Falsa verificación AML para wallets cripto: cómo reconocer las webs fraudulentas

Una verificación AML seria de una dirección cripto necesita exactamente un dato tuyo: la dirección pública. No necesita acceso a tu wallet, ni conexión, ni firma y mucho menos un pago por adelantado. Quien te pide conectar la wallet para una comprobación antiblanqueo no está verificando nada. Justo en eso se apoya una oleada de fraude que la firma de seguridad Malwarebytes describió el 19 de agosto de 2026 y cuya infraestructura, según nuestra propia medición, seguía operativa doce días después.

Falsa verificación AML: qué encontró Malwarebytes en agosto de 2026

Stefan Dasic, investigador de malware en Malwarebytes, ha documentado una serie de webs que se presentan como servicios de comprobación de direcciones cripto. Imitan al proveedor legítimo AMLBot o actúan bajo nombres genéricos y anodinos como «AML Check». La construcción es similar en todos los casos: eliges una criptomoneda, pulsas un botón con la leyenda «Check Wallet» y a continuación se te pide conectar la wallet.

A partir de ese momento la web ya no es una herramienta de comprobación. Es un escenario. Corre una barra de progreso acompañada de mensajes intermedios como «Checking wallet history…» y «Verifying compliance…». Después llega un mensaje de error inventado: la comprobación no puede completarse, el saldo sería insuficiente, haría falta una pequeña recarga para cubrir la comisión. Quien pulsa «Retry» ve la misma animación otra vez y, al final, un resultado tranquilizador, casi siempre un «Clean, Low Risk».

Ese resultado es pura invención. No hay comprobación, ni consulta a una base de datos, ni evaluación. Lo que sí hay es una conexión entre tu wallet y una web ajena, y esa conexión es la verdadera finalidad de todo el montaje.

La verificación AML explicada: para qué se comprueba una dirección de wallet

AML son las siglas de anti-money laundering, es decir, la prevención del blanqueo de capitales. Una verificación AML para cripto es un informe sobre si una dirección pública de blockchain estuvo vinculada en el pasado con contrapartes llamativas, por ejemplo un exchange hackeado, un servicio de mezclado o una dirección sancionada. Los proveedores de esos informes analizan para ello datos de transacciones consultables públicamente y asignan direcciones a actores conocidos.

El punto decisivo de esa definición está ya en la palabra «pública». Todo lo que un informe así necesita se encuentra de todos modos a la vista en la blockchain. La dirección es la clave de la consulta, y la dirección es una cadena de caracteres que puedes copiar y pegar en un campo. Para eso, el acceso a tu saldo es tan innecesario como un poder bancario para pedir una nota simple del registro de la propiedad.

¿Por qué le interesa esto a un inversor particular? Porque una dirección marcada como llamativa puede dar problemas. Quien ingresa fondos en un exchange regulado puede recibir una consulta del departamento de cumplimiento y, en el peor de los casos, un reintegro se retrasa hasta que se aclare el origen. Esa preocupación es real, y es la palanca sobre la que actúan las webs fraudulentas.

Cómo reconocer una página de comprobación auténtica

Un informe serio pide un campo de entrada y nada más. Pegas la dirección, recibes una valoración y tu software de wallet no se abre ni una sola vez durante todo el proceso. Si en su lugar aparece la ventana de conexión de tu wallet, la comprobación ya ha terminado en ese instante, y en tu contra. Malwarebytes lo formula como una regla sencilla: quien exige una conexión de wallet en lugar de la dirección pública es una señal de alarma.

Introducir la dirección o conectar la wallet: la diferencia que lo decide todo

Dos operaciones que en el navegador se parecen tienen consecuencias radicalmente distintas. Introducir una dirección es una operación de lectura. Entregas una información que cualquier explorador de blockchain muestra igualmente, y la otra parte no puede hacer con ella nada que no pudiera hacer también sin ti.

Conectar una wallet es otra cosa. Con ello permites que una web hable con tu software de wallet. La web ve después tu dirección y tu saldo y, sobre todo, puede presentarte transacciones para que las confirmes. No puede ejecutarlas por sí misma, pero puede prepararlas y rotularlas de modo que baste un clic tuyo. La arquitectura de seguridad de una wallet es insobornable en este punto: ejecuta lo que tú autorizas.

