Фейковая «AML-проверка Bitget» опустошила 101 кошелёк на $233 000 — сайт до сих пор работает

Malwarebytes описала схему в августе: фейковые AML-проверки под AMLBot, с полосой прогресса, вердиктом «чисто, низкий риск» и отчётом для скачивания. Из 17 доменов, которые перечислили Malwarebytes и PCrisk, 16 припаркованы или исчезли. bitget-aml.com работает.

Его код легко прочитать. Шаг первый спрашивает, какие у вас USDT — BEP-20 или ERC-20. Шаг второй подключает кошелёк и смотрит баланс. Если у вас хотя бы 0,5 USDT в BNB Chain (или 500 USDT в Ethereum), сайт просит разрешить контракту 0xB17c9aBd32c73BEeBA9bC885A94FB529938bF995 тратить неограниченное количество ваших USDT, а затем заставляет кошелёк вызвать у этого контракта forwardToken на весь баланс с адресом оператора в качестве получателя. Если меньше — вы сразу попадаете на третий шаг и получаете успокаивающий вердикт.

Настоящей AML-проверке нужен только адрес. Ни разрешений, ни подписей, ни подключения кошелька. Если сайт просит что-то из этого — он не проверяет ваш кошелёк, он его забирает. Любой адрес можно проверить на нашей странице проверки, ничего не подключая.

Контракт, стоящий за bitget-aml.com, развёрнут 6 декабря 2025 года адресом 0x5E98c4453cF64bF743dB92087B0Bb768a571931D. Тот же адрес с марта 2025 года развернул ещё шесть контрактов. У трёх из них та же функция forwardToken, и использовались они так же: один — с апреля по ноябрь 2025 года, два — недолго в начале декабря 2025-го.

Мы прочитали квитанцию каждого вызова forwardToken у всех четырёх: 118 переводов, 239 089 USDT. Восемь «пострадавших» кошельков незадолго до этого пополнил сам оператор — это проверки. Без них: 101 кошелёк, около 233 400 USDT. 59 кошельков потеряли 124 500 USDT в 2025 году; 42 кошелька — 108 900 USDT через нынешний контракт с декабря 2025 по 9 июля 2026 года. Медианная потеря — 1 800 USDT; девять человек потеряли больше 5 000 каждый; крупнейшее разовое списание — 23 832,85 USDT 27 мая 2026 года.

В коде сайта указаны также контракт и получатель в Ethereum. Там пока никого не опустошили — но получатель в Ethereum, 0x0B429bC12F16D5dC7EBd4835bEFb1FDCD52b7150, — тот же адрес, что получил 59 500 USDT из списаний 2025 года в BNB Chain. Именно это связывает живой сайт со старыми контрактами.

Списания приходили на шесть кошельков-получателей, которые переводят деньги друг другу и на проверочные кошельки оператора — это одно кольцо. Дальше деньги уходили небольшими суммами через Wormhole, Stargate, PancakeSwap, KyberSwap и роутер OKX DEX. Крупнейший отдельный выход — депозитный адрес Bybit: 0xd6ba8c79379a3a645072bc7a3f1ee3ca5c68dd6f получил 42 239 USDT от главного получателя в апреле и мае 2026 года и переслал их на горячий кошелёк Bybit. Второй депозитный адрес Bybit, 0xe709a0c0b9cd955033c218b7fba59a3353ca7f65, получил 2 743 USDT. Депозитный адрес принадлежит одному аккаунту на бирже; Bybit видит, чьему.

Мы пометили в нашей базе 18 адресов как фишинг: четыре контракта-дрейнера, ещё три контракта оператора, адрес-развёртыватель, шесть кошельков-получателей, два депозитных адреса Bybit, а также контракт и получателя в Ethereum из кода сайта. Ни один не был помечен раньше. Жертв, мосты и собственные кошельки бирж мы не помечали.

Это вторая фейковая AML-проверка, которую мы разбираем за неделю; первая, AML.legal, опустошала кошельки в Tron и стояла первой в ИИ-ответе Google. Схема та же: мишенью становятся как раз те, кто внимательнее всех следит за происхождением своих денег.

Она не говорит, кто стоит за сайтом, и не говорит, что Bitget, AMLBot или Bybit имеют к нему отношение — сайт использует их имена и оформление без разрешения. Наш подсчёт охватывает четыре контракта с функцией forwardToken в BNB Chain; он не охватывает пятый контракт того же развёртывателя, использованный в марте 2025 года, и другие домены, которые мы не нашли. Данные BNB Chain прочитаны 10 октября 2026 года.