この「セキュリティツールを装う」詐欺は、典型的な偽取引所や偽NFTフィッシングサイトと本質的に何が違うのか？
典型的なフィッシングサイトは貪欲さや緊急性を利用する——期間限定エアドロップ、利益保証、希少NFTの割引などで、ユーザーが興奮したり焦ったりしている間に警戒心を下げさせる。偽AMLチェッカーサイトはその正反対の心理メカニズムを利用する——すでに防御的な行動をとっている人、つまり自分のウォレットが安全かどうかを積極的に確認しようとしている人をターゲットにする。
この違いこそが、偽AMLサイトを特に防ぎにくくしている理由だ。ユーザーの心理状態は「お得かもしれない」ではなく「自分を守っている」という状態から始まる。この自己認識自体が、その後のすべてのステップに対する警戒心を実は下げてしまう。なぜなら、一連の流れが「取引」ではなく「セキュリティチェックの一部」として演出されているからだ。
同じ詐欺テンプレートが異なるブランド名の下で繰り返し使われているという現象は、業界のどのような傾向を反映しているのか？
Malwarebytesの報告は、これらの偽サイトがブランドや名称は異なるものの、基盤となる設計とフローロジックが非常に一貫していることを特に指摘している——プログレスバー、偽のエラーメッセージ、「低リスク」結果、ダウンロード可能なレポート。この一連の構成要素は、各攻撃者がゼロから構築しているのではなく、既製のテンプレートとして繰り返し展開されている可能性が高い。
これはフィッシング攻撃が「テンプレート化・迅速なリブランド」の方向へ進化していることを反映している。攻撃者は心理操作のフロー全体を再設計する必要はなく、ロゴとドメインを変えるだけで、すでに効果が実証された同じ詐欺スクリプトを再び市場に投入できる。これは、他で取り上げられているDrainer-as-a-Serviceの産業化トレンドと同じ論理である——攻撃ツール自体がレンタル可能で複製可能な商品になりつつあり、詐欺実行のハードルは下がり続けている。
普段から注意していて、怪しいリンクを絶対にクリックしない場合でも、この種の偽AMLサイトにどのような経路で遭遇する可能性があるのか？
報告は特に、これらの偽サイトが検索エンジン広告、ソーシャルメディアの投稿、メッセージング、そして通常の検索結果に混在する形でよく現れることを警告している——つまり、ユーザーは必ずしも怪しいリンクをクリックしたから罠にはまるわけではなく、単に「AML checker」や「wallet risk check」といったキーワードを検索し、上位に表示されたが実は偽装サイトをクリックしてしまう可能性がある。
これこそが、「怪しいリンクに気をつける」という原則だけではもはや不十分な理由だ。自分の資産の安全性を確認するために使うツールについては、検索エンジンのランキングやメッセージ内で受け取ったリンクに頼るのではなく、そのサービスの公式に発表されたURL——公式のソーシャルアカウントや既存の信頼できるブックマークから——を見つけることが正しいアプローチである。なぜなら、ランキングもメッセージ自体もすでに詐欺集団に浸透されている可能性があるからだ。
「偽サイトを避ける」以外に、この事件は日常的なウォレット権限管理について、より具体的な行動指針を示しているか？
ある。具体的かつ継続的に実行できる習慣がある——定期的に（例えば毎月）、公式URLを確認済みの信頼できる権限チェックツールを使い、現在どのサイトやコントラクトが自分のウォレットへのアクセス権を持っているかを確認し、もう使っていない、あるいは承認した覚えがないものを取り消すことだ。これが重要な理由は、たとえ今回偽AMLサイトに引っかからなかったとしても、過去に他のDeFiプラットフォームやNFTマーケットプレイスで残してきた古い承認自体が、継続的なリスクとして存在しているからだ。攻撃者は「今回」あなたを騙す必要はなく、過去のある時点で付与した承認が今も有効であれば、それだけで付け入る隙になる。
言い換えれば、この事件から得るべき本当の教訓は「この種の詐欺に気をつけろ」ではなく、「権限管理は何か起きた後に思い出すことではなく、日常的な習慣であるべきだ」ということだ。承認の取り消しを定期的なパスワード変更と同じように、ルーティンチェックとして扱うことこそが、長期的にリスクを減らす方法である。
2026年8月19日、セキュリティ企業Malwarebytesは、暗号資産ウォレットのマネーロンダリング防止（AML）チェックサービスを装った一連のフィッシングサイトを暴露した——これらのサイトは正規サービスAMLBotのブランド、インターフェース、文言をコピーするか、「AML Check」のような中立的に聞こえる汎用名で運営されている。目的はユーザーにウォレットを接続させ、資産を流出させる取引を承認させることだ。この事件は承認フィッシングと併せて学ぶ価値がある。詐欺師がユーザー自身の「自衛したい」という動機そのものを攻撃の入口に変える手口を示しているからだ。
