ИИ Google ставит дрейнер кошельков первым среди бесплатных AML-проверок. Мы прочитали его код и проследили деньги

8 октября 2026 года мы ввели в Google запрос «free crypto aml checks». Сгенерированный ИИ ответ предложил список под заголовком «Truly Free & No-Signup AML Checkers». Первым в нём стоял AML.legal Wallet Scanner с описанием «100% free with no account required», а ниже — сравнительная таблица, где у него «Unlimited» проверок, без аккаунта, сети Bitcoin, Ethereum, Tron и BSC. Сайт был и в карточках источников рядом с ответом. Скриншот ниже.

Это не платная реклама, и мы не утверждаем, что Google за это заплатили. Это собственная ИИ-сводка поисковика, которая повторяет то, что сайт говорит о себе. В этом и проблема: сайт написан так, чтобы ему поверил именно такой читатель.

Главная страница написана подчёркнуто откровенно. Она перечисляет шесть проверок и признаёт, что две «не подключены». Она говорит, что проверка идёт в вашем браузере, и предлагает открыть инструменты разработчика и убедиться. Под кнопкой обещано: No wallet connect. No seed phrase. No storage. No KYC. Для Bitcoin, Solana, Litecoin и других сетей примерно так и происходит: страница сверяет адрес со скачанным списком из 879 адресов OFAC и показывает оценку.

Для Ethereum и Tron — двух сетей, где живёт USDT, — происходит другое. Отдельный скрипт, net-redirect.js, следит за полем адреса. Его собственный комментарий в начале файла объясняет замысел: когда вводят адрес Ethereum или Tron или выбирают сеть, поле адреса и список наборов данных прячутся, а кнопка «Run free AML check» открывает /check или /tron/check — в коде это названо «страницей подключения кошелька».

Эти две страницы закрыты от поисковиков в robots.txt сайта с комментарием: «Wallet-connect check pages (both chains) — keep out of the index». То есть страницы, которые Google может прочитать, говорят «без подключения кошелька», а страницы, которые его требуют, — это те, которые Google читать запрещено.

На них вы выбираете токен — первым стоит USDT, — подключаете кошелёк и подписываете. В описании видео на самом сайте это сказано прямо: «Trust Wallet is connected and a one-time USDT approval is signed», после чего появляется оценка риска.

Проверить адрес — значит прочитать открытые данные о нём. Подписывать нечего, потому что менять нечего. Разрешение (approval) — противоположность этому: это записанное в блокчейн право другого лица распоряжаться вашими токенами. Оно не истекает и не спрашивает повторно. Тот, у кого оно есть, может забрать разрешённую сумму в любой момент, включая токены, которые придут позже.

Поэтому сам запрос и есть признак. Инструмент, который просит разрешить списание USDT, чтобы «проверить» ваш кошелёк, его не проверяет.

Мы скачали скрипты и прочитали их. Мы их не запускали и кошелёк не подключали.

Страница для Ethereum загружает известный набор-дрейнер. В нём есть настройка Receiver, флаг CF_Drain_Succeeded, процедуры для разрешений на токены, подписей Permit и переводов NFT и комментарии к настройкам на русском языке — один из них велит оператору указать «домен, который прикреплен к серверу дрейнера». Адрес получателя запрашивается с этого сервера только после подключения кошелька, поэтому назвать его мы не можем.

Страница для Tron обфусцирована, но её конфигурация расшифровывается в одну важную строку: получатель разрешения (spender) — контракт TKEviNj8x4pu5BnE5r9vLNQj9tL3stkb5V. Третий скрипт сообщает о каждом посетителе в Telegram-бот, по-русски: кто подключился, с какого устройства и «всего на кошельке» в долларах.

Второй сайт, amlsecurity.financial, отдаёт ту же конфигурацию Tron с тем же контрактом.

Контракт создан 15 июля 2026 года адресом TB8Lm8AX9jof9f537wcF4oqZwE5feuTC44. С тех пор 71 адрес подписал ему 128 разрешений на USDT. Сорок девять разрешений — на неограниченную сумму, остальные — на 100–400 миллионов USDT, то есть на практике на всё. Два адреса подписали в июле, 11 в августе, 53 в сентябре — главная страница указывает 1 сентября как дату публикации — и пять за первую неделю октября, последний 6 октября.

Создатель контракта семь раз вызвал его функцию вывода. Эти вызовы забрали 10 069 USDT с шести адресов с 8 августа по 29 сентября. Шесть из семи платежей ушли на один кошелёк, TRkA7dbycPbTyDBEzHSc4xHx4sJqmjjXfM; первый — самому создателю. Самый пострадавший адрес потерял 6 793 USDT двумя списаниями с разницей в три часа 23 сентября.

Кошелёк-получатель переслал всё дальше за несколько часов, 16 платежами по несколько сотен долларов: часть обменяна через обменный протокол в сети Tron, один платёж в 700 USDT ушёл на депозитный адрес Bybit, остальное — на адреса без подписи.

Суммы пока небольшие. На большинстве подписавших кошельков денег было мало: когда мы проверяли, на просмотренных адресах лежало несколько долларов на всех. Часть из 71 — вероятно, тестовые кошельки самих операторов. Но разрешение не истекает, и каждый из этих адресов потеряет любые USDT, которые получит, пока разрешение действует.

Если вы подключали кошелёк на aml.legal или amlsecurity.financial и что-либо подписывали, отзовите разрешение сейчас. В сети Tron откройте свой адрес на Tronscan, перейдите к списку разрешений и отмените разрешение для контракта выше; в Ethereum воспользуйтесь инструментом отзыва, например revoke.cash. Пока разрешение не отозвано, не принимайте USDT на этот адрес. Отзыв стоит небольшой сетевой комиссии и занимает минуту.

Правило на будущее короткое: для проверки адреса нужен адрес и больше ничего. Любая «AML-проверка», которая просит подключить кошелёк, подписать, разрешить или ввести сид-фразу, — это попытка кражи, что бы страница о себе ни говорила и где бы вы ни нашли ссылку.

Когда мы начинали, ни одного из трёх адресов в нашей базе не было. Теперь контракт, его создатель и кошелёк-получатель помечены как фишинг. Людей, у которых забрали деньги, и адреса, которые только подписали разрешение, мы не помечали. Проверить любой адрес — ничего не подключая — можно на странице проверки адреса.

Она не говорит, кто управляет сайтом; имя, на которое указывает его разметка, может быть выдуманным или украденным, и мы его не повторяем. Она не говорит, что Google заплатили или что он действовал сознательно, — только то, что показал его ИИ-ответ в день нашей проверки. Она не говорит, что каждый из 71 адреса — жертва. По Ethereum мы описываем код, но не называем адрес получателя: без подключения кошелька он не виден, а кошелёк мы не подключали.