Fausse vérification AML pour portefeuilles crypto : comment reconnaître les sites frauduleux

Une vérification AML sérieuse d'une adresse crypto ne demande qu'une seule chose : l'adresse publique. Elle n'exige aucun accès à votre portefeuille, aucune connexion, aucune signature et encore moins un paiement anticipé. Quiconque vous demande de connecter votre portefeuille pour un contrôle anti-blanchiment ne procède à aucune vérification. C'est précisément là-dessus que repose une vague de fraude décrite par la société de sécurité Malwarebytes le 19 août 2026, et dont l'infrastructure fonctionnait encore douze jours plus tard selon notre propre mesure.

Fausse vérification AML : ce que Malwarebytes a découvert en août 2026

Stefan Dasic, chercheur en logiciels malveillants chez Malwarebytes, a documenté une série de sites qui se présentent comme des services de contrôle d'adresses crypto. Ils imitent le prestataire légitime AMLBot ou opèrent sous des noms passe-partout sans relief, tels que « AML Check ». La construction est semblable dans tous les cas : vous choisissez une cryptomonnaie, vous cliquez sur un bouton portant la mention « Check Wallet », puis on vous invite à connecter votre portefeuille.

À partir de ce moment, le site n'est plus un outil de contrôle. C'est une scène de théâtre. Une barre de progression défile, accompagnée de messages intermédiaires comme « Checking wallet history… » et « Verifying compliance… ». Vient ensuite un message d'erreur inventé : la vérification ne peut aboutir, le solde serait insuffisant, un petit rechargement serait nécessaire pour couvrir les frais. Celui qui clique sur « Retry » revoit la même animation, puis un résultat rassurant, le plus souvent un « Clean, Low Risk ».

Ce résultat est entièrement inventé. Il n'y a ni contrôle, ni interrogation de base de données, ni évaluation. Ce qu'il y a, c'est une connexion entre votre portefeuille et un site tiers, et cette connexion constitue la véritable finalité de tout l'édifice.

La vérification AML expliquée : pourquoi une adresse de portefeuille est contrôlée

AML est l'abréviation d'anti-money laundering, soit la lutte contre le blanchiment. Une vérification AML pour la crypto est un renseignement indiquant si une adresse publique de blockchain a été liée par le passé à des contreparties suspectes, par exemple une plateforme d'échange piratée, un service de mélange ou une adresse sanctionnée. Les prestataires de ces renseignements analysent pour cela des données de transactions consultables publiquement et rattachent des adresses à des acteurs connus.

Le point décisif de cette définition figure déjà dans le mot « publique ». Tout ce dont un tel renseignement a besoin se trouve de toute façon à découvert sur la blockchain. L'adresse est la clé de la requête, et l'adresse est une chaîne de caractères que vous pouvez copier et coller dans un champ. Un accès à votre solde n'y est pas plus nécessaire qu'une procuration bancaire pour consulter un extrait public du registre foncier.

Pourquoi les particuliers s'y intéressent-ils ? Parce qu'une adresse signalée comme suspecte peut causer des ennuis. Déposer des fonds sur une plateforme réglementée expose à une question du service de conformité, et dans le pire des cas un retrait est retardé jusqu'à ce que l'origine des fonds soit établie. Cette inquiétude est réelle, et c'est le levier sur lequel appuient les sites frauduleux.

Comment reconnaître une véritable page de contrôle

Un renseignement sérieux réclame un champ de saisie et rien d'autre. Vous collez l'adresse, vous obtenez une appréciation, et votre logiciel de portefeuille ne s'ouvre pas une seule fois pendant toute l'opération. Si la fenêtre de connexion de votre portefeuille apparaît, la vérification est déjà terminée à cet instant, et à votre détriment. Malwarebytes en tire une règle simple : exiger une connexion de portefeuille au lieu de l'adresse publique est un signal d'alarme.

Saisir une adresse ou connecter un portefeuille : la différence qui décide de tout

Deux opérations qui se ressemblent dans le navigateur ont des conséquences radicalement différentes. Saisir une adresse relève de la lecture. Vous livrez une information que tout explorateur de blockchain affiche de toute façon, et votre interlocuteur ne peut rien en faire qu'il ne puisse déjà faire sans vous.

Connecter un portefeuille est tout autre chose. Vous autorisez ainsi un site à dialoguer avec votre logiciel de portefeuille. Le site voit ensuite votre adresse et votre solde et, surtout, il peut vous soumettre des transactions à confirmer. Il ne peut pas les déclencher lui-même, mais il peut les préparer et les libeller de sorte qu'un seul clic de votre part suffise. L'architecture de sécurité d'un portefeuille est incorruptible sur ce point : elle exécute ce que vous autorisez.

