Phishing-Angriff auf Hyperliquid-Nutzer
Ein Nutzer von Hyperliquid scheint am 13. August etwa 550.000 USDC verloren zu haben, nachdem er mit einer Phishing-Website interagiert hatte, die über eine Google-Suchanzeige beworben wurde. Dies berichtete Darcy, Mitbegründer von FlashRescue.
Details des Vorfalls
In seinem Beitrag identifizierte er drei Adressen, die angeblich vom Angreifer kontrolliert werden. On-Chain-Daten, die mit der gemeldeten Transaktion verbunden sind, zeigen, dass etwa 550.019 USDC auf die drei Adressen aufgeteilt wurden. Diese Überweisungen liefern Beweise dafür, dass die Gelder bewegt wurden, jedoch können Blockchain-Aufzeichnungen allein nicht feststellen, wie das Opfer getäuscht wurde.
„Der Diebstahl wurde auf eine bezahlte Google-Anzeige zurückgeführt, die Hyperliquid imitierte.“
GoPlus Security identifizierte anschließend zwei der gleichen Adressen in seiner eigenen Warnung. Die gemeldete Transaktion teilte die Gelder in etwa 440.015 USDC, 82.503 USDC und 27.501 USDC auf. Die drei Empfängeradressen waren 0x98b276…13C55, 0x93b6B2…d6D1 und 0x6fE314…B566. Diese Bewegungen stimmen mit Darcys Schätzung von etwa 550.000 $ überein.
Reaktionen und Warnungen
Die Security Alliance (SEAL) warnt ebenfalls, dass eine zuverlässige Zuschreibung von Verlusten zu einzelnen Anzeigen direkte Opferbeweise und zusätzliche Indikatoren für Kompromittierungen erfordert. Google teilte The Block mit, dass es den Werbetreibenden, der mit der gemeldeten Kampagne verbunden ist, gesperrt hat. Ein Sprecher erklärte, das Unternehmen habe „null Toleranz für Betrug“ und dass seine Systeme mehr als 99 % der gegen die Richtlinien verstoßenden Anzeigen gestoppt hätten, bevor sie im Jahr 2025 geschaltet wurden.
Hyperliquid reagierte nicht sofort auf die Anfrage der Publikation für einen Kommentar. Der eigene Bericht zur Anzeigen-Sicherheit von Google für 2025 besagt, dass im letzten Jahr mehr als 8,3 Milliarden Anzeigen blockiert oder entfernt und 24,9 Millionen Werbekonten gesperrt wurden. Dazu gehörten 602 Millionen Anzeigen und vier Millionen Konten, die mit Betrug in Verbindung standen.
Breitere Sicherheitsbedenken
SEAL dokumentierte die breitere Kampagne im April und gab an, dass es innerhalb weniger Wochen mehr als 356 bösartige Werbe-URLs blockiert hatte. Sein Datensatz enthielt 17 Hyperliquid-Imitationsseiten, die etwa 5 % der 352 Einträge in seiner Markenaufgliederung ausmachten. Die Sicherheitsgruppe erklärte, dass Angreifer gehackte oder illegal erworbene verifizierte Werbekonten zusammen mit Cloaking und Fingerprinting verwenden, um automatisierte Überprüfungen zu umgehen.
SEAL riet Krypto-Nutzern, den Zugriff auf Kryptowährungsanwendungen über Google-Suche zu vermeiden und stattdessen verifizierte Lesezeichen zu verwenden. Dieses Muster hat bereits andere gemeldete Verluste hervorgebracht. Wie crypto.news zuvor berichtete, wurden gefälschte Uniswap-Anzeigen mit mindestens 400.000 $ an Diebstählen im Mai in Verbindung gebracht.
Schlussfolgerung
Nichts in den verfügbaren Beweisen deutet darauf hin, dass die Blockchain oder das Handelsprotokoll von Hyperliquid selbst kompromittiert wurde. Der gemeldete Angriff scheint stattdessen den Nutzer vor der Interaktion mit der legitimen Plattform ins Visier genommen zu haben, indem das Opfer auf eine imitierende Website geleitet wurde. Dies ist eine Schlussfolgerung aus den verfügbaren Sicherheitsberichten und nicht ein Ergebnis von Hyperliquid.
Die offizielle Unterstützungsdokumentation von Hyperliquid warnt die Nutzer bereits, vollständige Website-URLs zu überprüfen, da Betrüger ähnlich aussehende Domains verwenden. Ihre Unterstützungshinweise besagen auch, dass unautorisierte Transaktionen, fehlende Gelder oder unbekannte Multisig-Änderungen darauf hindeuten können, dass eine Brieftasche kompromittiert wurde.
Google hat den im Bericht identifizierten Werbetreibenden gesperrt, während die drei Empfängeradressen weiterhin öffentlich on-chain nachverfolgt werden können. Bis zum 14. August war keine Strafverfolgungsuntersuchung oder Vermögensrückgewinnung im Zusammenhang mit diesem spezifischen Verlust öffentlich bekannt gegeben worden. Die nächste verifizierbare Entwicklung wäre eine Bewegung von den Empfänger-Wallets oder die Identifizierung einer Börse, Brücke oder eines anderen Dienstes, über den Ermittler zusätzliche Informationen suchen könnten.
Für den Moment wird der Verlust von etwa 550.000 $ durch die gemeldeten on-chain Überweisungen unterstützt, während die Behauptung, dass eine Google-Anzeige den Diebstahl verursacht hat, weiterhin FlashRescues Darcy zugeschrieben wird.
