобрали на примерах: какие права получает контракт, почему Disconnect не заменяет Revoke и что проверять перед подписью.

Мошенник может использовать такую подпись сразу или позже, пока она остается действительной. Поэтому если после подписания баланс не изменился, это еще не означает, что опасности нет.

Безлимитное разрешение

Фишинговый сайт может запросить и обычную транзакцию с разрешением на расходование активов. Для ERC-20 это функция approve, а для NFT часто setApprovalForAll. Через approve контракт или другой адрес получает право потратить токены в пределах заданного лимита; очень большой лимит может позволить списать не только текущий баланс токена, но и средства, которые поступят позже, пока разрешение остается активным. setApprovalForAll дает оператору право управлять всеми NFT определенной коллекции. Такие транзакции видны в блокчейне и требуют комиссии сети, но в момент подтверждения активы могут еще никуда не двигаться, поэтому риск легко недооценить.

В TRON для TRC-20 функция approve работает по тому же принципу: вы разрешаете определенному адресу или контракту тратить токены в пределах установленного лимита. Для USDT в TRON особенно опасно безлимитное разрешение (approval), которое может оставаться активным, пока его не изменят или не отзовут.

По данным Scam Sniffer, в EVM-сетях такие атаки приводили к значительным потерям. В 2024 году фишинг с дрейнерами привел примерно к $494 млн потерь более чем у 332 000 кошельков. В 2025 году сумма снизилась до $83,85 млн, а число пострадавших — до 106 106. В январе 2026 года фишинг через подпись привел к потерям $6,27 млн у 4 741 кошелька; около 65% этой суммы пришлось всего на два крупнейших случая.

Как в TRON можно потерять контроль над аккаунтом

Помимо approve, в TRON есть еще один риск: можно изменить права управления самим аккаунтом.

В TRON есть два основных набора прав. Owner Permission дает полный контроль над аккаунтом, в том числе позволяет менять другие права. Active Permission можно ограничить отдельными типами операций. Каждый набор содержит адреса-подписанты, их веса и порог подписей (threshold) — суммарный вес, необходимый для выполнения действия. Эти настройки можно изменить транзакцией AccountPermissionUpdate.

Если подписать вредоносный AccountPermissionUpdate, мошенник может добавить свой адрес, удалить ваш или изменить веса и порог так, что вашего ключа уже не хватит для управления аккаунтом. Адрес останется в блокчейне и сможет принимать средства, но самостоятельно отправить их вы уже не сможете.

Механизм изменения прав аккаунта задокументирован TRON и TronLink и используется, в частности, для мультиподписи. При этом в первичных источниках мы не нашли подтверждения, что сайты из кампании Malwarebytes применяли AccountPermissionUpdate. Это отдельный риск при взаимодействии с вредоносным TRON-dApp; его связь с той кампанией не подтверждена.

Проверить настройки прав в TRON можно через TronScan:

1. Откройте tronscan.org и найдите свой адрес.
2. Перейдите в раздел Permission.
3. Проверьте Owner Permission, Active Permission, порог (threshold), адреса и их веса.

Если вы сами не настраивали мультиподпись, в Owner Permission обычно должен быть ваш адрес с порогом 1, а в Active Permission не должно быть неизвестных адресов с правом подписи. Несколько адресов в этих разделах могут быть нормальной конфигурацией, если мультиподпись настроена осознанно.

После фейкового AML-чекера: «сертификаты», «разморозка» и «возврат средств»

После первого контакта с фейковым AML-сервисом мошенники нередко продолжают общение в мессенджере, особенно если человек уже испугался или потерял средства.

Фейковый «менеджер» пишет с аккаунта, который имитирует профиль AML-сервиса, и предлагает «премиальную проверку», «расследование» или помощь за предоплату. AMLBot прямо предупреждает о схемах с поддельными аккаунтами: компания не просит seed-фразу или приватные ключи, не требует подключать кошелек для «проверки» и не просит переводить средства на сторонний адрес.

Мошенники также предлагают «разморозить» USDT или депозит за отдельную плату. В сообщениях они ссылаются на FATF, FCA или ESMA и просят «депозит для разблокировки» либо комиссию за снятие ограничений, хотя само упоминание регулятора не подтверждает, что с вами действительно общается официальный сервис или его представитель.

После потери средств может появиться еще одна схема — мошенничество с «возвратом» средств (recovery scam). С человеком связывается «специалист», который якобы нашел активы и может вернуть их за предоплату. Malwarebytes и AMLBot предупреждают о таких повторных атаках на людей, уже потерявших криптовалюту.

Tether действительно может снять блокировку с адреса и восстановить возможность переводить USDT. Компания сообщала, что в отдельных случаях рассматривает такие обращения совместно с правоохранительными органами и владельцами адресов. Обращения по поводу краж, взломов, мошенничества или запросов правоохранительных органов нужно подавать через официальные каналы Tether, а не через «посредников» в Telegram.

