Ein Hyperliquid-Nutzer verlor rund 550.000 US-Dollar in USDC, nachdem eine bezahlte Google-Suchanzeige ihn auf eine gefälschte Version der Börse geleitet hatte, wie FlashRescue-Mitgründer Darcy mitteilte, der den Diebstahl am Donnerstag in einem Beitrag meldete und sich dabei auf Blockchain-Aufzeichnungen stützte, die den Abfluss des Geldes nachzeichnen. Hyperliquid ist eine dezentrale Börse, die vor allem für den Handel mit Perpetual Futures bekannt ist, und läuft auf einer eigenen Layer-1-Blockchain; USDC, ein von Circle herausgegebener, an den US-Dollar gekoppelter Stablecoin, dient auf der Plattform als Sicherheit, die Händler als Margin hinterlegen, weshalb sich größere Token-Bestände häufig in Nutzer-Wallets befinden.

Was die On-Chain-Spur zeigt

Daten von Arkham Intelligence, einer On-Chain-Analyseplattform, zeigten drei USDC-Überweisungen, die unter einem einzigen Transaktions-Hash gebündelt waren. Die größte, rund 440.000 US-Dollar, ging an die Adresse 0x98b276…13C55. Es folgten zwei kleinere Überweisungen – rund 82.500 und 27.500 US-Dollar – die an 0x93b6B2…d6D1 beziehungsweise 0x6fE314…B566 gingen.

Google hat das Werbekonto hinter der Werbung inzwischen gesperrt. Angriffe über bezahlte Suchanzeigen auf DeFi-Nutzer reichen bis ins Jahr 2020 zurück, als gefälschte Balancer- und Uniswap-Anzeigen auf private Schlüssel und Wallet-Freigaben abzielten.

Warum Suchanzeigen immer wieder durchrutschen

Security Alliance (SEAL), eine gemeinnützige Organisation für Krypto-Sicherheit, hat erklärt, wie solche Anzeigen Googles Prüfungen umgehen. Angreifer kaufen oder stehlen verifizierte Google-Werbekonten und stellen Google dann eine saubere Webseite bereit, die auf einer vertrauenswürdigen Domain gehostet wird. Diese verifizierten Konten sind den Erwerb wert, da Google von Werbetreibenden, die Kryptobörsen und Wallets bewerben, eine Zertifizierung gemäß seiner Richtlinie für Finanzprodukte verlangt, und ein geprüftes Konto verleiht einer bösartigen Werbung den Anschein von Legitimität.

Sobald ein Besucher auf die Anzeige klickt, verhält sich die Seite auf eine von zwei Arten. Einem potenziellen Opfer wird eine gefälschte DeFi-Börsenseite angezeigt, während einem Sicherheitsforscher eine Wikipedia-Seite gezeigt wird – sodass nichts zu melden bleibt. Wenn ein Opfer mit der gefälschten DEX interagiert, verbindet es seine Wallet und signiert, woraufhin die Drainer sämtliche Kryptowerte stehlen. Da der Diebstahl über Freigaben läuft, die das Opfer selbst signiert, kann ein Drainer ein Wallet leeren, ohne jemals den privaten Schlüssel zu erlangen.

SEAL meldete, Drainer aus den Malware-Familien Inferno Drainer und Vanilla Drainer gefunden zu haben. Über mehrere Wochen blockierte die Organisation 356 bösartige Werbe-URLs, von denen mehrere als Hyperliquid auftraten. Sie warnte davor, dass eine Anzeige häufig „nur wenige Minuten aktiv ist, bevor sie ihr erstes Opfer findet“. SEAL rät DeFi-Nutzern, bei der Suche nach Krypto-Apps auf die Google-Suche zu verzichten und stattdessen auf Lesezeichen oder einen Index wie search.defillama.com zurückzugreifen.

Eine wiederkehrende Bedrohung

Cryptopolitan berichtete zuvor, dass gefälschte Uniswap-Anzeigen Nutzern mehr als 400.000 US-Dollar stahlen. Bei diesem Vorfall wurden rund 146 Ether auf zwei Hacker-Adressen zusammengezogen, die SEAL mit insgesamt 1,27 Millionen US-Dollar an Phishing-Verlusten im März in Verbindung brachte.

Im Juli entdeckte Scam Sniffer einen Nutzer, der durch eine Phishing-Freigabe auf Ethereum 999.999 US-Dollar in USDT verlor. Trezor hatte kürzlich ebenfalls vor Nachahmer-Seiten gewarnt, die in gesponserten Suchergebnissen auftauchen. Im vergangenen November machte Cryptopolitan auf eine gefälschte Hyperliquid-App im Google Play Store aufmerksam. Die Plattform wurde inzwischen sowohl in gesponserten Suchergebnissen als auch in offiziell wirkenden App-Listen imitiert, was bedeutet, dass eine Platzierung auf einer dieser Oberflächen kein Beleg für Echtheit ist.