Користувач Hyperliquid, схоже, втратив близько 550 000 доларів США в USDC 13 серпня після взаємодії з фішинговим веб-сайтом, рекламованим через пошукову рекламу Google, згідно зі співзасновником FlashRescue Дарсі.
Підсумок
- Користувач Hyperliquid, за повідомленнями, втратив 550 019 USDC після того, як перекази надійшли на три адреси, ймовірно пов'язані зі зловмисниками.
- Google призупинив рекламодавця після того, як платний результат пошуку, ймовірно, спрямовував користувачів на фішинговий сайт.
- SEAL заблокував понад 356 шкідливих рекламних URL-адрес під час нещодавніх кампаній, націлених на криптовалютні застосунки та гаманці.
- Документація Hyperliquid попереджає користувачів перевіряти повні URL-адреси та вважати невідому активність гаманця компрометацією.
- Ончейн-перекази підтверджують рух коштів, але не можуть незалежно встановити, що реклама Google спричинила їх.
Його допис ідентифікував три адреси, які, ймовірно, контролюються зловмисником.
Ончейн-дані, пов'язані зі звітованою транзакцією, показують, що приблизно 550 019 USDC було розподілено між трьома адресами. Перекази є доказом того, що кошти рухалися, але лише записи блокчейну не можуть встановити, як жертву було ошукано. Дарсі приписав крадіжку платній рекламі Google, яка імітувала Hyperliquid. GoPlus Security згодом ідентифікував дві з тих самих адрес у власному попередженні.
Фішингові перекази Hyperliquid склали близько 550 019 USDC
Звітована транзакція розподілила кошти на приблизно 440 015 USDC, 82 503 USDC та 27 501 USDC. Три адреси отримувачів: 0x98b276…13C55, 0x93b6B2…d6D1 та 0x6fE314…B566.
Ці рухи узгоджуються з приблизною оцінкою Дарсі у 550 000 доларів США. Однак причинно-наслідковий зв'язок із рекламою Google наразі ґрунтується на атрибуції дослідника та наданих доказах жертви, а не на самому блокчейні. Security Alliance, або SEAL, також попереджає, що надійна атрибуція втрат окремим рекламним оголошенням вимагає прямих доказів від жертви та додаткових індикаторів компрометації.
Google повідомив The Block, що призупинив рекламодавця, пов'язаного зі звітованою кампанією. Представник компанії заявив, що компанія має "нульову толерантність до шахрайства" і що її системи зупинили понад 99% реклами, що порушує політику, до її показу протягом 2025 року. Hyperliquid не одразу відповів на запит видання про коментар.
Власний звіт Google про безпеку реклами за 2025 рік повідомляє, що минулого року він заблокував або видалив понад 8,3 мільярда оголошень і призупинив 24,9 мільйона облікових записів рекламодавців. Це включало 602 мільйони оголошень і чотири мільйони облікових записів, пов'язаних із шахрайством. Ці цифри охоплюють глобальне застосування Google, а не конкретно цей випадок Hyperliquid.
SEAL відстежував імітації Hyperliquid місяцями раніше
SEAL задокументував ширшу кампанію у квітні та заявив, що заблокував понад 356 шкідливих рекламних URL-адрес протягом кількох тижнів. Його набір даних містив 17 сайтів-імітацій Hyperliquid, що становить близько 5% із 352 записів, включених до його розбивки за брендами.
Група безпеки заявила, що зловмисники використовують зламані або незаконно придбані верифіковані облікові записи рекламодавців разом із клоакінгом та зняттям відбитків, щоб уникнути автоматизованих перевірок. Деякі кампанії розміщують невинні сторінки, розміщені в Google, перед шкідливим вмістом, що доставляється через вторинні фрейми. SEAL порадив криптокористувачам уникати доступу до криптовалютних застосунків через пошук Google і натомість використовувати перевірені закладки.
Ця схема вже призвела до інших звітованих втрат. Як раніше повідомляло crypto.news, фейкова реклама Uniswap була пов'язана з крадіжками щонайменше на 400 000 доларів США у травні. SEAL окремо підрахував 1,27 мільйона доларів США підтверджених та неатрибутованих втрат, пов'язаних із підозрілою рекламою Google, між 13 та 30 березня.
У відповідному висвітленні, користувач Trezor повідомив про втрату коштів після натискання на спонсорований фішинговий результат раніше цього місяця. Trezor пізніше попередив клієнтів, що спонсоровані результати пошуку можуть імітувати його офіційний веб-сайт, і їм не слід автоматично довіряти.
Порушення протоколу Hyperliquid не виявлено
Ніщо в наявних доказах не вказує на те, що сам блокчейн або торговий протокол Hyperliquid був порушений. Повідомлена атака, схоже, націлена на користувача до взаємодії з легітимною платформою, спрямовуючи жертву на веб-сайт-імітатор. Це висновок з наявних звітів про безпеку, а не висновок Hyperliquid.
Офіційна документація підтримки Hyperliquid вже попереджає користувачів перевіряти повні URL-адреси веб-сайтів, оскільки шахраї використовують схожі домени. Її рекомендації з підтримки також кажуть, що несанкціоновані транзакції, відсутні кошти або невідомі зміни мультипідпису можуть вказувати на те, що гаманець було скомпрометовано.
Що буде далі
Google призупинив рекламодавця, ідентифікованого у звіті, тоді як три адреси отримувачів залишаються публічно відстежуваними в блокчейні. Жодне розслідування правоохоронних органів або повернення активів, пов'язаних з цією конкретною втратою, не було публічно оголошено в джерелах, переглянутих станом на 14 серпня.
Наступною перевіреною подією було б переміщення коштів з гаманців отримувачів або ідентифікація біржі, моста чи іншого сервісу, через які слідчі могли б отримати додаткову інформацію. Наразі втрата приблизно 550 000 доларів підтверджується повідомленими транзакціями в блокчейні, тоді як твердження про те, що реклама Google спричинила крадіжку, залишається приписаним Дарсі з FlashRescue.
