Um usuário da Hyperliquid perdeu cerca de 550.000 USDC depois que um anúncio patrocinado pelo Google direcionou a vítima para uma versão falsa da plataforma de negociação descentralizada, com investigadores ligando a infraestrutura do roubo ao ecossistema do drenador Inferno.
Resumo
- Um usuário da Hyperliquid perdeu cerca de 550.000 USDC depois de clicar em um anúncio patrocinado do Google para um site falso.
- A Salus ligou a infraestrutura do ataque ao ecossistema do drenador Inferno.
- O backend dividiu automaticamente os fundos roubados entre endereços ligados à operação.
- Grupos ligados à infraestrutura foram associados a perdas de cerca de US$ 52,74 milhões.
A empresa de segurança blockchain Salus disse em uma postagem de 24 de agosto no X que o roubo ocorreu em 13 de agosto e envolveu um site falso da Hyperliquid promovido por meio de resultados pagos do Google. Após rastrear os fundos roubados e revisar a infraestrutura por trás da página, a empresa disse que conectou a operação a uma rede profissional de drenagem como serviço associada ao Inferno.
Caso de phishing da Hyperliquid usou infraestrutura automatizada de roubo
A Salus disse que sua investigação disfarçada descobriu que o serviço atraía clientes por meio da conta do Telegram @AngelFernoOwner. O operador anunciava ferramentas incluindo scripts maliciosos, painéis administrativos, geração de comandos de aprovação, implantação de contratos única, drenagem automatizada, saques entre cadeias, trocas de tokens e consolidação de fundos.
O serviço também oferecia "divisão automática de receita", de acordo com a empresa de segurança, permitindo que os lucros de ataques de phishing bem-sucedidos fossem divididos entre os participantes sem transferências manuais.
No caso da Hyperliquid, a Salus atribuiu papéis separados ao grupo de phishing e ao serviço de backend. O grupo comprou os anúncios patrocinados, implantou o ponto de entrada falso da Hyperliquid e forneceu o endereço designado para receber os lucros. Uma vez que a vítima aprovou a transação maliciosa e os fundos foram retirados, a infraestrutura lidou com a divisão automaticamente.
De acordo com a Salus, o endereço 0x98b276…13C55 recebeu 80% dos lucros, enquanto 0x93b6B2…1d6D1 recebeu 15% e 0x6fE314…B566 recebeu 5%. Um quarto endereço, 0x9bcd…9104a, executou a drenagem.
Relatos anteriores sobre o incidente de 13 de agosto mostraram cerca de 550.019 USDC movimentados em três transferências de aproximadamente 440.015 USDC, 82.503 USDC e 27.501 USDC para endereços identificados por pesquisadores de segurança como controlados pelo atacante. O Google posteriormente suspendeu o anunciante ligado à campanha relatada, de acordo com relatórios publicados após o roubo.
Modelo de drenagem como serviço fornece ferramentas de phishing prontas
A configuração descrita pela Salus segue um modelo em que operadores de phishing podem usar infraestrutura pronta de drenagem de carteiras enquanto se concentram em publicidade, sites falsos e segmentação de vítimas.
Como o crypto.news explicou em julho de 2026, serviços de drenagem de carteiras são construídos em torno de aprovações maliciosas que permitem que um contrato controlado pelo atacante transfira tokens depois que um usuário assina uma transação. O relatório também descreveu operações de drenagem como serviço como uma indústria em que desenvolvedores fornecem software malicioso e compartilham os lucros roubados com afiliados que trazem vítimas.
Tal infraestrutura pode separar a campanha de phishing visível do software usado para processar aprovações e mover ativos. No caso mais recente, a Salus disse que o pacote anunciado cobria tanto as ferramentas iniciais de drenagem quanto as etapas posteriores, como retiradas entre cadeias, swaps, consolidação e distribuição de lucros.
O Inferno foi associado a outros grandes casos de phishing de aprovação. Um relatório de processo contra a Coinbase de maio de 2026 cobriu um investidor anônimo que alegou que cerca de US$ 55 milhões em DAI foram roubados em agosto de 2024, depois que a vítima interagiu com uma página de login falsa. A queixa disse que o atacante usou o Inferno Drainer, enquanto a empresa de segurança blockchain Zero Shadow rastreou posteriormente parte dos ativos roubados para uma conta de varejo da Coinbase.
Salus liga infraestrutura a perdas de US$ 52,74 milhões
Rastreando além da vítima da Hyperliquid, a Salus disse que grupos conectados à infraestrutura estavam ligados a aproximadamente US$ 52,74 milhões em perdas totais em vários incidentes de phishing.
Um dos maiores casos citados pela empresa envolveu o atacante por trás do exploit da UXLINK em setembro de 2025. Em 23 de setembro de 2025, o atacante posteriormente se tornou vítima de um ataque de phishing de aprovação que moveu aproximadamente 542 milhões de tokens UXLINK.
Um relatório de phishing da UXLINK de setembro de 2025 disse que a ScamSniffer detectou uma aprovação maliciosa de increaseAllowance que permitiu que endereços de phishing drenassem mais de US$ 43 milhões em UXLINK na época. O fundador da SlowMist, Yu Xian, disse que o roubo provavelmente foi realizado pelo Inferno Drainer usando um método de phishing de autorização.
O incidente de phishing ocorreu um dia após o comprometimento original da UXLINK. Os atacantes exploraram uma vulnerabilidade delegateCall na carteira multisig do projeto, obtiveram privilégios de administrador e moveram cerca de US$ 11,3 milhões em ativos, enquanto a cunhagem não autorizada de tokens causou mais interrupções. O roubo de phishing posterior removeu centenas de milhões de UXLINK da própria carteira do explorador.
A Salus também ligou a infraestrutura a um incidente de 15 de abril de 2026 envolvendo a CoW.fi. De acordo com a empresa de segurança, o domínio oficial do protocolo foi sequestrado, e uma vítima associada perdeu cerca de 316.000 USDC.
Um terceiro incidente citado pela Salus ocorreu em 9 de julho, quando um suposto aplicativo descentralizado falso ou airdrop falso provocou uma aprovação maliciosa que resultou no roubo de 999.999 USDT. A ScamSniffer havia relatado a transação, de acordo com o relato da empresa sobre o caso.
Evidências e endereços de alto risco enviados para ação
O caso da Hyperliquid segue outras operações de phishing em que atacantes copiaram marcas cripto reconhecíveis e usaram serviços online familiares ou plataformas de desenvolvimento para colocar páginas maliciosas diante de vítimas em potencial.
Um relatório de phishing da OpenClaw de março de 2026 descreveu atacantes criando contas falsas no GitHub e sites clonados antes de direcionar desenvolvedores a prompts maliciosos de conexão de carteira. A OX Security disse que a campanha usou código ofuscado e visou usuários com ofertas falsas de tokens, embora nenhuma vítima confirmada tivesse sido relatada na época.
Para o roubo da Hyperliquid em 13 de agosto, a Salus disse que sua investigação cobriu os fluxos de fundos subsequentes, a infraestrutura de serviços e as contas usadas para recrutar operadores de phishing. A empresa disse que todas as evidências de apoio, endereços de alto risco identificados e inteligência relacionada foram formalmente submetidos a organizações relevantes para rotulagem de risco e ação coordenada.