Precisamente por eso las webs documentadas cuidan tanto su puesta en escena. No necesitan ninguna vulnerabilidad en tu wallet. Necesitan un instante en el que una ventana de confirmación te parezca un paso normal de una comprobación de seguridad. En cuanto entiendes que te crees dentro de un proceso de verificación mientras en realidad estás firmando un poder, el truco queda al descubierto.

El recorrido de la web fraudulenta: de la barra de progreso a la supuesta comisión

El orden de los pasos no es casual, sigue una dramaturgia. Primero llega la elección de la criptomoneda, un acto inofensivo que genera confianza y te mete en un recorrido de clics. Después viene la conexión, que resulta plausible en el contexto de una supuesta comprobación. Solo entonces empieza la manipulación propiamente dicha.

La barra de progreso cumple dos funciones. Hace que la web parezca trabajar donde nada trabaja, y da a la otra parte tiempo para mirar tu dirección y preparar una transacción adecuada. Lo que después se te presenta está hecho a la medida de tu saldo. El mensaje de error posterior sobre una comisión pendiente es el pretexto que debe justificar un pago o una autorización. Y el «Clean, Low Risk» final se ocupa de que abandones la web tranquilo, sin comprobar qué has confirmado por el camino.

Lo llamativo de esta estafa es a quién alcanza. No apunta a la ligereza, apunta a la prudencia. Quien busca una verificación AML ya se ha planteado si su dirección está limpia. Ese público está mejor informado que la media y acude por iniciativa propia, sin que un atacante tenga que escribirle.

Aprobación de tokens en vez de contraseña: cómo funciona técnicamente la fuga

En un ataque de este tipo no se pierde ninguna contraseña ni ninguna frase de recuperación. El camino habitual pasa por una aprobación de tokens, approval en inglés. Una aprobación es un permiso que concedes a una dirección ajena para mover un determinado tipo de token fuera de tu wallet. Ese permiso es necesario en el uso diario, todo exchange descentralizado lo requiere, y se mantiene hasta que lo revocas.

El peligro está en el importe y en la duración. Muchas aprobaciones se conceden sin límite, porque resulta cómodo y porque la ventana de confirmación no siempre muestra el importe de forma comprensible. Una aprobación ilimitada, una vez concedida, sigue actuando aunque hace tiempo que cerraste la web, también tras reiniciar el ordenador y también cuando cortas la conexión en el menú de la wallet. Cortar la conexión termina el canal de diálogo, no retira el poder.

Cómo se ve una confirmación así en la ventana y qué campos deberías leer antes de pulsar lo hemos descrito en detalle en nuestro artículo sobre los wallet drainers y la aprobación por firma. Si solo hay que llevarse una destreza técnica de este terreno, debería ser esa. En una cadena como Ethereum y las redes compatibles con ella, la aprobación es el mecanismo estándar por el que un saldo cambia de dueño sin que haya que robar ninguna clave.

Qué permite técnicamente una aprobación

Una aprobación nombra tres cosas: a qué token afecta, qué dirección ajena puede disponer de él y hasta qué importe. Si falta el límite del importe, la dirección ajena puede retirar todas las existencias de ese token, en cualquier momento y sin volver a preguntarte. Las wallets con una buena interfaz te muestran esos tres datos en lenguaje claro. Las ventanas de confirmación más antiguas o de diseño escueto te muestran una cadena de caracteres, y justo con eso cuentan los operadores de estas webs.

Medición propia: tres de los cinco dominios citados siguen respondiendo doce días después

Esta medición la ha realizado cryptoticker.io por su cuenta el 31 de agosto de 2026. Método: comprobamos una vez, el 31 de agosto de 2026 a las 03:53 UTC, los cinco dominios que Malwarebytes cita por su nombre en el informe, mediante petición HTTP y resolución de nombres, y anotamos el código de respuesta. Se comprobaron cinco dominios del informe y, además, el dominio del proveedor legítimo imitado como valor de comparación, es decir, seis objetos en total.

El resultado: dos de los cinco dominios ya no se resuelven, sus registros de nombre han desaparecido. Otros dos responden con el código 200 y sirven, por tanto, una página. Un quinto responde con el código 403 y rechaza nuestra petición automatizada, pero tiene un registro de nombre activo y un servidor que responde. Por orden alfabético: amlbot-clear[.]com responde, bitget-aml[.]com responde, swapstoken[.]app rechaza, audittrust[.]shop y search-aml[.]net ya no se resuelven. El dominio del proveedor auténtico responde también, como cabía esperar.

