เว็บไซต์ตรวจ AML ปลอม หลอกเชื่อมกระเป๋าคริปโตให้เซ็นอนุมัติ

เว็บไซต์ตรวจสอบการฟอกเงิน (AML) ปลอม กำลังถูกใช้เป็นช่องทางหลอกให้ผู้ใช้คริปโตเชื่อมต่อกระเป๋าเงินและกดอนุมัติธุรกรรม ทั้งที่การตรวจสอบความเสี่ยงตามปกติทำได้เพียงกรอก 'ที่อยู่กระเป๋าสาธารณะ' เท่านั้น แต่เว็บไซต์หลอกลวงกลับอ้างว่าเป็นการตรวจสอบความปลอดภัย เพื่อล่อให้ผู้ใช้มอบสิทธิ์เข้าถึงกระเป๋าโดยตรง

มัลแวร์ไบต์ส(Malwarebytes) บริษัทด้านความปลอดภัยไซเบอร์ ระบุในบทวิเคราะห์เมื่อวันที่ 20 ตามเวลาเกาหลีใต้ว่า เว็บไซต์หลอกลวงเหล่านี้มักใช้ชื่อคล้ายกับ AMLBot หรือ 'AML Check' พร้อม 'ลอกเลียน' โลโก้ การจัดหน้า และข้อความให้เหมือนบริการจริงแทบทุกจุด ผู้ใช้ที่หลงเชื่อจะเลือกเหรียญที่ต้องการตรวจสอบ กดปุ่ม 'Check Wallet' แล้วได้รับคำแนะนำให้เชื่อมต่อกระเป๋าเงิน

จากนั้นเว็บไซต์จะแสดงผลราวกับกำลังตรวจสอบที่อยู่กระเป๋าและสินทรัพย์ที่ถือครองอยู่จริง มัลแวร์ไบต์สอธิบายว่า เบื้องหลังคือการส่งธุรกรรมที่ผู้โจมตีสร้างขึ้นมาให้กระเป๋าของเหยื่อกดอนุมัติ

ประเด็นสำคัญไม่ได้อยู่ที่คำว่า 'การตรวจสอบ AML' เอง เพราะขั้นตอนนี้ปกติทำหน้าที่ตรวจสอบประวัติธุรกรรมบนเชนของกระเป๋า ว่ามีความเกี่ยวข้องกับบัญชีที่ถูกคว่ำบาตร การหลอกลวง เงินที่ถูกขโมย บริการมิกเซอร์ หรือดาร์กเน็ตหรือไม่

AMLBot บริษัทผู้ให้บริการตรวจสอบ AML สำหรับคริปโต เปิดเผยในประกาศเมื่อวันที่ 13 กรกฎาคมว่า ที่อยู่กระเป๋าที่ดูเหมือนปกติภายนอกอาจมีประวัติความเสี่ยงสูงซ่อนอยู่ได้ อย่างไรก็ตาม บริษัทย้ำว่าการตรวจสอบนี้ 'ไม่ได้' รับประกันตัวตนของเจ้าของกระเป๋าหรือความสุจริตของคู่สัญญาแต่อย่างใด

เว็บไซต์หลอกลวงกลับพลิกขั้นตอนนี้ไปในทิศทางตรงข้าม จากการตรวจสอบที่ปกติจบแค่การกรอกที่อยู่กระเป๋า ถูกเปลี่ยนให้ต้อง 'เชื่อมต่อกระเป๋า' และ 'กดอนุมัติ' พร้อมแสดงแถบความคืบหน้าให้ดูเหมือนกำลังตรวจสอบความปลอดภัยจริง

มัลแวร์ไบต์สระบุว่า บางเว็บไซต์แสดงข้อความอย่าง 'Checking wallet history' หรือ 'Verifying compliance' ก่อนเรียกเก็บค่าธรรมเนียมจำนวนเล็กน้อย และปิดท้ายด้วยผลลัพธ์ 'Clean, Low Risk' เพื่อสร้างความเชื่อมั่นให้ผู้ใช้ โดยไม่คำนึงว่ามีการตรวจสอบจริงเกิดขึ้นหรือไม่

