Sahte AML kontrolü, cüzdan imzası çalan dolandırıcılığa dönüştü

Sahte anti-kara para aklama (AML) kontrol siteleri, kripto para kullanıcılarını cüzdan bağlamaya ve onay imzası atmaya ikna eden yeni bir dolandırıcılık yöntemi haline geldi. Gerçek risk sorgulaması yalnızca herkese açık cüzdan adresiyle yapılabiliyor; sahte siteler ise güvenlik denetimi görüntüsü vererek kullanıcıyı doğrudan yetki vermeye yönlendiriyor.

Siber güvenlik şirketi Malwarebytes, 20'sinde (yerel saatle) yayımladığı analizde sahte sitelerin AMLBot ya da "AML Check" gibi isimler kullandığını, logo, sayfa tasarımı ve metinleri gerçek hizmete birebir benzeterek kopyaladığını açıkladı. Kullanıcı bir kripto para seçip "Check Wallet" tuşuna bastıktan sonra cüzdanını bağlamaya yönlendiriliyor.

Site ardından cüzdan adresi ve varlıkları incelenmiş gibi bir izlenim yaratıyor. Malwarebytes'in aktardığına göre saldırganların önceden hazırladığı bir işlem kullanıcı cüzdanına gönderiliyor ve onaylatılmaya çalışılıyor.

Asıl sorun "AML kontrolü" ifadesinin kendisi değil, bu sürecin nasıl kötüye kullanıldığı. Gerçek bir AML kontrolü, cüzdanın zincir üstü işlem geçmişini; yaptırım listeleri, dolandırıcılık, çalıntı varlık, karıştırıcı (mixer) ve darknet bağlantısı açısından tarayan bir prosedür.

AMLBot, 13 Temmuz'da yayımladığı bir bilgilendirmede görünüşte sıradan duran bir cüzdan adresinin bile yüksek riskli bir geçmişe sahip olabileceğini belirtti. Şirket, bu sorgulamanın cüzdan sahibinin kimliğini ya da işlem yapılan tarafın dürüstlüğünü garanti etmediğini de vurguladı.

Dolandırıcı siteler ise bu süreci tam tersine çeviriyor. Sadece adres girilerek tamamlanabilecek bir sorgulamayı "cüzdan bağlama" ve "onaylama" adımlarına dönüştürüyor, ekranda güvenlik taraması izlenimi veren bir ilerleme çubuğu gösteriyor.

Malwarebytes, bazı sitelerin "Checking wallet history" ya da "Verifying compliance" gibi ifadeler gösterdikten sonra küçük bir ücret talep ettiğini, sürecin sonunda ise gerçek bir denetim yapılıp yapılmadığına bakılmaksızın "Clean, Low Risk" sonucu görüntülediğini aktardı. Amaç, kullanıcıyı rahatlatan bir ekran sunmak.

AMLBot, geçen yıl Nisan ayında (yerel saatle) yayımladığı yazıda e-posta, Telegram ve sahte web siteleri üzerinden kendi adına yapılan sahtecilik girişimlerinin arttığını duyurmuştu. Şirket, "AMLBot Recovery" veya benzer isimlerle cüzdan erişimi, ön ödeme ya da özel anahtar talep edilmesinin dolandırıcılık göstergesi olduğunu belirtmişti.

AMLBot'un resmi hizmet kanalı olarak sunduğu tek yol amlbot.com adresi ve doğrulanmış Telegram botuyla sınırlı. Alan adı ya da hesap isminin benzemesi, bir sitenin resmi hizmet olduğu anlamına gelmiyor.

Güvenlik araştırma platformu PCRisk de 2 Haziran'da yayımladığı analizde "AMLBot Crypto Checking" adlı sayfanın resmi siteyi taklit eden bir "drainer" (varlık boşaltıcı) olduğunu belirtti. Analizde amlbotchecking[.]com ve aml-safety[.]one gibi bağlantılı alan adları örnek gösterildi; kullanıcı cüzdanını bağladığında kötü amaçlı bir sözleşmeyi imzalamış olabileceği aktarıldı.

Bu yöntem, düzenleme ve güvenlik prosedürünü taklit eden kimlik avı dolandırıcılıklarıyla benzer bir yapı taşıyor. Her ikisinde de kullanıcının riskten kaçınma isteği hedef alınıyor; güvenlik, düzenleme ya da kurtarma gibi ifadeler güven oluşturmak için kullanılıyor.

Kripto cüzdanı bağlamak, normalde bir hizmetin cüzdan adresini doğrulaması ya da kullanıcıdan belirli bir işlemi onaylamasını istemesi anlamına gelir. Bağlantının kendisi her zaman anında varlık kaybına yol açmaz; ancak ardından gelen token onayı ya da içeriği bilinmeyen bir imza, varlıklara erişim yetkisinin devredilmesine neden olabilir.

"Cüzdan kurtarma", "AML kontrolü" ya da "temiz sonuç" gibi ifadeler kullanılsa bile cüzdan bağlama, token onayı, içeriği belirsiz imza ya da kurtarma cümlesi (seed phrase) girişi istenmesi normal bir prosedür olarak değerlendirilemez. Özellikle kurtarma cümlesi ya da özel anahtar girişi, cüzdanın kontrolünü fiilen devretmek anlamına gelir.

Şüpheli bir siteye token erişim yetkisi verildiyse bu yetkiler kontrol edilip iptal edilmeli. Kurtarma cümlesi ya da özel anahtar girildiyse ilgili cüzdanın güvenliğinin kaybolduğu kabul edilmeli ve kalan varlıklar yeni bir cüzdana taşınmalı.