Phishing-angreb på Hyperliquid-bruger
En bruger af Hyperliquid ser ud til at have mistet omkring $550.000 i USDC den 13. august efter at have interageret med en phishing-hjemmeside, der blev promoveret gennem en Google-søgeannonce. Ifølge FlashRescue medstifter Darcy, blev tre adresser identificeret som angrebernes kontrolpunkter.
On-chain data og adresser
On-chain data forbundet med den rapporterede transaktion viser, at cirka 550.019 USDC blev delt mellem de tre adresser. Overførslerne giver bevis for, at midlerne blev flyttet, men blockchain-optegnelser alene kan ikke fastslå, hvordan offeret blev bedraget. Darcy tilskrev tyveriet en betalt Google-annonce, der udgav sig for at være Hyperliquid.
GoPlus Security identificerede efterfølgende to af de samme adresser i sin egen advarsel. Den rapporterede transaktion delte midlerne op i:
- 440.015 USDC
- 82.503 USDC
- 27.501 USDC
De tre modtageradresser var:
- 0x98b276…13C55
- 0x93b6B2…d6D1
- 0x6fE314…B566
Google’s respons
Google fortalte The Block, at de har suspenderet annoncøren, der er forbundet med den rapporterede kampagne. En talsperson sagde, at virksomheden har “nul tolerance for svindel” og tilføjede, at deres systemer stoppede mere end 99% af annoncer, der overtrådte politikker, før de blev vist i 2025.
Hyperliquid svarede ikke straks på anmodningen om kommentar. Googles egen 2025 Ads Safety-rapport viser, at de blokerede eller fjernede mere end 8,3 milliarder annoncer og suspenderede 24,9 millioner annoncørkonti sidste år, herunder 602 millioner annoncer og fire millioner konti forbundet med svindel.
Advarsler til kryptobrugere
SEAL dokumenterede den bredere kampagne i april og sagde, at de havde blokeret mere end 356 ondsindede reklame-URL’er inden for flere uger. Deres datasæt indeholdt 17 Hyperliquid-relaterede hjemmesider, der udgjorde cirka 5% af de 352 poster, der var inkluderet i deres mærkebreakdown.
Sikkerhedsgruppen sagde, at angribere bruger hackede eller ulovligt købte verificerede annoncørkonti sammen med cloaking og fingerprinting for at undgå automatiserede kontroller. Nogle kampagner placerer harmløst udseende Google-hostede sider foran ondsindet indhold leveret gennem sekundære rammer. SEAL rådede kryptobrugere til at undgå at få adgang til kryptovaluta-applikationer gennem Google-søgning og i stedet bruge verificerede bogmærker.
Konklusion
Intet i de tilgængelige beviser indikerer, at Hyperliquids blockchain eller handelsprotokol selv blev brudt. Den rapporterede angreb ser i stedet ud til at have målrettet brugeren før interaktion med den legitime platform ved at dirigere offeret til en efterlignende hjemmeside. Hyperliquids officielle supportdokumentation advarer allerede brugere om at kontrollere komplette webadresse-URL’er, da svindlere bruger lignende udseende domæner.
Google har suspenderet annoncøren, der er identificeret i rapporten, mens de tre modtageradresser forbliver offentligt sporbare on-chain. Ingen retshåndhævende efterforskning eller aktivgenvinding forbundet med dette specifikke tab var blevet offentligt annonceret i de kilder, der blev gennemgået pr. 14. august.
For nu er det omtrentlige tab på $550.000 understøttet af de rapporterede on-chain overførsler, mens påstanden om, at en Google-annonce forårsagede tyveriet, forbliver tilskrevet FlashRescues Darcy.
