你在搜索某个钱包地址“干不干净”的时候，可能会点进一个自称能做 AML 查询的页面，输入地址后它却提示你先连接钱包、再批准一笔交易，甚至让你先付一笔小额查询费。这不是正常流程，而是一类正在被批量投放的仿冒站点。Malwarebytes 近期披露，多家假冒加密 AML 查询网站正以 AMLBot 等正规服务的名义，或用“AML Check”这类通用名称混淆视听，目的就是让你连上钱包并批准交易。下面按“先弄清正常查询长什么样，再一步步核对手上的网站，最后处理已经发生的授权”来讲，读完你可以直接对自己的操作做一次排查。
先弄清正常的AML查询需要你提供什么
加密 AML 查询的用途，是查看某个钱包地址的公开交易记录，判断它是否与黑客攻击、诈骗、受制裁实体或其他可疑资金产生过关联。这类查询的基础逻辑建立在链上数据公开这一前提上：地址本身就是公开的，任何人拿到地址字符串都能去区块浏览器看到它的转入转出。因此正规服务在完成基础查询时，只需要你输入这串公开地址，不需要你连接钱包，更不需要你签名或授权任何交易。
这一点决定了后面所有判断的基准。只要对方在“查地址”这个环节向你索要钱包连接权限，你就该停下来。连接钱包本身不一定会立刻丢资产，但它会把你的地址和持仓暴露给对方，让对方知道你有哪些代币、余额多少，进而构造一笔等待你点击批准的交易。假网站正是利用这个中间环节，把“查询”偷换成“授权”。
打开一个AML查询网站后怎么核对真假
先别急着输入地址。第一步看它要求你填什么：如果页面主体就是一个地址输入框加“Check”按钮，填完直接出结果，这是正常形态；如果填完地址后弹出“Connect Wallet”之类的按钮，或者干脆一上来就让你连钱包，基本可以判定流程异常。第二步看它是否要钱：Malwarebytes 指出，有的假网站会要求你先支付一笔小额费用，理由是覆盖查询成本，随后无论是否真的完成检测，都给出“Clean, Low Risk”之类的结论。真实查询结果应当与你输入的地址一一对应，而不是先付费后给一句模板化的“干净”。
第三步看页面本身。研究人员发现，这批网站在页面设计和操作流程上高度相似，只是更换名称和标识，说明同一套诈骗模板正在被反复包装投放。你可以留意域名拼写是否多一个字母、少一个字母，页面上的服务名称是否和它自称的品牌对不上，联系方式、条款页是否空白。第四步看它展示的“检测过程”：假网站会先要求连接钱包，再展示伪造的扫描进度和结果页面，制造“正在检测”的假象。真检测是对链上数据的检索，进度条本身说明不了任何问题，真正要看的是它有没有在你没连钱包的情况下就能出结果。
把这几步串起来，你可以照着一个顺序做：先只输入一个无关紧要的公开地址测试反应，看它是否强制跳转连接钱包；再检查页面底部和关于页，确认服务名称、域名、备案或条款信息是否自洽；最后回到自己真正想查的地址，用区块浏览器直接看它的交易对手和资金流向，作为交叉验证。整个过程不需要你点任何“Approve”。
已经连过钱包或批过授权怎么处理
如果你已经在可疑页面上点了连接，先不要慌，单纯连接不等于资金已经被转走，但需要马上做两件事。一是撤销可疑代币授权：Malwarebytes 建议，若用户已经批准可疑代币权限，应尽快撤销相关授权。你可以回到自己常用的钱包里，找到授权管理或已连接站点列表，逐条核对最近新增的授权对象，把不认识、对不上域名的条目撤销掉。二是如果你的助记词或私钥曾经输入过这类页面，应视为钱包已失陷，尽快把资产转移到一个新钱包，旧钱包不要再使用。
这里有个时间上的现实：加密交易一旦上链确认，通常无法撤回，所以发现异常授权后，处理速度很关键。撤销授权和转移资产都要在确认风险后的第一时间做，而不是等“再看看”。另外，连接过假网站后，对方可能已经掌握你的地址和持仓结构，后续还可能收到伪装成客服、活动说明、项目方的私信，引导你再点一次授权，这类后续接触同样要按可疑处理。
这类假AML站为什么最近变多了
把这次事件放进近期的钓鱼活动里看，会发现它不是孤例。本月早些时候，硬件钱包厂商 Trezor 和 Foundation 曾提醒用户警惕把人引向仿冒 Coldcard 网站的钓鱼邮件；3 月，Malwarebytes 还发现一个伪造的 Pudgy Penguins 游戏网站，目的是窃取钱包密码；同样在 3 月，交易所 CoinDCX 表示在 2024 年 4 月至 2026 年 1 月期间，平台识别出超过 1200 个冒充其品牌的网站。仿冒站点的共同点，是借一个你本来就会主动去用的功能——查地址、领活动说明、玩游戏、验硬件——把连接钱包或输入凭据包装成“必要步骤”。
AML 查询之所以成为新的切入点，是因为它天然和“风险”挂钩：用户本来就带着“这个地址有没有问题”的焦虑来搜，看到“检测中”“低风险”这类字眼容易放松判断。理解这个动机，比记住某个具体域名更有用——下次再遇到任何要求你先连钱包才能给出查询结果的页面，都可以套用上面的核对顺序。
常见问题
问：只输入公开地址查询，会不会泄露隐私？答：地址本身是公开的，输入地址做查询和把它贴到区块浏览器里没有本质区别，风险在于你把地址和身份关联起来公开，而不是查询动作本身。真正需要警惕的是被要求连接钱包。问：页面显示“Clean, Low Risk”是不是就代表安全？答：假网站会在没有真正检测的情况下直接给出这类结果，结论不能作为依据，要看它是否在你未连接钱包的前提下、针对你输入的具体地址给出可核对的数据。问：连接钱包但没批准交易，需要换钱包吗？答：单纯连接通常不直接导致资产被盗，但地址和持仓已暴露，建议撤销该站点的连接权限，并留意后续是否有异常授权请求；若输入过助记词或私钥，则按钱包已失陷处理。
现在就可以做两件事：打开你常用钱包的“已连接站点”或授权管理页面，把最近连接过、但想不起来源的那个条目找出来并断开；再把你最近查过的那个 AML 网站域名复制出来，逐字符和它自称的品牌官网比对一遍，确认没有多字母、错字母之后再决定是否继续使用。
