Ein Hyperliquid-Nutzer hat etwa 550.000 USDC verloren, nachdem eine von Google gesponserte Anzeige das Opfer auf eine gefälschte Version der dezentralen Handelsplattform führte. Ermittler bringen die Diebstahlsinfrastruktur mit dem Inferno-Drainer-Ökosystem in Verbindung.
Zusammenfassung
- Ein Hyperliquid-Nutzer verlor etwa 550.000 USDC, nachdem er auf eine von Google gesponserte Anzeige für eine gefälschte Website geklickt hatte.
- Salus brachte die Angriffsinfrastruktur mit dem Inferno-Drainer-Ökosystem in Verbindung.
- Das Backend teilte die gestohlenen Gelder automatisch auf Adressen auf, die mit der Operation verbunden sind.
- Gruppen, die mit der Infrastruktur in Verbindung stehen, wurden mit Verlusten von etwa 52,74 Millionen US-Dollar in Verbindung gebracht.
Das Blockchain-Sicherheitsunternehmen Salus erklärte in einem Beitrag auf X vom 24. August, dass der Diebstahl am 13. August stattfand und eine gefälschte Hyperliquid-Website betraf, die über bezahlte Google-Suchergebnisse beworben wurde. Nachdem das Unternehmen die gestohlenen Gelder zurückverfolgt und die Infrastruktur hinter der Seite überprüft hatte, erklärte es, dass es die Operation mit einem professionellen Drainer-as-a-Service-Netzwerk in Verbindung brachte, das mit Inferno assoziiert ist.
Hyperliquid-Phishing-Fall nutzte automatisierte Diebstahlinfrastruktur
Salus erklärte, dass seine verdeckte Untersuchung ergab, dass der Dienst Kunden über das Telegram-Konto @AngelFernoOwner anwarb. Der Betreiber bewarb Werkzeuge wie bösartige Skripte, Verwaltungsbereiche, Generierung von Genehmigungsbefehlen, einmalige Vertragsbereitstellung, automatisiertes Abziehen, Cross-Chain-Abhebungen, Token-Swaps und Mittelbündelung.
Der Dienst bot laut der Sicherheitsfirma auch "automatisierte Umsatzbeteiligung" an, die es ermöglicht, Erlöse aus erfolgreichen Phishing-Angriffen ohne manuelle Überweisungen unter den Teilnehmern aufzuteilen.
Im Hyperliquid-Fall schrieb Salus der Phishing-Gruppe und dem Backend-Dienst getrennte Rollen zu. Die Gruppe kaufte die gesponserten Anzeigen, stellte den gefälschten Hyperliquid-Einstiegspunkt bereit und lieferte die Adresse, die für den Empfang der Erlöse bestimmt war. Sobald das Opfer die bösartige Transaktion genehmigte und die Gelder abgezogen wurden, übernahm die Infrastruktur die Aufteilung automatisch.
Laut Salus erhielt die Adresse 0x98b276…13C55 80 % der Erlöse, während 0x93b6B2…1d6D1 15 % und 0x6fE314…B566 5 % erhielten. Eine vierte Adresse, 0x9bcd…9104a, führte den Abzug aus.
Frühere Berichte über den Vorfall vom 13. August zeigten, dass etwa 550.019 USDC in drei Überweisungen von etwa 440.015 USDC, 82.503 USDC und 27.501 USDC an Adressen bewegt wurden, die von Sicherheitsforschern als angreiferkontrolliert identifiziert wurden. Google suspendierte später den Werbetreibenden, der mit der gemeldeten Kampagne in Verbindung stand, wie aus Berichten hervorgeht, die nach dem Diebstahl veröffentlicht wurden.
Drainer-as-a-Service-Modell bietet vorgefertigte Phishing-Werkzeuge
Das von Salus beschriebene Setup folgt einem Modell, bei dem Phishing-Betreiber vorgefertigte Wallet-Draining-Infrastruktur verwenden können, während sie sich auf Werbung, gefälschte Websites und die Auswahl von Opfern konzentrieren.
Wie crypto.news im Juli 2026 erklärte, sind Wallet-Drainer-Dienste um bösartige Genehmigungen herum aufgebaut, die es einem angreiferkontrollierten Vertrag ermöglichen, Token zu übertragen, nachdem ein Benutzer eine Transaktion signiert hat. Der Bericht beschrieb Drainer-as-a-Service-Operationen auch als eine Branche, in der Entwickler bösartige Software liefern und gestohlene Erlöse mit Affiliates teilen, die Opfer herbeiführen.