AMLBot เคยเตือนในประกาศเมื่อเดือนเมษายน 2025 ว่า พบกรณีปลอมแปลงเป็นบริษัทผ่านอีเมล เทเลแกรม และเว็บไซต์ปลอมเพิ่มขึ้นต่อเนื่อง พร้อมย้ำว่าหากมีใครใช้ชื่อ 'AMLBot Recovery' หรือชื่อคล้ายกันเพื่อขอสิทธิ์เข้าถึงกระเป๋า เงินล่วงหน้า หรือคีย์ส่วนตัว ให้ถือว่าเป็นการหลอกลวงทันที

AMLBot ระบุว่าช่องทางบริการอย่างเป็นทางการมีเพียง amlbot.com และบอตเทเลแกรมที่ผ่านการยืนยันเท่านั้น การมีชื่อโดเมนหรือชื่อบัญชีคล้ายกันไม่ได้แปลว่าเป็นบริการที่ถูกต้อง

พีซีริสก์(PCRisk) บริษัทด้านความปลอดภัยไซเบอร์ วิเคราะห์เมื่อวันที่ 2 มิถุนายนว่า หน้าเว็บ 'AMLBot Crypto Checking' เป็นเครื่องมือ 'ดรัยเนอร์' (drainer) ที่เลียนแบบเว็บไซต์ทางการ โดยยกตัวอย่างโดเมนที่เกี่ยวข้อง เช่น amlbotchecking[.]com และ aml-safety[.]one พร้อมระบุว่าหากผู้ใช้เชื่อมต่อกระเป๋า อาจนำไปสู่การเซ็นอนุมัติสัญญาที่เป็นอันตรายได้

รูปแบบนี้มีโครงสร้างใกล้เคียงกับการแอบอ้างที่ปลอมเป็นขั้นตอนกำกับดูแลหรือความปลอดภัยที่เคยรายงานไว้ก่อนหน้านี้ จุดร่วมคือการอาศัยจังหวะที่ผู้ใช้พยายามหลีกเลี่ยงความเสี่ยง แล้วใช้คำอย่าง 'ความปลอดภัย' 'กำกับดูแล' หรือ 'กู้คืน' สร้างความน่าเชื่อถือปลอมขึ้นมา

การเชื่อมต่อกระเป๋าคริปโตโดยทั่วไปเป็นขั้นตอนที่บริการต้องการยืนยันที่อยู่กระเป๋า หรือขอให้ผู้ใช้อนุมัติธุรกรรมใดธุรกรรมหนึ่ง การเชื่อมต่อเพียงอย่างเดียวไม่ได้แปลว่าสินทรัพย์จะถูกดึงออกทันทีเสมอไป แต่การอนุมัติโทเคนหรือเซ็นเอกสารที่ไม่รู้จักในขั้นตอนถัดมา อาจเป็นจุดที่มอบสิทธิ์เข้าถึงสินทรัพย์ให้ผู้อื่นได้

แม้จะมีคำอย่าง 'กู้คืนกระเป๋า' 'ตรวจสอบ AML' หรือ 'ผลลัพธ์สะอาด (clean)' ปรากฏอยู่ แต่หากขั้นตอนใดขอให้เชื่อมต่อกระเป๋า อนุมัติโทเคน เซ็นเอกสารที่ไม่รู้จัก หรือกรอกวลีกู้คืน (recovery phrase) ก็ยากที่จะถือว่าเป็นขั้นตอนปกติ โดยเฉพาะการกรอกวลีกู้คืนหรือคีย์ส่วนตัว ถือเป็นการมอบสิทธิ์ควบคุมกระเป๋าให้ผู้อื่นโดยพฤตินัย

หากเคยให้สิทธิ์เข้าถึงโทเคนกับเว็บไซต์ที่น่าสงสัยไปแล้ว ควรตรวจสอบและเพิกถอนสิทธิ์นั้นทันที ส่วนใครที่กรอกวลีกู้คืนหรือคีย์ส่วนตัวไปแล้ว ควรถือว่ากระเป๋านั้นเสียหายไปแล้ว และย้ายสินทรัพย์ที่เหลือไปยังกระเป๋าใหม่โดยเร็ว