C'est exactement pour cela que les sites documentés soignent autant leur mise en scène. Ils n'ont besoin d'aucune faille dans votre portefeuille. Ils ont besoin d'un instant où une fenêtre de confirmation vous paraît être une étape normale d'un contrôle de sécurité. Dès que vous comprenez que vous vous croyez dans une procédure de vérification alors que vous signez en réalité une procuration, le stratagème est éventé.

Le déroulé du site frauduleux : de la barre de progression aux prétendus frais

L'ordre des étapes n'a rien d'un hasard, il suit une dramaturgie. Vient d'abord le choix de la cryptomonnaie, une opération anodine qui installe la confiance et vous engage dans un parcours de clics. Vient ensuite la connexion, plausible dans le contexte d'un prétendu contrôle. La manipulation proprement dite ne commence qu'après.

La barre de progression remplit deux fonctions. Elle donne au site l'apparence du travail là où rien ne travaille, et elle laisse à l'autre partie le temps d'examiner votre adresse et de préparer une transaction adaptée. Ce qui vous est ensuite soumis est taillé sur mesure pour votre solde. Le message d'erreur qui suit, à propos de frais manquants, est le prétexte censé justifier un paiement ou une autorisation. Et le « Clean, Low Risk » final fait en sorte que vous quittiez le site rassuré, sans vérifier ce que vous avez confirmé en chemin.

Le plus frappant dans ce stratagème est le public qu'il atteint. Il ne vise pas l'imprudence, il vise la prudence. Celui qui cherche une vérification AML s'est déjà interrogé sur la propreté de son adresse. Ce public est mieux informé que la moyenne, et il vient de lui-même, sans qu'un attaquant ait à le solliciter.

Autorisation de jetons plutôt que mot de passe : le mécanisme technique de la fuite

Dans une attaque de ce type, aucun mot de passe ni aucune phrase de récupération n'est perdu. La voie habituelle passe par une autorisation de jetons, l'approval en anglais. Une autorisation est une permission que vous accordez à une adresse tierce de déplacer une catégorie de jetons hors de votre portefeuille. Cette permission est nécessaire au quotidien, toute plateforme d'échange décentralisée en a besoin, et elle subsiste jusqu'à ce que vous la révoquiez.

Le danger tient au montant et à la durée. Beaucoup d'autorisations sont accordées sans plafond, parce que c'est commode et parce que la fenêtre de confirmation n'affiche pas toujours le montant de façon compréhensible. Une autorisation illimitée, une fois accordée, continue d'agir même quand vous avez fermé le site depuis longtemps, même après un redémarrage de l'ordinateur, et même lorsque vous coupez la connexion dans le menu du portefeuille. Couper la connexion met fin au canal de dialogue, cela ne retire pas la procuration.

À quoi ressemble une telle confirmation dans la fenêtre et quels champs lire avant de cliquer, nous l'avons décrit en détail dans notre article sur les wallet drainers et l'autorisation par signature. S'il ne fallait retenir qu'une seule compétence technique de ce domaine, ce devrait être celle-là. Sur une chaîne comme Ethereum et les réseaux compatibles avec elle, l'autorisation est le mécanisme standard par lequel des avoirs changent de main sans qu'aucune clé ait été dérobée.

Ce qu'une autorisation permet techniquement

Une autorisation désigne trois choses : quel jeton elle concerne, quelle adresse tierce peut en disposer et jusqu'à quel montant. Si la limite de montant fait défaut, l'adresse tierce peut retirer la totalité du stock de ce jeton, à tout moment et sans nouvelle question. Les portefeuilles dotés d'une bonne interface vous présentent ces trois indications en clair. Les fenêtres de confirmation plus anciennes ou d'une conception sommaire vous montrent une chaîne de caractères, et c'est précisément là-dessus que comptent les exploitants de ces sites.

Relevé maison : trois des cinq domaines cités répondent encore douze jours plus tard

Ce relevé a été effectué par cryptoticker.io le 31 août 2026. Méthode : nous avons vérifié une fois, le 31 août 2026 à 3 h 53 UTC, les cinq domaines que Malwarebytes cite nommément dans son rapport, par appel HTTP et par résolution de noms, et nous avons noté le code de réponse. Cinq domaines issus du rapport ont été examinés, plus le domaine du prestataire légitime imité comme valeur de comparaison, soit six objets au total.

Le résultat : deux des cinq domaines ne se résolvent plus, leurs enregistrements de noms ont disparu. Deux autres répondent avec le code 200 et servent donc une page. Un cinquième répond avec le code 403 et rejette notre appel automatisé, mais dispose d'un enregistrement actif et d'un serveur qui répond. Par ordre alphabétique : amlbot-clear[.]com répond, bitget-aml[.]com répond, swapstoken[.]app rejette, audittrust[.]shop et search-aml[.]net ne se résolvent plus. Le domaine du prestataire authentique répond lui aussi, comme attendu.