По анализу BlockSec, в 2025 году из черного списка сняли около 3,6% адресов, а медианное время между заморозкой и разморозкой среди адресов, которые в итоге разблокировали, составило 18,2 дня. Эти цифры описывают прошлые случаи и не определяют, сколько займет рассмотрение конкретного адреса.

Если биржа приостановила зачисление депозита для проверки, обращайтесь в официальную поддержку или отдел комплаенса и предоставляйте документы о происхождении средств, если их запрашивают. Универсального «сертификата чистоты», который автоматически отменяет такую проверку, не существует.

Что делать после взаимодействия с подозрительным сайтом

Вы только подключили кошелек

Подключение кошелька не дает сайту права самостоятельно списывать токены. После подключения он видит ваш публичный адрес, а вместе с ним — доступные в блокчейне данные о балансе и истории, и может отправлять в кошелек запросы, которые вы подтверждаете или отклоняете.

Отключите неизвестный сайт в настройках кошелька. В MetaMask Extension откройте меню аккаунта → Dapp connections, выберите сайт и нажмите Disconnect. В TronLink подключенные сайты управляются через Wallet Management → DApp Connections. После этого отдельно проверьте разрешения на расходование токенов: отключение dApp не отменяет уже выданные разрешения на токены.

Вы подписали разрешение или непонятное сообщение

В EVM-сетях выданные разрешения можно проверить через revoke.cash, который поддерживает более 100 сетей. Публичный адрес достаточно вставить в поиск — подключать кошелек для просмотра не требуется. Если решите отозвать разрешение, тогда нужно подключить кошелек и подтвердить отдельную транзакцию с сетевой комиссией.

С EIP-2612 Permit ситуация другая: такая подпись создается вне блокчейна, поэтому revoke.cash не может знать, создавали ли вы ее на конкретном сайте. Во вкладке Signatures можно проверить поддерживаемые типы Permit-подписей и в отдельных случаях сделать такую подпись недействительной до того, как ею воспользуется мошенник. Для Permit2 проверьте обычный token approval, выданный контракту Permit2, и активные разрешения внутри Permit2.

В TRON разрешения на токены можно проверить через TronScan или Wallet Management → Approval Management в TronLink. Отдельно откройте раздел Permission и убедитесь, что Owner Permission и Active Permission не были изменены без вашего ведома.

Единого способа отменить любую подпись, созданную вне блокчейна, нет: все зависит от конкретного стандарта и контракта. Если вы не можете выяснить, что именно подписали, а в кошельке остаются значительные средства, безопаснее создать новый кошелек с новыми ключами и перевести активы, пока это возможно.

Вы ввели seed-фразу или приватный ключ

Если сторонний сайт получил seed-фразу, считайте скомпрометированными все аккаунты, созданные на ее основе. Если вы раскрыли приватный ключ — как минимум соответствующий аккаунт. Seed-фразу или приватный ключ, ставшие известными посторонним, больше нельзя считать безопасными: нужно перейти на новые ключи.

Создайте новый кошелек с новой seed-фразой на устройстве, которому доверяете, и как можно быстрее переведите оставшиеся активы. Старую seed-фразу или раскрытый приватный ключ больше не используйте. Предложения «вернуть доступ» за предоплату — типичный вариант мошенничества с «возвратом» средств.

Отдельные правила резервного копирования и офлайн-хранения мы собрали в гайде «Хранение seed-фразы: 5 безопасных способов в 2026».

Как пользоваться AML-проверкой без лишнего риска

• Не пытайтесь «очистить» происхождение средств переводами между своими адресами. Аналитические системы отслеживают цепочку транзакций, поэтому новые адреса могут унаследовать ту же рискованную связь.
• Для P2P и крупных входящих платежей полезно иметь отдельный операционный адрес. Основной адрес, где хранится большая часть активов, лучше не подключать к незнакомым dApp и сайтам: так вы снизите последствия ошибочной подписи и упростите анализ истории средств.
• AML-проверка кошелька должна начинаться с публичного адреса или хеша транзакции. Не вводите seed-фразу или приватный ключ и не подписывайте запросы только ради «проверки на чистоту».
• По возможности проверяйте контрагента или конкретную транзакцию до крупного платежа. Проверка собственного адреса после получения средств тоже поможет разобраться в ситуации, но уже не изменит факт поступления.
• Смотрите не только на отметку Low или High, но и на детали отчета. Учитывайте его дату, категории риска, прямые и косвенные связи, а также то, что именно анализировали — адрес или конкретную транзакцию.

Коротко

Фейковые AML-чекеры используют реальный страх перед «грязной» криптовалютой. AML-проверка кошелька основана на публичных данных блокчейна, поэтому подключать кошелек ради оценки риска не нужно. Для такой проверки не требуются seed-фраза, приватный ключ или запросы вроде Approve, Sign либо AccountPermissionUpdate.

Если вы уже взаимодействовали с подозрительным сайтом, сначала выясните, что именно подтвердили: только подключение, разрешение на расходование токенов, Permit/Permit2-подпись или изменение прав в TRON. От этого зависят дальнейшие действия. Если seed-фраза или приватный ключ стали известны посторонним, переведите активы на новые ключи и прекратите использовать старые.