- Um usuário da Hyperliquid perdeu aproximadamente 550.000 USDC após clicar em um anúncio malicioso patrocinado pelo Google que redirecionava para uma versão falsa da plataforma descentralizada de negociação.
- A empresa de segurança blockchain Salus vinculou a infraestrutura do ataque ao ecossistema do drainer Inferno, um kit conhecido de drenagem de carteiras.
- O site falso provavelmente induziu a vítima a conectar uma carteira e aprovar transações maliciosas, uma técnica comum em campanhas de phishing de criptomoedas.
- O Google tem enfrentado críticas repetidas por permitir anúncios fraudulentos que se passam por plataformas legítimas de criptomoedas, apesar das atualizações em suas políticas.
- O incidente ressalta os riscos persistentes na segurança do usuário de criptomoedas, onde até traders experientes podem cair em resultados de busca patrocinados.
Phishing via Resultados de Busca Patrocinados
Um trader da Hyperliquid sofreu uma perda significativa de aproximadamente 550.000 USDC após interagir com um anúncio fraudulento do Google. De acordo com a empresa de segurança blockchain Salus, o link patrocinado direcionou a vítima para uma versão falsificada da exchange descentralizada (DEX) da Hyperliquid. A interface falsa foi projetada para imitar a plataforma legítima, enganando o usuário para que conectasse sua carteira e aprovasse transações que, em última análise, drenaram seus fundos. Este incidente destaca uma tendência crescente em que cibercriminosos exploram a publicidade em mecanismos de busca para atingir usuários de criptomoedas, contornando o phishing tradicional por e-mail em favor de canais mais diretos e confiáveis.
A infraestrutura do ataque foi rastreada até o ecossistema do drainer Inferno, um serviço bem conhecido de drenagem de carteiras usado por atores maliciosos. O Inferno drainer faz parte de uma categoria mais ampla de ferramentas de “phishing de aprovação” que permitem que atacantes roubem tokens assim que uma vítima assina um contrato inteligente malicioso. A análise da Salus indica que o site falso da Hyperliquid estava hospedado em infraestrutura anteriormente associada ao Inferno, sugerindo um uso coordenado ou repetido do mesmo kit. Embora o método exato de distribuição — seja via Google Ads ou outro vetor — esteja sob escrutínio, o anúncio patrocinado parece ter sido o ponto de entrada para a vítima.
A Mecânica da Drenagem de Carteiras
Drenadores de carteiras como o Inferno operam enganando os usuários para que concedam aprovações de tokens. Quando um usuário conecta sua carteira a um aplicativo descentralizado (dApp) malicioso, o site solicita permissão para gastar tokens específicos. Se o usuário assinar a transação sem verificar o endereço do contrato, o atacante ganha a capacidade de transferir esses ativos. Neste caso, o site falso da Hyperliquid provavelmente apresentou uma interface de negociação familiar, reduzindo a vigilância da vítima. A perda de 550.000 USDC é notável não apenas por seu tamanho, mas porque ocorreu em uma plataforma conhecida por sua base de usuários focada em segurança, indicando que até traders experientes são vulneráveis a páginas de phishing bem elaboradas.
Este incidente não é isolado. No último ano, várias plataformas de criptomoedas, incluindo grandes nomes como Uniswap e Lido, foram alvo de falsificações via Google Ads. Em vários casos, usuários perderam milhões de dólares coletivamente. O Google atualizou suas políticas de publicidade para restringir anúncios relacionados a criptomoedas, mas a aplicação continua inconsistente. Atores maliciosos frequentemente alternam domínios e usam técnicas de cloaking para evitar a detecção, dificultando que sistemas automatizados bloqueiem todas as campanhas fraudulentas. O caso da Hyperliquid soma-se a um crescente corpo de evidências de que resultados de busca patrocinados continuam sendo um vetor de alto risco para roubo de criptomoedas.
Resposta e Esforços de Mitigação
Após o incidente, a equipe da Hyperliquid não emitiu uma declaração pública abordando especificamente a perda, embora os canais da comunidade da plataforma tenham visto um aumento na discussão sobre melhores práticas de segurança. A Salus publicou um relatório técnico detalhado sobre o ataque, incluindo endereços de carteira e indicadores de infraestrutura, para ajudar outros usuários a identificar ameaças potenciais. A empresa recomenda que os usuários sempre verifiquem a URL de qualquer plataforma de criptomoedas antes de conectar uma carteira, usem carteiras de hardware para grandes quantias e revoguem aprovações de tokens para dApps não utilizados por meio de ferramentas como Etherscan ou Revoke.cash.
Para o ecossistema mais amplo de criptomoedas, este evento serve como um lembrete de que os ataques de phishing estão evoluindo além do e-mail. Anúncios patrocinados em mecanismos de busca carregam um sinal implícito de confiança, que os atacantes exploram com efeito devastador. Embora plataformas descentralizadas como a Hyperliquid ofereçam transparência e autocustódia, elas também colocam todo o ônus da segurança sobre o usuário individual. Até que os mecanismos de busca implementem uma verificação mais rigorosa para anunciantes de criptomoedas, os usuários devem tratar cada link — especialmente os pagos — com ceticismo. A perda de 550.000 USDC é uma lição cara, mas pode estimular salvaguardas mais robustas lideradas pela comunidade e iniciativas educacionais para prevenir incidentes semelhantes no futuro.