Eine solche Infrastruktur kann die sichtbare Phishing-Kampagne von der Software trennen, die zur Verarbeitung von Genehmigungen und zum Transfer von Vermögenswerten verwendet wird. Im jüngsten Fall sagte Salus, dass das beworbene Paket sowohl die anfänglichen Abfluss-Tools als auch spätere Phasen wie Cross-Chain-Abhebungen, Swaps, Konsolidierung und Gewinnverteilung abdeckte.
Inferno wurde mit anderen großen Fällen von Genehmigungs-Phishing in Verbindung gebracht. Ein Coinbase-Klagebericht vom Mai 2026 behandelte einen anonymen Investor, der behauptete, dass etwa 55 Millionen DAI im August 2024 gestohlen wurden, nachdem das Opfer mit einer gefälschten Login-Seite interagiert hatte. Die Beschwerde besagte, dass der Angreifer Inferno Drainer verwendete, während das Blockchain-Sicherheitsunternehmen Zero Shadow später einen Teil der gestohlenen Vermögenswerte auf ein Coinbase-Einzelhandelskonto zurückverfolgte.
Salus verbindet Infrastruktur mit Verlusten von 52,74 Millionen Dollar
Bei der Rückverfolgung über das Hyperliquid-Opfer hinaus sagte Salus, dass mit der Infrastruktur verbundene Gruppen mit Verlusten von insgesamt etwa 52,74 Millionen Dollar bei mehreren Phishing-Vorfällen in Verbindung gebracht wurden.
Einer der größten vom Unternehmen genannten Fälle betraf den Angreifer hinter dem UXLINK-Exploit vom September 2025. Am 23. September 2025 wurde der Angreifer später selbst Opfer eines Genehmigungs-Phishing-Angriffs, bei dem etwa 542 Millionen UXLINK-Token transferiert wurden.
Ein UXLINK-Phishing-Bericht vom September 2025 besagte, dass ScamSniffer eine bösartige increaseAllowance-Genehmigung erkannte, die es Phishing-Adressen ermöglichte, damals UXLINK im Wert von über 43 Millionen Dollar abzuziehen. SlowMist-Gründer Yu Xian sagte, der Diebstahl sei wahrscheinlich von Inferno Drainer unter Verwendung einer Autorisierungs-Phishing-Methode durchgeführt worden.
Der Phishing-Vorfall folgte einen Tag nach dem ursprünglichen UXLINK-Kompromiss. Angreifer hatten eine delegateCall-Schwachstelle in der Multi-Signatur-Wallet des Projekts ausgenutzt, Administratorrechte erlangt und etwa 11,3 Millionen Dollar an Vermögenswerten transferiert, während nicht autorisiertes Token-Minting weitere Störungen verursachte. Der spätere Phishing-Diebstahl entfernte Hunderte Millionen UXLINK aus der eigenen Wallet des Ausnutzers.
Salus verband die Infrastruktur auch mit einem Vorfall vom 15. April 2026, an dem CoW.fi beteiligt war. Laut dem Sicherheitsunternehmen wurde die offizielle Domain des Protokolls gekapert, und ein betroffenes Opfer verlor etwa 316.000 USDC.
Ein dritter von Salus genannter Vorfall ereignete sich am 9. Juli, als eine mutmaßlich gefälschte dezentrale Anwendung oder ein gefälschter Airdrop eine bösartige Genehmigung auslöste, die zum Diebstahl von 999.999 USDT führte. ScamSniffer hatte die Transaktion gemeldet, so der Bericht des Unternehmens zu dem Fall.
Beweise und Hochrisikoadressen zur Maßnahme eingereicht
Der Hyperliquid-Fall folgt auf andere Phishing-Aktionen, bei denen Angreifer bekannte Krypto-Marken kopierten und vertraute Online-Dienste oder Entwicklungsplattformen nutzten, um bösartige Seiten vor potenzielle Opfer zu platzieren.
Ein OpenClaw-Phishing-Bericht vom März 2026 beschrieb Angreifer, die gefälschte GitHub-Konten und geklonte Websites erstellten, bevor sie Entwickler zu bösartigen Wallet-Verbindungsaufforderungen führten. OX Security sagte, die Kampagne habe verschleierten Code verwendet und Benutzer mit gefälschten Token-Angeboten ins Visier genommen, obwohl zu diesem Zeitpunkt keine bestätigten Opfer gemeldet worden waren.
Für den Hyperliquid-Diebstahl vom 13. August sagte Salus, dass seine Untersuchung die anschließenden Geldflüsse, die Dienstinfrastruktur und die Konten, die zur Rekrutierung von Phishing-Betreibern verwendet wurden, abdeckte. Das Unternehmen sagte, alle unterstützenden Beweise, identifizierten Hochrisikoadressen und damit verbundene Informationen seien formell an relevante Organisationen zur Risikokennzeichnung und koordinierten Maßnahmen übermittelt worden.
