Użytkownik Hyperliquid najwyraźniej stracił około 550 000 USDC 13 sierpnia po interakcji z phishingową stroną internetową promowaną poprzez reklamę w wyszukiwarce Google, według współzałożyciela FlashRescue, Darcy'ego.
Podsumowanie
- Użytkownik Hyperliquid podobno stracił 550 019 USDC po tym, jak transfery dotarły do trzech adresów prawdopodobnie powiązanych z atakującymi.
- Google zawiesił reklamodawcę po tym, jak płatny wynik wyszukiwania rzekomo kierował użytkowników do phishingowej strony.
- SEAL zablokował ponad 356 złośliwych adresów URL reklam podczas ostatnich kampanii wymierzonych w aplikacje kryptowalutowe i portfele.
- Dokumentacja Hyperliquid ostrzega użytkowników, aby weryfikowali pełne adresy URL i traktowali nieznaną aktywność portfela jako kompromitację.
- Transfery w łańcuchu potwierdzają przepływ środków, ale nie mogą niezależnie ustalić, że reklamy Google je spowodowały.
Jego post zidentyfikował trzy adresy rzekomo kontrolowane przez atakującego.
Dane w łańcuchu związane z raportowaną transakcją pokazują, że około 550 019 USDC zostało podzielone między trzy adresy. Transfery stanowią dowód, że środki się przesunęły, ale same zapisy w blockchainie nie mogą ustalić, w jaki sposób ofiara została oszukana. Darcy przypisał kradzież płatnej reklamie Google podszywającej się pod Hyperliquid. GoPlus Security następnie zidentyfikowało dwa z tych samych adresów w swoim własnym ostrzeżeniu.
Transfery phishingowe Hyperliquid wyniosły łącznie około 550 019 USDC
Raportowana transakcja podzieliła środki na około 440 015 USDC, 82 503 USDC i 27 501 USDC. Trzy adresy odbiorców to 0x98b276…13C55, 0x93b6B2…d6D1 i 0x6fE314…B566.
Te ruchy są zgodne z szacunkami Darcy'ego wynoszącymi około 550 000 dolarów. Jednak związek przyczynowy z reklamą Google opiera się obecnie na atrybucji badacza i zgłoszonych dowodach ofiary, a nie na samym blockchainie. Security Alliance, czyli SEAL, podobnie ostrzega, że wiarygodne przypisanie strat do poszczególnych reklam wymaga bezpośrednich dowodów od ofiary i dodatkowych wskaźników kompromitacji.
Google poinformowało The Block, że zawiesiło reklamodawcę powiązanego z raportowaną kampanią. Rzecznik powiedział, że firma ma „zerową tolerancję dla oszustw” i że jej systemy zatrzymały ponad 99% reklam naruszających zasady, zanim zostały wyświetlone w 2025 roku. Hyperliquid nie odpowiedziało natychmiast na prośbę publikacji o komentarz.
Własny raport Google dotyczący bezpieczeństwa reklam za 2025 rok mówi, że w zeszłym roku zablokowano lub usunięto ponad 8,3 miliarda reklam i zawieszono 24,9 miliona kont reklamodawców. Obejmowało to 602 miliony reklam i cztery miliony kont związanych z oszustwami. Liczby te dotyczą globalnego egzekwowania Google, a nie konkretnie tego przypadku Hyperliquid.
SEAL śledził podszywanie się pod Hyperliquid miesiące wcześniej
SEAL udokumentował szerszą kampanię w kwietniu i powiedział, że w ciągu kilku tygodni zablokował ponad 356 złośliwych adresów URL reklam. Jego zestaw danych zawierał 17 witryn podszywających się pod Hyperliquid, co stanowi około 5% z 352 wpisów uwzględnionych w jego zestawieniu marek.
Grupa bezpieczeństwa stwierdziła, że atakujący używają zhakowanych lub nielegalnie zakupionych zweryfikowanych kont reklamodawców, wraz z maskowaniem i odciskami palców, aby ominąć automatyczne kontrole. Niektóre kampanie umieszczają nieszkodliwie wyglądające strony hostowane przez Google przed złośliwymi treściami dostarczanymi przez drugorzędne ramki. SEAL zalecił użytkownikom kryptowalut unikanie dostępu do aplikacji kryptowalutowych przez wyszukiwarkę Google i zamiast tego korzystanie z zweryfikowanych zakładek.
Ten wzorzec już doprowadził do innych zgłoszonych strat. Jak wcześniej informowało crypto.news, fałszywe reklamy Uniswap były powiązane z kradzieżami o wartości co najmniej 400 000 dolarów w maju. SEAL osobno obliczył 1,27 miliona dolarów potwierdzonych i nieprzypisanych strat związanych z podejrzanymi reklamami Google między 13 a 30 marca.
W powiązanych wiadomościach, użytkownik Trezora zgłosił utratę środków po kliknięciu sponsorowanego wyniku phishingowego na początku tego miesiąca. Trezor później ostrzegł klientów, że sponsorowane wyniki wyszukiwania mogą imitować jego oficjalną stronę internetową i nie należy im automatycznie ufać.
Nie zidentyfikowano naruszenia protokołu Hyperliquid
Nic w dostępnych dowodach nie wskazuje, że blockchain lub protokół handlowy Hyperliquid został naruszony. Zgłoszony atak wydaje się natomiast wymierzony w użytkownika przed interakcją z legalną platformą, kierując ofiarę na fałszywą stronę internetową. Jest to wniosek z dostępnych raportów bezpieczeństwa, a nie ustalenie Hyperliquid.
Oficjalna dokumentacja wsparcia Hyperliquid już ostrzega użytkowników, aby sprawdzali pełne adresy URL stron internetowych, ponieważ oszuści używają podobnie wyglądających domen. Jej wskazówki wsparcia mówią również, że nieautoryzowane transakcje, brakujące środki lub nieznane zmiany multisig mogą wskazywać, że portfel został naruszony.
Co dalej
Google zawiesił reklamodawcę zidentyfikowanego w raporcie, podczas gdy trzy adresy odbiorców pozostają publicznie śledzalne w łańcuchu. Żadne dochodzenie organów ścigania ani odzyskanie aktywów związane z tą konkretną stratą nie zostało publicznie ogłoszone w przeglądanych źródłach na dzień 14 sierpnia.
Kolejnym weryfikowalnym wydarzeniem byłby ruch z portfeli odbiorców lub identyfikacja giełdy, mostu lub innej usługi, za pośrednictwem której śledczy mogliby uzyskać dodatkowe informacje. Na razie strata około 550 000 dolarów jest poparta zgłoszonymi transferami w łańcuchu, podczas gdy twierdzenie, że reklama Google spowodowała kradzież, pozostaje przypisane Darcy'emu z FlashRescue.
