假冒的钱包合规检测正在盗币 —— 真正的查询从不需要你连接钱包

安全公司 Malwarebytes 警告，一批假冒加密合规查询网站正诱导用户连接钱包并批准交易。这些网站伪装成反洗钱（AML）检测工具——本来用于查看某个钱包地址是否接触过被盗、被黑或受制裁的资金——其中一些直接模仿真实服务 AMLBot 的名称与外观，另一些则用 AML Check 之类的通用名字。安全人员的判断很直接：真正的查询只需要你的公开钱包地址，因此一旦被要求连接钱包，这本身就是警讯。

真正的 AML 查询读取的是任何人都能看到的公开链上交易记录。假网站却要求你先连接钱包，然后上演一整套逼真的流程：进度提示、扫描、检测结果。其中一个网站会以手续费为由要求用户先小额充值，然后无论是否真的查询过，都给出“干净、低风险”的结论。Malwarebytes 发现同一套版面和话术被套上不同名称与标志反复出现，说明这是一个被换皮再用的诈骗模板。

连接钱包本身并不会直接把币交出去，它交出去的是信息：你的地址，以及由此可见的持仓。这足以让对方按你的资产量身构造一笔交易，摆到你面前等你批准。盗币真正发生在“批准”这一步，而那恰恰是多数人最容易顺手点下去的时刻——因为页面已经花了一分钟把自己装得很正式。

这类手法并不新，只是换了外衣。本月早些时候，硬件钱包厂商 Trezor 与 Foundation 就警告过有钓鱼邮件把用户引向克隆的 Coldcard 网站。今年 3 月，Malwarebytes 发现了仿冒 Pudgy Penguins 旗下游戏 Pudgy World 的假站点，用来窃取钱包密码；交易所 CoinDCX 也表示，从 2024 年 4 月到 2026 年 1 月，它累计发现 1,200 多个冒充自家平台的网站。

如果你已经批准了可疑操作，Malwarebytes 建议立刻撤销相关代币授权；若你曾在任何页面输入过助记词或私钥，就应视该钱包已被攻破，把资产全部转移到新钱包。加密交易一旦确认通常无法撤回，所以反应速度在这里比在多数网络诈骗中更关键。新手值得记住的一条规则：任何声称能帮你检测、验证或“洗清”钱包、随后却要求你连接钱包的页面，都在索取这件事根本不需要的东西。