Ce que ces chiffres signifient, et ce qu'ils ne signifient pas : nous avons mesuré uniquement l'accessibilité, c'est-à-dire le fait qu'un serveur réponde sous ce nom. Nous n'avons pas ouvert les pages servies, nous n'avons pas apprécié leur contenu et nous n'avons donc pas établi si le stratagème décrit y est toujours en activité, si une page de parking a pris sa place ou si un tiers a repris le domaine. Nous ne pouvons pas davantage dire combien de personnes ont consulté ces sites sur la période ni quel préjudice en est résulté. Une seule affirmation est solide : douze jours après l'avertissement public, l'infrastructure qui y est nommée n'a pas été entièrement démantelée. Pour vous, lecteur, c'est la grandeur pertinente, car un avertissement dont les cibles seraient depuis longtemps hors ligne appartiendrait à l'histoire. Celui-ci n'y appartient pas.

Noms imités : ce qu'un nom de domaine dit d'une entreprise

L'un des domaines cités associe le nom d'une plateforme d'échange connue au sigle AML. Cela mérite une mise au point claire, car un nom de domaine se choisit librement, et celui qui l'enregistre n'a besoin ni de l'autorisation ni de la connaissance de celui dont il emprunte le nom. Rien ne se déduit donc d'une raison sociale figurant dans une barre d'adresse quant à l'entreprise elle-même. Au contraire : les sociétés dont le nom est utilisé de cette manière sont victimes du stratagème, puisque la confiance bâtie au fil des ans est retournée en instrument contre leurs propres clients. Cela vaut ici pour la plateforme de contrôle imitée comme pour la plateforme d'échange dont le nom apparaît dans l'un des domaines.

Concrètement, cela signifie pour vous : un nom familier dans une adresse web n'est pas un label de qualité. Ce qui compte, c'est la ligne d'adresse complète, et ce qui compte avant tout, c'est la manière dont vous êtes arrivé sur la page. Un lien issu d'un message, d'une publication sur un réseau social ou d'une annonce publicitaire dans un moteur de recherche mérite par principe plus de méfiance qu'un favori que vous avez posé vous-même.

Pourquoi le stratagème tombe en Allemagne sur un terrain préparé

Depuis le début de 2026, les investisseurs allemands se voient réclamer par leurs prestataires des justificatifs d'une manière jusque-là inhabituelle. Avec la transposition de la directive européenne DAC8, les prestataires de services crypto doivent, depuis le 1er janvier 2026, identifier leurs clients, enregistrer les transactions et recueillir des auto-déclarations fiscales. Celui qui ne réagit pas reçoit un rappel, puis un avertissement, et le prestataire peut restreindre les comptes.

Cela crée une accoutumance qui vaut de l'or pour les fraudeurs. Les demandes de justificatifs, de contrôles et de confirmations sonnent aujourd'hui moins comme un signal d'alarme que comme une routine administrative. Un site qui propose un contrôle anti-blanchiment s'inscrit dans ce décor, et l'idée « je dois sans doute le faire » vient plus facilement qu'il y a un an. Nous avons observé un schéma comparable avec les offres d'emploi crypto exigeant un compte bancaire personnel, où une procédure aux allures officielles fournissait elle aussi le cadre du préjudice réel.

Il est utile de bien se représenter la différence une fois pour toutes. Lorsque votre plateforme attend quelque chose de vous, vous trouvez cette demande dans votre compte après connexion. Aucun prestataire réglementé ne vous renvoie vers un site tiers pour remplir une obligation, et aucun n'exige pour cela une connexion de portefeuille. Là où ces obligations sont effectivement encadrées et quels prestataires relèvent d'une supervision européenne, vous pouvez le lire dans notre panorama des plateformes crypto réglementées.

Vérifier et révoquer les autorisations de jetons : la marche à suivre

La démarche la plus efficace après un contact douteux avec un tel site consiste à passer en revue les autorisations que vous avez accordées. Chaque grande chaîne dispose pour cela d'une rubrique dans son explorateur de blockchain, où vous saisissez votre adresse et obtenez la liste de toutes les autorisations ouvertes avec l'adresse tierce habilitée. Une révocation est une transaction ordinaire et coûte les frais de réseau habituels.

Parcourez la liste calmement et prêtez attention à deux points : les montants illimités et les adresses tierces que vous ne pouvez rattacher à aucune opération. Une autorisation dont vous ne vous rappelez plus le motif est une candidate à la révocation, même si rien ne s'est produit jusqu'ici. L'effort est mince, le préjudice possible ne l'est pas.

