Ein Hyperliquid-Benutzer scheint am 13. August etwa 550.000 USDC verloren zu haben, nachdem er mit einer Phishing-Website interagiert hatte, die über eine Google-Suchanzeige beworben wurde, so FlashRescue-Mitbegründer Darcy.
Zusammenfassung
- Hyperliquid-Benutzer verlor Berichten zufolge 550.019 USDC, nachdem Überweisungen drei Adressen erreichten, die angeblich mit Angreifern in Verbindung stehen.
- Google sperrte den Werbetreibenden, nachdem ein bezahltes Suchergebnis Benutzer angeblich auf eine Phishing-Site geleitet hatte.
- SEAL blockierte bei kürzlichen Kampagnen gegen Kryptowährungsanwendungen und Wallets über 356 bösartige Werbe-URLs.
- Die Hyperliquid-Dokumentation warnt Benutzer, vollständige URLs zu überprüfen und unbekannte Wallet-Aktivitäten als Kompromittierung zu behandeln.
- On-Chain-Überweisungen bestätigen die Geldbewegungen, können aber nicht unabhängig feststellen, dass Google-Werbung diese verursacht hat.
Sein Beitrag identifizierte drei Adressen, die angeblich vom Angreifer kontrolliert werden.
On-Chain-Daten, die mit der gemeldeten Transaktion verbunden sind, zeigen, dass etwa 550.019 USDC auf die drei Adressen aufgeteilt wurden. Die Überweisungen liefern Beweise dafür, dass die Gelder bewegt wurden, aber Blockchain-Aufzeichnungen allein können nicht feststellen, wie das Opfer getäuscht wurde. Darcy führte den Diebstahl auf eine bezahlte Google-Anzeige zurück, die Hyperliquid nachahmte. GoPlus Security identifizierte anschließend zwei derselben Adressen in seiner eigenen Warnung.
Hyperliquid-Phishing-Überweisungen beliefen sich auf insgesamt etwa 550.019 USDC
Die gemeldete Transaktion teilte die Gelder in etwa 440.015 USDC, 82.503 USDC und 27.501 USDC auf. Die drei Empfängeradressen waren 0x98b276…13C55, 0x93b6B2…d6D1 und 0x6fE314…B566.
Diese Bewegungen stimmen mit Darcys Schätzung von etwa 550.000 USDC überein. Der kausale Zusammenhang mit der Google-Anzeige beruht jedoch derzeit auf der Zuschreibung des Forschers und den gemeldeten Beweisen des Opfers und nicht auf der Blockchain selbst. Security Alliance, oder SEAL, warnt ebenfalls, dass eine zuverlässige Zuschreibung von Verlusten zu einzelnen Anzeigen direkte Beweise des Opfers und zusätzliche Indikatoren für eine Kompromittierung erfordert.
Google teilte The Block mit, dass es den Werbetreibenden, der mit der gemeldeten Kampagne verbunden ist, gesperrt hat. Ein Sprecher sagte, das Unternehmen habe "null Toleranz für Betrug" und sagte, seine Systeme hätten 2025 mehr als 99% der gegen Richtlinien verstoßenden Anzeigen gestoppt, bevor sie geschaltet wurden. Hyperliquid reagierte nicht sofort auf die Bitte der Publikation um einen Kommentar.
Googles eigener Ads-Sicherheitsbericht 2025 besagt, dass es im letzten Jahr mehr als 8,3 Milliarden Anzeigen blockiert oder entfernt und 24,9 Millionen Werbetreibendenkonten gesperrt hat. Das beinhaltete 602 Millionen Anzeigen und vier Millionen Konten, die mit Betrug in Verbindung stehen. Diese Zahlen decken Googles globale Durchsetzung ab und nicht speziell diesen Hyperliquid-Fall.
SEAL verfolgte Hyperliquid-Nachahmungen Monate zuvor
SEAL dokumentierte die breitere Kampagne im April und sagte, es habe innerhalb weniger Wochen mehr als 356 bösartige Werbe-URLs blockiert. Sein Datensatz enthielt 17 Hyperliquid-Nachahmungsseiten, was etwa 5% der 352 Einträge in seiner Markenaufschlüsselung ausmachte.
Die Sicherheitsgruppe sagte, Angreifer verwenden gehackte oder illegal erworbene verifizierte Werbetreibendenkonten sowie Cloaking und Fingerprinting, um automatisierte Prüfungen zu umgehen. Einige Kampagnen platzieren harmlos aussehende von Google gehostete Seiten vor bösartigen Inhalten, die über sekundäre Frames geliefert werden. SEAL riet Krypto-Benutzern, den Zugriff auf Kryptowährungsanwendungen über die Google-Suche zu vermeiden und stattdessen verifizierte Lesezeichen zu verwenden.
Das Muster hat bereits andere gemeldete Verluste hervorgebracht. Wie crypto.news zuvor berichtete, wurden gefälschte Uniswap-Anzeigen mit Diebstählen von mindestens 400.000 US-Dollar im Mai in Verbindung gebracht. SEAL berechnete separat 1,27 Millionen US-Dollar an bestätigten und nicht zugeordneten Verlusten, die zwischen dem 13. und 30. März mit mutmaßlich bösartigen Google-Anzeigen verbunden waren.
In verwandter Berichterstattung hat ein Trezor-Benutzer Anfang dieses Monats den Verlust von Geldern gemeldet, nachdem er auf ein gesponsertes Phishing-Ergebnis geklickt hatte. Trezor warnte später Kunden, dass gesponserte Suchergebnisse seine offizielle Website nachahmen können und nicht automatisch vertraut werden sollten.
Kein Hyperliquid-Protokollverstoß wurde festgestellt
Nichts in den verfügbaren Beweisen deutet darauf hin, dass die Blockchain oder das Handelsprotokoll von Hyperliquid selbst verletzt wurde. Der gemeldete Angriff scheint stattdessen den Benutzer vor der Interaktion mit der legitimen Plattform ins Visier genommen zu haben, indem das Opfer auf eine nachahmende Website geleitet wurde. Dies ist eine Schlussfolgerung aus den verfügbaren Sicherheitsberichten und nicht eine Feststellung von Hyperliquid.
Die offizielle Support-Dokumentation von Hyperliquid warnt Benutzer bereits, vollständige Website-URLs zu überprüfen, da Betrüger ähnlich aussehende Domains verwenden. Ihre Support-Anleitung besagt auch, dass nicht autorisierte Transaktionen, fehlende Gelder oder unbekannte Multisig-Änderungen darauf hinweisen können, dass eine Wallet kompromittiert wurde.
Was als Nächstes passiert
Google hat den in dem Bericht identifizierten Werbetreibenden suspendiert, während die drei Empfängeradressen weiterhin öffentlich auf der Blockchain nachvollziehbar sind. In den bis zum 14. August überprüften Quellen wurde keine strafrechtliche Ermittlung oder Vermögenswiederherstellung im Zusammenhang mit diesem spezifischen Verlust öffentlich angekündigt.
Die nächste überprüfbare Entwicklung wäre eine Bewegung von den Empfänger-Wallets oder die Identifizierung einer Börse, Brücke oder eines anderen Dienstes, über den Ermittler zusätzliche Informationen suchen könnten. Derzeit wird der Verlust von etwa 550.000 US-Dollar durch die gemeldeten On-Chain-Transfers gestützt, während die Behauptung, dass eine Google-Anzeige den Diebstahl verursacht hat, weiterhin FlashRescue's Darcy zugeschrieben wird.