正規の暗号資産AMLチェックは、本質的には単純な照会である——ウォレットの公開アドレスを提供すれば、サービス側がその取引履歴にハッキング、詐欺、制裁対象、その他不審な活動との関連がないかを確認する。このプロセス全体で必要なのは公開アドレスのみであり、ウォレットの接続も、取引の承認も、まして復元フレーズや秘密鍵も一切不要である。Malwarebytesはこの点を明確に指摘している——AMLチェッカーがアドレスを入力させるのではなくウォレットの接続を求めてきたら、それ自体を警告サインとして扱うべきだ。
研究者が確認したあるバージョンは、非常にプロフェッショナルに作り込まれていた——ユーザーは暗号資産を選択し、「Check Wallet」ボタンをクリックすると、ウォレットの接続を求められる。接続するだけでは資産を盗むには不十分だが、これによってユーザーの公開アドレスが明らかになり、攻撃者はそのウォレット専用の悪意ある取引を作成し、承認のために送り返すことができる。サイトは「ウォレット履歴を確認中…」「コンプライアンスを検証中…」といったプログレスバーのメッセージを表示し、本物のチェックが進行しているかのように見せかける。途中で、「手数料をカバーするため少額の入金が必要」という偽のエラーが表示され、ユーザーに少額の取引を送らせようとする。「Retry」をクリックすると同じアニメーションが再度流れ、最終的に安心感を与える「Clean, Low Risk」という結果とダウンロード可能なレポートが表示される——実際に本物のチェックが行われたかどうかに関係なく。
Malwarebytesの分析は重要な心理的メカニズムを指摘している——そもそもAMLチェッカーを探しに行く人は、すでにセキュリティ意識が高く、積極的に自衛しようとしている人々である。これらの偽サイトはまさにその警戒心を利用する——すべてのステップが通常のセキュリティプロセスの一部であるかのように設計されている。プログレスバーは実際に分析が行われていることを示唆し、手数料の説明は中断をもっともらしく見せ、「低リスク」という結果はチェックが実際に機能したかのように思わせる。研究者はまた、同じ基本設計と流れが複数の異なる名前やロゴの下で再利用されていることを発見しており、これは個別の攻撃者がそれぞれ独自にツールを開発しているのではなく、単一の詐欺テンプレートが繰り返しリブランドされていることを示している。現時点で確認されている悪意のあるドメインには、amlbot-clear[.]com、audittrust[.]shop、bitget-aml[.]com、search-aml[.]net、swapstoken[.]appが含まれる。
Malwarebytesが推奨する対応は、どこまでやり取りが進んだかによって段階的に異なる。ウォレットを接続しただけで何も承認していない場合は、そのサイトとの接続を切断する——接続しただけでは資金を動かす権限を与えることにはならない。トークントークンを承認してしまった場合は、ウォレット内で見覚えのない権限を確認して取り消す。多くのウォレットプロバイダーにはこのための組み込みの承認チェッカーが用意されている。理解しないまま取引を確認してしまった場合は、最近のウォレットアクティビティを確認し、資産にリスクがあると思われる場合は残りの資金を新しいウォレットに移動する。復元フレーズや秘密鍵を入力してしまった場合は、そのウォレットを完全に危険にさらされたものとして扱い、新しい復元フレーズを持つ全く新しいウォレットに全資産を移動する。暗号資産の取引は一度確認されるとほぼ取り消せないため、こうした事件では対応の速さが極めて重要になる。
この事件から得るべき教訓は「AMLBotが偽装された」ということではなく、より普遍的な原則である——ウォレットの接続、取引の承認、メッセージへの署名、復元フレーズの提供を求めてくるサービスは、たとえ「セキュリティチェック」や「コンプライアンス検証」を装っていても、一呼吸置いて考える価値がある。AML照会、承認取り消し、セキュリティスキャンなどのツールを使う前には、検索結果の最初のリンクやメッセージ内のリンクをクリックするのではなく、公式URLを手動で入力すること。そして、シンプルな原則を覚えておくこと——正規の照会サービスが必要とするのは公開アドレスだけである。それ以上を求めてきた瞬間、それはもはや「照会」ではなく、承認への署名を求められているということだ。