L'endroit où vous conservez vos clés détermine aussi le coût d'un clic malheureux. Un panorama des appareils et de leur maniement figure dans notre comparatif des portefeuilles matériels ; qui travaille sans appareil supplémentaire trouvera dans le comparatif des portefeuilles logiciels les différences d'affichage des fenêtres de confirmation, et cet affichage est précisément le point sensible en matière de sécurité.

Après une transaction confirmée : pourquoi couper la connexion ne suffit pas

Supposons que vous ayez confirmé et que vous vous en aperceviez peu après. L'ordre de vos gestes importe alors davantage que leur rapidité. Couper la connexion dans le menu du portefeuille est judicieux, mais c'est le plus petit des gestes, car il laisse intacte la procuration accordée. La révocation de l'autorisation compte davantage, et compte plus encore la question de savoir si seule une autorisation a été accordée ou si une phrase de récupération a été saisie.

Si une autorisation a été accordée, la révocation suffit en règle générale. Si en revanche une phrase de récupération ou une clé privée a été tapée quelque part, le portefeuille est définitivement perdu, et le solde restant doit rejoindre un portefeuille fraîchement créé avec une nouvelle phrase de récupération. Une phrase de récupération ne connaît pas de révocation ; elle ne peut qu'être remplacée.

Préparez-vous à ce qui suit : les offres de prétendue récupération. Quiconque est abordé dans des forums ou par message après un incident et promet de récupérer les fonds contre un paiement d'avance exploite le second étage du même stratagème. Les transactions confirmées sur une blockchain sont définitives, et personne ne peut les défaire contre des frais.

Portefeuilles séparés et petits montants : ce qui limite les dégâts

Aucune mesure isolée ne protège complètement d'un clic malheureux, mais la répartition des avoirs aide de façon fiable. Celui qui conserve la plus grande part de son solde sur une adresse jamais connectée à un site peut expérimenter tranquillement sans tout risquer. Une seconde adresse dotée d'un montant modeste prend alors en charge le contact avec les applications, et un préjudice reste limité à ce montant.

Un appareil matériel renforce cet effet, car il déplace la confirmation vers un écran situé hors de l'ordinateur. Ce n'est pas pour autant un blanc-seing : même avec un portefeuille matériel, vous accordez une autorisation dès que vous la confirmez sur l'appareil. Le gain tient à ce que les indications y apparaissent sous une forme qu'un site manipulé ne peut pas récrire. Qui lit cet affichage, au lieu d'appuyer deux fois sur le même bouton, a fait l'essentiel du travail.

Contrôle périodique des autorisations : quand une revue s'impose

Les autorisations s'accumulent sans qu'on le remarque. Chaque application utilisée en laisse une, et après deux ans d'usage une adresse active porte facilement plusieurs dizaines de procurations ouvertes. Beaucoup se rattachent à des projets qui n'existent plus, et une application abandonnée est une cible attrayante pour une reprise par des tiers.

Une revue deux fois par an constitue une mesure raisonnable, à laquelle s'ajoute une revue après chaque événement inhabituel : après la visite d'un site atteint par un lien étranger, après une confirmation dont l'objet vous échappe ensuite, et après chaque signalement d'une application compromise que vous avez vous-même utilisée. Le temps nécessaire se compte en quelques minutes, dès lors que vous connaissez la marche à suivre.

Reconnaître une fausse vérification AML : ce qu'il faut retenir

1. Retenez la ligne de partage. Une véritable vérification d'une adresse crypto ne réclame que l'adresse publique dans un champ de saisie. Dès qu'un prétendu service de contrôle vous demande de connecter votre portefeuille, de confirmer une transaction ou d'avancer des frais, interrompez. Si vous ignorez où ces contrôles sont de toute façon assurés par le prestataire, le panorama des plateformes crypto réglementées vous aidera.
2. Passez en revue vos autorisations ouvertes. Ouvrez l'explorateur de blockchain de votre chaîne, saisissez votre adresse et révoquez toute autorisation illimitée ou inexplicable. La façon de lire correctement une fenêtre de confirmation en amont, pour qu'aucune nouvelle ne s'ajoute, est exposée dans le comparatif des portefeuilles logiciels et dans notre article consacré à l'autorisation par signature.
3. Séparez conservation et usage. Gardez la plus grande part de vos avoirs sur une adresse qui n'est jamais connectée à un site, et utilisez pour les applications une seconde adresse dotée d'un montant dont la perte vous serait supportable. Quels appareils prennent en charge cette séparation et comment ils se manient, le comparatif des portefeuilles matériels le montre.

Les sources de cet article : le rapport de Malwarebytes du 19 août 2026 ainsi que la reprise indépendante parue chez Decrypt le 20 août 2026. La mesure d'accessibilité des domaines cités provient de cryptoticker.io.

(Au 31 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)