FlashRescueの共同創設者であるDarcy氏によると、Hyperliquidのユーザー1名が、Googleの有料検索広告によって同取引所の偽サイトへ誘導され、約550,000米ドル相当のUSDCを失った。Darcy氏は資金の流出を追跡したブロックチェーン記録を引用し、木曜日の投稿でこの盗難を報告した。Hyperliquidは永久先物取引で知られる分散型取引所であり、独自のレイヤー1ブロックチェーン上で動作している。また、Circleが発行する米ドル連動のステーブルコインであるUSDCは、同プラットフォームでトレーダーが証拠金として差し入れる担保として利用されるため、ユーザーのウォレットには同トークンの大口残高が保有されていることが多い。

オンチェーン上の痕跡が示すもの

オンチェーン分析プラットフォームであるArkham Intelligenceのデータによると、単一のトランザクションハッシュにまとめられた3件のUSDC送金が確認された。最も大きい約440,000米ドルはアドレス「0x98b276…13C55」へ送られている。続く2件の小さな送金は約82,500米ドルと約27,500米ドルで、それぞれ「0x93b6B2…d6D1」と「0x6fE314…B566」宛てだった。

Googleはその後、この広告を掲載していた広告主アカウントを閉鎖した。DeFiユーザーを狙った有料検索による攻撃は2020年にさかのぼり、当時は偽のBalancerおよびUniswap広告が秘密鍵やウォレット承認を狙っていた。

なぜ検索広告は審査をすり抜け続けるのか

暗号資産セキュリティの非営利団体Security Alliance（SEAL）は、こうした広告がどのようにGoogleの審査を回避しているかを説明している。攻撃者は認証済みのGoogle広告主アカウントを購入または盗難により入手した上で、信頼されたドメイン上でホスティングされた問題のないウェブページをGoogleに提示する。認証済みアカウントの入手には価値がある。Googleは暗号資産取引所やウォレットを宣伝する広告主に対し、金融商品ポリシーに基づく認定を求めており、審査を経たアカウントは悪質な宣伝に正当性のある外観を与えるからである。

訪問者が広告をクリックすると、ページは2通りの挙動を示す。被害候補には偽のDeFi取引所ページが表示される一方、セキュリティ研究者にはWikipediaのページが表示され、報告すべきものは何も残らない。被害者が偽のDEXを操作すると、ウォレットを接続して署名し、その時点でドレイナーが暗号資産のすべてを盗み出す。盗難は被害者自身が署名した承認を通じて行われるため、ドレイナーは秘密鍵を入手せずともウォレットを空にできる。

SEALは、Inferno DrainerおよびVanilla Drainerというマルウェアファミリーに属するドレイナーを発見したと報告している。同団体は数週間にわたり356件の悪質な広告URLをブロックし、そのうち複数はHyperliquidを装っていた。また、広告は「最初の被害者を見つけるまでのわずか数分間しか稼働していないことが多い」と注意喚起している。SEALはDeFiユーザーに対し、暗号資産アプリを探す際にGoogle検索を使わず、ブックマークやsearch.defillama.comのようなインデックスを利用することを推奨している。

繰り返される脅威

Cryptopolitanは以前、偽のUniswap広告がユーザーから400,000米ドル以上を盗んだと報じた。この事件では約146イーサ（Ether）が2つのハッカーのアドレスに集められており、SEALはこれを3月のフィッシングによる総額127万米ドルの損失と関連付けている。

7月には、Scam Snifferが、Ethereum上でのフィッシング承認により999,999米ドル相当のUSDTを失ったユーザーを発見した。Trezorもまた、スポンサー付き検索結果に表示される類似サイトについて警告を発していた。昨年11月には、CryptopolitanがGoogle Playストア上の偽のHyperliquidアプリを報じている。同プラットフォームはスポンサー付き検索結果と公式に見えるアプリ掲載の両方で偽装されており、どちらの媒体に掲載されていても本物の証明にはならないことを意味する。