De faux vérificateurs AML vident les portefeuilles

Un client que vous n'avez jamais rencontré vous paie. Ou vous achetez des USDT à un inconnu sur une plateforme P2P. Le lendemain, la question arrive : et si cet argent était sale, et que la plateforme le gèle dès le dépôt ?

L'inquiétude est légitime. Depuis ce mois-ci, c'est aussi l'appât d'une arnaque.

Le 19 août 2026, Malwarebytes a publié une enquête sur un ensemble de sites qui se font passer pour des vérificateurs AML crypto — ces outils qui servent à savoir si une adresse est liée à des sanctions, à des fonds volés ou à un mixeur. Les pages font sérieuses. Mise en page nette, sélecteur de blockchain, vocabulaire de conformité, un bouton « Check Wallet ». Plusieurs copient l'identité visuelle d'AMLBot, un vrai fournisseur de screening. Parmi les domaines cités dans le rapport : amlbot-clear[.]com, audittrust[.]shop, bitget-aml[.]com, search-aml[.]net et swapstoken[.]app.

Puis vient l'étape qui vous coûte tout. Le site ne demande pas l'adresse que vous voulez vérifier. Il vous demande de connecter votre portefeuille.

Ce qui se passe après la connexion

La connexion donne au site votre adresse publique. Cela seul ne déplace aucun fonds. C'est l'écran suivant qui le fait.

Le site construit une transaction et l'envoie à votre portefeuille pour approbation. À l'écran, c'est déguisé en étape de la vérification : une barre de progression qui avance vers « vérification de la conformité », parfois une erreur annonçant que le scan a échoué et réclamant une petite recharge pour couvrir les frais de réseau. À ce stade vous êtes agacé, vous voulez votre résultat, vous appuyez sur approuver. Ce que vous avez signé, en réalité, c'est une autorisation de tokens ou un transfert qui vide le solde.

Les chercheurs de Malwarebytes résument la règle en une phrase : si un vérificateur AML vous demande de connecter votre portefeuille au lieu de saisir une adresse publique, considérez-le comme un signal d'alerte.

Certaines versions du site finissent par afficher un résultat. Il dit propre. Il dit toujours propre, puisque rien n'a jamais été vérifié.

Pourquoi l'appât fonctionne

La peur exploitée est réelle, et elle l'est de plus en plus.

Le 7 août 2026, le Trésor américain a sanctionné deux plateformes d'actifs numériques utilisées par les Gardiens de la révolution iraniens pour déplacer de l'argent, ainsi que l'opérateur d'un réseau de sociétés-écrans. Chaque action de ce type ajoute des adresses fraîches à la liste SDN, et chaque service conformité resserre ses filtres d'un cran. Quiconque traite on-chain avec des inconnus a appris qu'un dépôt peut rester gelé des semaines pendant que quelqu'un demande d'où viennent les fonds.

Donc « vérifiez l'adresse avant d'y toucher » est un bon conseil. Les escrocs lisent le même conseil que vous.

Fabriquer la copie coûte peu. CoinDCX a recensé 1 212 sites imitant le sien entre le 1er avril 2024 et le 5 janvier 2026. Un gabarit, un nouveau domaine, un nouveau logo, on recommence.

La règle qui les attrape tous

Un vrai screening d'adresse a besoin d'une seule chose : l'adresse publique.

Pas d'une connexion de portefeuille. Pas d'une signature. Pas d'une autorisation de tokens. Pas de frais payés d'avance. Et jamais d'une phrase de récupération ou d'une clé privée.

C'est un fait technique, pas un choix de politique interne. Les listes de sanctions, l'attribution des mixeurs et l'historique des contreparties se lisent tous dans les données publiques de la blockchain. N'importe qui peut consulter n'importe quelle adresse sans l'autorisation de son propriétaire : c'est tout l'intérêt d'un registre public. Si un service exige que vous prouviez le contrôle du portefeuille avant de vous dire s'il est risqué, il fait autre chose que du screening.

Notre propre screening fonctionne de la même façon : vous collez une adresse, nous lisons la chaîne, vous obtenez un résultat de risque et un rapport présentable à une banque. Lancez une vérification ici — il n'y a aucun bouton de connexion dans le parcours, parce qu'il n'y a rien à connecter.

D'autres indices qui valent trente secondes

• Le domaine. amlbot-clear[.]com n'est pas amlbot.io. Comparez la chaîne exacte, ou passez par un lien que vous avez enregistré vous-même plutôt que par une annonce de recherche.
• Le paiement avant le résultat. Un screening payant facture un rapport après vous avoir montré un aperçu. « Rechargez pour poursuivre le scan » n'est pas un modèle tarifaire.
• La perfection instantanée. Une page qui renvoie un résultat impeccable en deux secondes pour toutes les adresses est une image, pas une vérification. Envoyez-lui une adresse connue comme mauvaise, par exemple un routeur Tornado Cash publié. Si elle revient propre, fermez l'onglet.
• L'urgence dans le texte. « Votre portefeuille pourrait être restreint. » « Vérifiez maintenant pour éviter un gel. » Les outils de conformité n'écrivent pas comme ça. Les arnaques, si.

Si vous avez déjà connecté

Une simple connexion se rattrape le plus souvent. Une approbation, non — même là, il reste quelque chose à faire.

Déconnectez le site de votre portefeuille. Passez ensuite en revue vos autorisations de tokens existantes et révoquez tout ce que vous ne reconnaissez pas : les applications de portefeuille et les outils de révocation les listent par contrat. Une autorisation reste active jusqu'à révocation, et c'est précisément pour ça que les drainers en demandent une plutôt qu'un simple transfert.

Si vous avez saisi une phrase de récupération ou une clé privée quelque part, considérez ce portefeuille comme perdu. Déplacez les soldes vers un portefeuille neuf maintenant, en commençant par le plus gros. Ne faites pas le ménage dans l'ancien pour continuer à l'utiliser.

Regardez ensuite où sont partis les fonds avant de déposer quoi que ce soit auprès d'une plateforme ou de la police. L'adresse de destination est on-chain, et c'est une preuve.

Les chiffres vont dans le mauvais sens

Scam Sniffer a comptabilisé 83,85 millions de dollars perdus en 2025 dans le phishing par drainer, sur 106 106 victimes. À l'échelle récente, c'était une bonne année : 2024 avait vu 494 millions de dollars et plus de 332 000 portefeuilles. La baisse vient de meilleurs avertissements dans les portefeuilles et de la fermeture de quelques gros kits de drainage.

2026 n'a pas tenu cette ligne. Rien qu'en janvier, les pertes liées au phishing de signature ont bondi de 207 % par rapport à décembre, tandis que le nombre de victimes baissait de 11 %. Moins de monde, des coups plus gros. C'est ce qui arrive quand les attaquants cessent d'arroser et se mettent à fabriquer des appâts pour ceux qui détiennent le plus probablement de l'argent réel — ce qui inclut quiconque est assez prudent pour chercher un vérificateur AML.

La leçon est agaçante mais courte. Vérifier un portefeuille est une opération de lecture. Si une page la traite comme une écriture, ce n'est pas une vérification.