Um usuário da Hyperliquid parece ter perdido cerca de US$ 550.000 em USDC em 13 de agosto após interagir com um site de phishing promovido por meio de um anúncio de pesquisa do Google, de acordo com o cofundador da FlashRescue, Darcy.
Resumo
- Usuário da Hyperliquid supostamente perdeu 550.019 USDC após transferências chegarem a três endereços supostamente ligados aos atacantes.
- O Google suspendeu o anunciante depois que o resultado de pesquisa pago supostamente direcionou usuários para um site de phishing.
- SEAL bloqueou mais de 356 URLs de publicidade maliciosa durante campanhas recentes direcionadas a aplicativos e carteiras de criptomoedas.
- A documentação da Hyperliquid alerta os usuários para verificar URLs completas e tratar atividade desconhecida na carteira como comprometimento.
- Transferências on-chain verificam os movimentos de fundos, mas não podem estabelecer de forma independente que a publicidade do Google os causou.
Sua postagem identificou três endereços supostamente controlados pelo atacante.
Dados on-chain associados à transação relatada mostram que aproximadamente 550.019 USDC foram divididos entre os três endereços. As transferências fornecem evidências de que os fundos se moveram, mas os registros do blockchain sozinhos não podem estabelecer como a vítima foi enganada. Darcy atribuiu o roubo a um anúncio pago do Google que se passava pela Hyperliquid. A GoPlus Security posteriormente identificou dois dos mesmos endereços em seu próprio aviso.
Transferências de phishing da Hyperliquid totalizaram cerca de 550.019 USDC
A transação relatada dividiu os fundos em cerca de 440.015 USDC, 82.503 USDC e 27.501 USDC. Os três endereços de destinatário foram 0x98b276…13C55, 0x93b6B2…d6D1 e 0x6fE314…B566.
Esses movimentos são consistentes com a estimativa de aproximadamente US$ 550.000 de Darcy. No entanto, o vínculo causal com o anúncio do Google atualmente depende da atribuição do pesquisador e das evidências relatadas da vítima, em vez do próprio blockchain. A Security Alliance, ou SEAL, também alerta que a atribuição confiável de perdas a anúncios individuais requer evidências diretas da vítima e indicadores adicionais de comprometimento.
O Google disse ao The Block que suspendeu o anunciante conectado à campanha relatada. Um porta-voz disse que a empresa tem “tolerância zero para golpes” e disse que seus sistemas impediram mais de 99% dos anúncios que violavam políticas antes de serem veiculados durante 2025. A Hyperliquid não respondeu imediatamente ao pedido de comentário da publicação.
O próprio relatório de Segurança de Anúncios de 2025 do Google diz que bloqueou ou removeu mais de 8,3 bilhões de anúncios e suspendeu 24,9 milhões de contas de anunciantes no ano passado. Isso incluiu 602 milhões de anúncios e quatro milhões de contas associadas a golpes. Esses números cobrem a aplicação global do Google, em vez deste caso específico da Hyperliquid.
SEAL rastreou imitações da Hyperliquid meses antes
A SEAL documentou a campanha mais ampla em abril e disse que bloqueou mais de 356 URLs de publicidade maliciosa em várias semanas. Seu conjunto de dados continha 17 sites de imitação da Hyperliquid, representando cerca de 5% das 352 entradas incluídas em sua análise de marcas.
O grupo de segurança disse que os atacantes usam contas de anunciantes verificadas hackeadas ou compradas ilegalmente, juntamente com cloaking e fingerprinting para evadir verificações automatizadas. Algumas campanhas colocam páginas benignas hospedadas pelo Google na frente de conteúdo malicioso entregue por meio de quadros secundários. A SEAL aconselhou os usuários de criptomoedas a evitar acessar aplicativos de criptomoedas por meio da Pesquisa Google e, em vez disso, usar marcadores verificados.
O padrão já produziu outras perdas relatadas. Como o crypto.news relatou anteriormente, anúncios falsos da Uniswap foram ligados a pelo menos US$ 400.000 em roubos em maio. A SEAL calculou separadamente US$ 1,27 milhão em perdas confirmadas e não atribuídas ligadas a anúncios suspeitos do Google entre 13 e 30 de março.
Em cobertura relacionada, um usuário da Trezor relatou ter perdido fundos após clicar em um resultado patrocinado de phishing no início deste mês. A Trezor posteriormente alertou os clientes de que resultados de pesquisa patrocinados podem imitar seu site oficial e não devem ser automaticamente confiáveis.
Nenhuma violação do protocolo Hyperliquid foi identificada
Nada nas evidências disponíveis indica que o blockchain ou o protocolo de negociação da Hyperliquid foi violado. O ataque relatado, em vez disso, parece ter visado o usuário antes da interação com a plataforma legítima, direcionando a vítima para um site de imitação. Esta é uma inferência dos relatórios de segurança disponíveis, e não uma constatação da Hyperliquid.
A documentação oficial de suporte da Hyperliquid já alerta os usuários para verificar URLs completas do site, porque golpistas usam domínios semelhantes. Sua orientação de suporte também diz que transações não autorizadas, fundos ausentes ou alterações desconhecidas em multisig podem indicar que uma carteira foi comprometida.
O que acontece a seguir
O Google suspendeu o anunciante identificado no relatório, enquanto os três endereços de destinatário permanecem publicamente rastreáveis na cadeia. Nenhuma investigação policial ou recuperação de ativos relacionada a essa perda específica foi anunciada publicamente nas fontes revisadas até 14 de agosto.
O próximo desenvolvimento verificável seria a movimentação das carteiras dos destinatários ou a identificação de uma exchange, ponte ou outro serviço por meio do qual os investigadores pudessem buscar informações adicionais. Por enquanto, a perda de aproximadamente US$ 550.000 é suportada pelas transferências on-chain relatadas, enquanto a alegação de que um anúncio do Google causou o roubo permanece atribuída a Darcy, da FlashRescue.
