Un utente di Hyperliquid ha perso circa 550.000 dollari in USDC dopo che un annuncio pubblicitario a pagamento su Google Search lo ha indirizzato a una versione contraffatta dell'exchange, secondo Darcy, cofondatore di FlashRescue, che ha segnalato il furto in un post giovedì, citando i registri blockchain che tracciano l'uscita del denaro. Hyperliquid è un exchange decentralizzato noto soprattutto per il trading di futures perpetui e opera sulla propria blockchain Layer 1; USDC, una stablecoin ancorata al dollaro statunitense ed emessa da Circle, funge da collaterale che i trader depositano come margine sulla piattaforma, quindi nei wallet degli utenti risiedono comunemente grandi saldi del token.

Cosa mostra la traccia on-chain

I dati di Arkham Intelligence, una piattaforma di analisi on-chain, hanno rivelato tre trasferimenti USDC raggruppati sotto un unico hash di transazione. Il più consistente, circa 440.000 dollari, è arrivato all'indirizzo 0x98b276…13C55. Sono seguiti due trasferimenti più piccoli — circa 82.500 e 27.500 dollari — destinati rispettivamente a 0x93b6B2…d6D1 e 0x6fE314…B566.

Google ha successivamente chiuso l'account pubblicitario dietro la promozione. Gli attacchi tramite ricerca a pagamento contro gli utenti DeFi risalgono al 2020, quando annunci falsi di Balancer e Uniswap miravano a chiavi private e approvazioni del wallet.

Perché gli annunci di ricerca continuano a sfuggire ai controlli

Security Alliance (SEAL), un'organizzazione no-profit per la sicurezza delle criptovalute, ha spiegato come tali annunci eludano i controlli di Google. Gli aggressori acquistano o rubano account pubblicitari Google verificati, quindi forniscono a Google una pagina web pulita ospitata su un dominio affidabile. Questi account verificati vale la pena acquisirli perché Google richiede che gli inserzionisti che promuovono exchange di criptovalute e wallet siano certificati secondo la propria politica sui prodotti finanziari, e un account verificato conferisce a una promozione dannosa un'apparenza di legittimità.

Una volta che un visitatore clicca sull'annuncio, la pagina si comporta in uno di due modi. A una potenziale vittima viene mostrata una falsa pagina di exchange DeFi, mentre a un ricercatore di sicurezza viene mostrata una pagina di Wikipedia — senza nulla da segnalare. Quando una vittima interagisce con il DEX contraffatto, collega il proprio wallet e firma, e a quel punto i drainer sottraggono tutti i suoi asset in criptovalute. Poiché il furto avviene tramite approvazioni firmate dalla vittima stessa, un drainer può svuotare un wallet senza mai ottenere la chiave privata.

SEAL ha riferito di aver trovato drainer delle famiglie di malware Inferno Drainer e Vanilla Drainer. Nel giro di alcune settimane, l'organizzazione ha bloccato 356 URL pubblicitari dannosi, diversi dei quali si spacciavano per Hyperliquid. Ha avvertito che un annuncio è spesso attivo "solo per pochi minuti prima di trovare la prima vittima". SEAL consiglia agli utenti DeFi di evitare Google Search quando cercano app cripto e di affidarsi invece ai segnalibri o a un indice come search.defillama.com.

Una minaccia ricorrente

Cryptopolitan aveva precedentemente riportato che annunci falsi di Uniswap hanno sottratto più di 400.000 dollari agli utenti. Durante quell'incidente, circa 146 Ether sono confluiti in due indirizzi di hacker, che SEAL ha collegato a 1,27 milioni di dollari di perdite totali per phishing a marzo.

A luglio, Scam Sniffer ha scoperto un utente che ha perso 999.999 dollari in USDT a causa di un'approvazione di phishing su Ethereum. Trezor ha inoltre avvertito dei siti sosia che compaiono nei risultati di ricerca sponsorizzati. Lo scorso novembre, Cryptopolitan aveva segnalato una falsa app di Hyperliquid sul Google Play Store. La piattaforma è stata ora impersonata sia nei risultati di ricerca sponsorizzati sia in elenchi di app dall'aspetto ufficiale, il che significa che la presenza su una qualsiasi di queste superfici non è una prova di autenticità.