- Um usuário da Hyperliquid perdeu aproximadamente 550.000 USDC após clicar em um anúncio malicioso patrocinado pelo Google que redirecionava para uma versão falsa da plataforma de negociação descentralizada.
- A empresa de segurança blockchain Salus vinculou a infraestrutura do ataque ao ecossistema Inferno drainer, um kit de ferramentas conhecido para drenar carteiras.
- O site falso provavelmente induziu a vítima a conectar uma carteira e aprovar transações maliciosas, uma técnica comum em campanhas de phishing de criptomoedas.
- O Google tem enfrentado críticas repetidas por permitir anúncios fraudulentos que se passam por plataformas legítimas de criptomoedas, apesar das atualizações em suas políticas.
- O incidente destaca riscos persistentes na segurança de usuários de criptomoedas, onde até traders experientes podem ser vítimas de resultados de busca patrocinados.
Phishing via Resultados de Busca Patrocinados
Um trader da Hyperliquid sofreu uma perda significativa de aproximadamente 550.000 USDC após interagir com um anúncio fraudulento do Google. De acordo com a empresa de segurança blockchain Salus, o link patrocinado direcionou a vítima para uma versão falsificada da exchange descentralizada (DEX) da Hyperliquid. A interface falsa foi projetada para imitar a plataforma legítima, enganando o usuário para conectar sua carteira e aprovar transações que, em última análise, drenaram seus fundos. Este incidente destaca uma tendência crescente em que cibercriminosos exploram a publicidade em mecanismos de busca para atingir usuários de criptomoedas, contornando o phishing tradicional por e-mail em favor de canais mais diretos e confiáveis.
A infraestrutura do ataque foi rastreada até o ecossistema Inferno drainer, um serviço bem conhecido de drenagem de carteiras usado por atores maliciosos. O Inferno drainer faz parte de uma categoria mais ampla de ferramentas de “phishing de aprovação” que permitem que atacantes roubem tokens uma vez que a vítima assina um contrato inteligente malicioso. A análise da Salus indica que o site falso da Hyperliquid estava hospedado em infraestrutura anteriormente associada ao Inferno, sugerindo um uso coordenado ou repetido do mesmo kit de ferramentas. Embora o método exato de distribuição — seja via Google Ads ou outro vetor — esteja sob escrutínio, o anúncio patrocinado parece ter sido o ponto de entrada para a vítima.
A Mecânica da Drenagem de Carteiras
Drenadores de carteiras como o Inferno operam enganando usuários para que concedam aprovações de tokens. Quando um usuário conecta sua carteira a um aplicativo descentralizado (dApp) malicioso, o site solicita permissão para gastar tokens específicos. Se o usuário assinar a transação sem verificar o endereço do contrato, o atacante ganha a capacidade de transferir esses ativos. Neste caso, o site falso da Hyperliquid provavelmente apresentou uma interface de negociação familiar, diminuindo a vigilância da vítima. A perda de 550.000 USDC é notável não apenas por seu tamanho, mas porque ocorreu em uma plataforma conhecida por sua base de usuários focada em segurança, indicando que até traders experientes são vulneráveis a páginas de phishing bem elaboradas.
Este incidente não é isolado. No último ano, múltiplas plataformas de criptomoedas, incluindo nomes importantes como Uniswap e Lido, foram alvo de impersonificação via Google Ads. Em vários casos, usuários perderam milhões de dólares coletivamente. O Google atualizou suas políticas de publicidade para restringir anúncios relacionados a criptomoedas, mas a aplicação permanece inconsistente. Atores maliciosos frequentemente rotacionam domínios e usam técnicas de cloaking para evadir a detecção, dificultando que sistemas automatizados bloqueiem todas as campanhas fraudulentas. O caso da Hyperliquid se soma a um crescente corpo de evidências de que resultados de busca patrocinados permanecem um vetor de alto risco para roubo de criptomoedas.
Resposta e Esforços de Mitigação
Após o incidente, a equipe da Hyperliquid não emitiu uma declaração pública abordando especificamente a perda, embora os canais da comunidade da plataforma tenham visto discussões aumentadas sobre práticas recomendadas de segurança. A Salus publicou um relatório técnico detalhado sobre o ataque, incluindo endereços de carteira e indicadores de infraestrutura, para ajudar outros usuários a identificar ameaças potenciais. A empresa recomenda que os usuários sempre verifiquem o URL de qualquer plataforma de criptomoedas antes de conectar uma carteira, usem carteiras de hardware para grandes quantias e revoguem aprovações de tokens para dApps não utilizados por meio de ferramentas como Etherscan ou Revoke.cash.
Para o ecossistema mais amplo de criptomoedas, este evento serve como um lembrete de que os ataques de phishing estão evoluindo além do e-mail. Anúncios patrocinados em mecanismos de busca carregam um sinal implícito de confiança, que os atacantes exploram com efeito devastador. Embora plataformas descentralizadas como a Hyperliquid ofereçam transparência e autocustódia, elas também colocam todo o ônus da segurança sobre o usuário individual. Até que os mecanismos de busca implementem verificação mais rigorosa para anunciantes de criptomoedas, os usuários devem tratar cada link — especialmente os pagos — com ceticismo. A perda de 550.000 USDC é uma lição cara, mas pode provocar salvaguardas mais robustas lideradas pela comunidade e iniciativas educacionais para prevenir incidentes semelhantes no futuro.