Qué significan estas cifras y qué no: hemos medido exclusivamente la accesibilidad, es decir, si un servidor responde bajo ese nombre. No abrimos las páginas servidas, no valoramos su contenido y por tanto tampoco constatamos si allí sigue funcionando la estafa descrita, si hay una página aparcada o si un tercero se ha hecho con el dominio. Tampoco podemos decir cuántas personas visitaron las webs en ese periodo ni qué daño se produjo. Solo una afirmación es sólida: doce días después del aviso público, la infraestructura allí nombrada no está retirada del todo. Para ti como lector esa es la magnitud relevante, porque un aviso cuyos objetivos llevaran tiempo desconectados sería historia. Este no lo es.

Nombres imitados: qué dice un dominio sobre una empresa

Uno de los dominios citados combina el nombre de una conocida plataforma de negociación con las siglas AML. Eso merece una aclaración nítida, porque un dominio se elige libremente y quien lo registra no necesita ni el permiso ni el conocimiento de quien presta el nombre. De un nombre comercial en una barra de direcciones no se deduce, por tanto, nada sobre la empresa misma. Al contrario: las firmas cuyo nombre se usa de este modo son perjudicadas por la estafa, porque la confianza construida durante años se emplea como herramienta contra sus propios clientes. Eso vale aquí tanto para la plataforma de comprobación imitada como para la plataforma de negociación cuyo nombre aparece en uno de los dominios.

En la práctica eso significa para ti: un nombre familiar en una dirección web no es un sello de calidad. Lo determinante es la línea de dirección completa y, sobre todo, cómo has llegado a esa página. Un enlace procedente de un mensaje, de una publicación en una red social o de un anuncio de pago en un buscador merece por principio más desconfianza que un marcador que tú mismo has guardado.

Por qué la estafa cae en Alemania sobre terreno abonado

Desde principios de 2026, los inversores alemanes reciben de sus proveedores peticiones de justificantes de una forma que antes era inusual. Con la transposición de la directiva europea DAC8, los proveedores de servicios cripto deben identificar a sus clientes, registrar las transacciones y recabar autodeclaraciones fiscales desde el 1 de enero de 2026. A quien no reacciona se le recuerda, después se le advierte, y el proveedor puede restringir las cuentas.

Eso genera una costumbre que para los estafadores vale oro. Las peticiones de justificantes, comprobaciones y confirmaciones suenan hoy menos a señal de alarma que a rutina administrativa. Una web que ofrece una comprobación antiblanqueo encaja en ese cuadro, y la idea de «esto tendré que hacerlo» surge con más facilidad que hace un año. Un patrón parecido lo observamos en las ofertas de empleo cripto con cuenta bancaria propia, en las que un trámite de apariencia oficial servía igualmente de marco para el daño real.

Ayuda tener clara la diferencia de una vez. Cuando tu exchange quiere algo de ti, encuentras esa petición dentro de tu cuenta después de iniciar sesión. Ningún proveedor regulado te envía a una web ajena para cumplir una obligación, y ninguno exige para ello una conexión de wallet. Dónde están reguladas realmente estas obligaciones y qué proveedores están bajo supervisión europea puedes leerlo en el panorama de exchanges cripto regulados.

Revisar y revocar aprobaciones de tokens: cómo proceder

El paso más eficaz tras un contacto dudoso con una web así es revisar las aprobaciones que has concedido. Cada cadena importante tiene para ello un apartado en su explorador de blockchain donde introduces tu dirección y obtienes la lista de todas las aprobaciones abiertas junto con la dirección ajena autorizada. Una revocación es una transacción corriente y cuesta la comisión de red habitual.

Recorre la lista con calma y fíjate en dos cosas: en importes ilimitados y en direcciones ajenas que no puedas asociar a ninguna operación. Una aprobación cuyo motivo ya no recuerdas es candidata a la revocación, aunque hasta ahora no haya pasado nada. El esfuerzo es pequeño; el daño posible no lo es.

Dónde guardas tus claves decide también lo caro que puede salir un clic equivocado. Un panorama de los dispositivos y de su manejo lo encuentras en nuestra comparativa de carteras hardware; quien trabaja sin dispositivo adicional hallará en la comparativa de wallets de software las diferencias en la presentación de las ventanas de confirmación, y esa presentación es justamente el punto relevante para la seguridad.

