Użytkownik Hyperliquid stracił około 550 000 USD w USDC po tym, jak płatna reklama w wyszukiwarce Google skierowała go na podrabianą wersję giełdy — podał Darcy, współzałożyciel FlashRescue, który ujawnił kradzież w czwartkowym wpisie, powołując się na zapisy blockchaina śledzące wypływ środków. Hyperliquid to zdecentralizowana giełda znana przede wszystkim z handlu wieczystymi kontraktami futures, działająca na własnym blockchainie Layer 1; USDC, stabilna moneta powiązana z dolarem amerykańskim i emitowana przez Circle, pełni na platformie funkcję zabezpieczenia wpłacanego jako marża, dlatego duże salda tego tokenu często znajdują się w portfelach użytkowników.

Co pokazuje ślad on-chain

Dane z Arkham Intelligence, platformy analityki on-chain, ujawniły trzy przelewy USDC zawarte w jednym hashu transakcji. Największy, o wartości około 440 000 USD, trafił na adres 0x98b276…13C55. W ślad za nim poszły dwa mniejsze przelewy — około 82 500 USD i 27 500 USD — przeznaczone odpowiednio na adresy 0x93b6B2…d6D1 i 0x6fE314…B566.

Google zamknęło już konto reklamodawcy stojące za tą promocją. Ataki z wykorzystaniem płatnych wyników wyszukiwania na użytkowników DeFi sięgają 2020 roku, gdy fałszywe reklamy Balancera i Uniswapa celowały w klucze prywatne i zgody portfelowe.

Dlaczego reklamy w wyszukiwarce wciąż wymykają się kontroli

Security Alliance (SEAL), organizacja non-profit zajmująca się bezpieczeństwem kryptowalut, wyjaśniła, jak takie reklamy omijają kontrole Google. Atakujący kupują lub kradną zweryfikowane konta reklamodawców Google, a następnie dostarczają Google „czystą” stronę internetową hostowaną na zaufanej domenie. Zweryfikowane konta są warte zdobycia, ponieważ Google wymaga od reklamodawców promujących giełdy kryptowalutowe i portfele certyfikacji zgodnej z polityką produktów finansowych, a sprawdzone konto nadaje złośliwej promocji pozory wiarygodności.

Po kliknięciu reklamy strona zachowuje się na jeden z dwóch sposobów. Potencjalnej ofierze wyświetlana jest fałszywa strona giełdy DeFi, natomiast badaczowi bezpieczeństwa pokazywana jest strona Wikipedii — dzięki czemu nie ma czego zgłaszać. Gdy ofiara wchodzi w interakcję z podrobionym DEX-em, podłącza portfel i podpisuje transakcję, po czym drainerzy kradną wszystkie jej aktywa kryptowalutowe. Ponieważ kradzież odbywa się poprzez zgody, które ofiara sama podpisuje, drainer może opróżnić portfel, nigdy nie zdobywając klucza prywatnego.

SEAL poinformował o odnalezieniu drainerów z rodzin malware Inferno Drainer i Vanilla Drainer. W ciągu kilku tygodni organizacja zablokowała 356 złośliwych adresów URL reklam, z których kilka podszywało się pod Hyperliquid. Ostrzegła, że reklama bywa aktywna „zaledwie przez kilka minut, zanim znajdzie swoją pierwszą ofiarę”. SEAL zaleca użytkownikom DeFi rezygnację z wyszukiwarki Google przy szukaniu aplikacji kryptowalutowych na rzecz zakładek lub indeksu takiego jak search.defillama.com.

Powracające zagrożenie

Cryptopolitan wcześniej informował, że fałszywe reklamy Uniswapa wykradły użytkownikom ponad 400 000 USD. Podczas tamtego incydentu na dwa adresy hakerów trafiło łącznie około 146 Etherów, co SEAL powiązał z 1,27 mln USD całkowitych strat spowodowanych phishingiem w marcu.

W lipcu Scam Sniffer odnalazł użytkownika, który stracił 999 999 USD w USDT przez phishingową zgodę portfelową na Ethereum. Trezor również ostrzegał przed stronami podszywającymi się pod oryginały w sponsorowanych wynikach wyszukiwania. W listopadzie zeszłego roku Cryptopolitan zasygnalizował fałszywą aplikację Hyperliquid w Google Play Store. Platforma była już podszywana zarówno w sponsorowanych wynikach wyszukiwania, jak i w wyglądających na oficjalne listingach aplikacji, co oznacza, że pojawienie się na którejkolwiek z tych powierzchni nie jest dowodem autentyczności.