Después de una transacción confirmada: por qué desconectar no basta

Supongamos que has confirmado y te das cuenta poco después. Entonces el orden de tus pasos importa más que su rapidez. Cortar la conexión en el menú de la wallet es sensato, pero es el menor de los pasos, porque deja intacto el poder concedido. Más importante es la revocación de la aprobación, y más importante todavía es la pregunta de si solo se concedió una aprobación o si se introdujo una frase de recuperación.

Si se concedió una aprobación, la revocación basta por regla general. Si en cambio se tecleó en algún sitio una frase de recuperación o una clave privada, la wallet está perdida de forma definitiva, y el saldo restante debe pasar a una wallet recién creada con una nueva frase de recuperación. Una frase de recuperación no admite revocación; solo puede sustituirse.

Conviene estar preparado para lo que viene después: las ofertas de supuesta recuperación. Quien tras un incidente es abordado en foros o por mensaje y promete recuperar los fondos con un pago por adelantado está ejecutando el segundo tramo de la misma estafa. Las transacciones confirmadas en una blockchain son definitivas, y nadie puede deshacerlas a cambio de una comisión.

Wallets separadas e importes pequeños: qué limita el daño

Contra un clic equivocado ninguna medida aislada protege del todo, pero repartir las tenencias ayuda de forma fiable. Quien mantiene la mayor parte de su saldo en una dirección que nunca se conecta a una web puede experimentar con tranquilidad sin arriesgarlo todo. Una segunda dirección con un importe asumible se encarga entonces del contacto con las aplicaciones, y el daño queda limitado a ese importe.

Un dispositivo hardware refuerza ese efecto, porque traslada la confirmación a una pantalla situada fuera del ordenador. Aun así no es un salvoconducto: también con una cartera hardware concedes una aprobación cuando la confirmas en el aparato. La ganancia está en que allí los datos aparecen en una forma que una web manipulada no puede sobrescribir. Quien lee esa pantalla, en lugar de pulsar dos veces el mismo botón, ha hecho la mayor parte del trabajo.

Revisión periódica de aprobaciones: cuándo conviene repasarlas

Las aprobaciones se acumulan sin que se note. Cada aplicación utilizada deja una, y tras dos años de uso una dirección activa reúne con facilidad varias decenas de poderes abiertos. Muchos pertenecen a proyectos que ya no existen, y una aplicación abandonada es un objetivo atractivo para que un tercero la tome.

Un repaso dos veces al año es una medida razonable, más uno después de cada suceso inusual: tras visitar una web a la que llegaste por un enlace ajeno, tras una confirmación cuyo propósito después no recuerdas y tras cada aviso sobre una aplicación comprometida que tú mismo hayas utilizado. El tiempo necesario son unos pocos minutos, en cuanto conoces el procedimiento.

Reconocer una falsa verificación AML: qué te llevas de aquí

1. Recuerda la línea divisoria. Una verificación auténtica de una dirección cripto solo pide la dirección pública en un campo de entrada. En cuanto un supuesto servicio de comprobación te pide conectar la wallet, confirmar una transacción o adelantar una comisión, interrumpe. Si no tienes claro dónde se ocupan de esas comprobaciones los propios proveedores, ayuda el panorama de exchanges cripto regulados.
2. Repasa tus aprobaciones abiertas. Abre el explorador de blockchain de tu cadena, introduce tu dirección y revoca toda aprobación ilimitada o inexplicable. Cómo leer bien una ventana de confirmación de antemano, para que no se sumen nuevas, está en la comparativa de wallets de software y en nuestro artículo sobre la aprobación por firma.
3. Separa custodia y uso. Mantén la mayor parte de tus tenencias en una dirección que nunca se conecte a una web y utiliza para las aplicaciones una segunda dirección con un importe cuya pérdida pudieras asumir. Qué dispositivos permiten esa separación y cómo se manejan lo muestra la comparativa de carteras hardware.

Las fuentes de este artículo: el informe de Malwarebytes del 19 de agosto de 2026 y la elaboración independiente publicada en Decrypt el 20 de agosto de 2026. La medición de accesibilidad de los dominios citados procede de cryptoticker.io.

(31 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)