Isang gumagamit ng Hyperliquid ang nawalan ng humigit-kumulang 550,000 USDC matapos idirekta ng isang Google sponsored advertisement ang biktima sa pekeng bersyon ng decentralized trading platform, kung saan iniugnay ng mga imbestigador ang imprastraktura ng pagnanakaw sa Inferno drainer ecosystem.
Sinabi ng kumpanya ng seguridad ng blockchain na Salus sa isang post noong Agosto 24 sa X na ang pagnanakaw ay naganap noong Agosto 13 at kinasasangkutan ng isang pekeng website ng Hyperliquid na ipinromote sa pamamagitan ng mga bayad na resulta ng paghahanap sa Google. Matapos masubaybayan ang mga ninakaw na pondo at repasuhin ang imprastraktura sa likod ng pahina, sinabi ng kumpanya na iniugnay nito ang operasyon sa isang propesyonal na network ng drainer-as-a-service na nauugnay sa Inferno.
Sinabi ng Salus na natuklasan ng kanilang lihim na imbestigasyon na ang serbisyo ay nangangalap ng mga customer sa pamamagitan ng Telegram account na @AngelFernoOwner. Ipinahayag ng operator ang mga tool kabilang ang mga malisyosong script, administrative panel, pagbuo ng approval-command, isang beses na pag-deploy ng kontrata, awtomatikong pag-drain, cross-chain withdrawals, pagpapalit ng token, at pagsasama-sama ng pondo.
Nag-alok din ang serbisyo ng “automated revenue sharing,” ayon sa kumpanya ng seguridad, na nagpapahintulot sa mga kita mula sa matagumpay na phishing attack na mahati sa mga kalahok nang walang manu-manong paglilipat.
Sa kaso ng Hyperliquid, iniugnay ng Salus ang magkahiwalay na tungkulin sa phishing group at sa serbisyo ng backend. Binili ng grupo ang mga sponsored advertisement, nag-deploy ng pekeng entry point ng Hyperliquid, at nagbigay ng address na itinalaga upang tumanggap ng mga kita. Kapag naaprubahan ng biktima ang malisyosong transaksyon at nakuha ang mga pondo, awtomatikong hinawakan ng imprastraktura ang paghahati.
Ayon sa Salus, ang address na 0x98b276…13C55 ay nakatanggap ng 80% ng mga kita, habang ang 0x93b6B2…1d6D1 ay nakatanggap ng 15% at ang 0x6fE314…B566 ay nakatanggap ng 5%. Isang ikaapat na address, 0x9bcd…9104a, ang nagsagawa ng pag-drain.
Ipinakita ng naunang ulat sa insidente noong Agosto 13 na humigit-kumulang 550,019 USDC ang gumalaw sa tatlong paglilipat ng humigit-kumulang 440,015 USDC, 82,503 USDC at 27,501 USDC sa mga address na kinilala ng mga mananaliksik sa seguridad bilang kontrolado ng attacker. Kalaunan ay sinuspinde ng Google ang advertiser na konektado sa naiulat na kampanya, ayon sa mga ulat na inilathala pagkatapos ng pagnanakaw.
Ang setup na inilarawan ng Salus ay sumusunod sa isang modelo kung saan ang mga operator ng phishing ay maaaring gumamit ng ready-made na imprastraktura ng wallet-draining habang nakatuon sa pag-advertise, mga pekeng website, at pagta-target ng biktima.
Tulad ng ipinaliwanag ng crypto.news noong Hulyo 2026, ang mga serbisyo ng wallet drainer ay binuo sa paligid ng mga malisyosong pag-apruba na nagpapahintulot sa isang kontrata na kontrolado ng attacker na maglipat ng mga token matapos mag-sign ng transaksyon. Inilarawan din ng ulat ang mga operasyon ng drainer-as-a-service bilang isang industriya kung saan ang mga developer ay nagbibigay ng malisyosong software at nagbabahagi ng mga ninakaw na kita sa mga kaakibat na nagdadala ng mga biktima.
Ang ganitong imprastraktura ay maaaring paghiwalayin ang nakikitang kampanya ng phishing mula sa software na ginagamit upang iproseso ang mga pag-apruba at ilipat ang mga asset. Sa pinakabagong kaso, sinabi ng Salus na ang advertised package ay sumasaklaw sa parehong paunang draining tools at sa mga huling yugto tulad ng cross-chain withdrawals, swaps, consolidation, at pamamahagi ng kita.
Ang Inferno ay iniugnay sa iba pang malalaking kaso ng approval-phishing. Isang ulat sa kaso ng Coinbase noong Mayo 2026 ang sumaklaw sa isang anonymous na mamumuhunan na nagsabing humigit-kumulang $55 milyon sa DAI ang ninakaw noong Agosto 2024 matapos makipag-ugnayan ang biktima sa isang pekeng login page. Sinabi ng reklamo na ginamit ng attacker ang Inferno Drainer, habang ang blockchain security firm na Zero Shadow ay kalaunan ay nasubaybayan ang bahagi ng mga ninakaw na asset sa isang Coinbase retail account.
Sa pagsubaybay na lampas sa biktima ng Hyperliquid, sinabi ng Salus na ang mga grupong konektado sa imprastraktura ay iniugnay sa humigit-kumulang $52.74 milyon sa kabuuang pagkalugi sa maraming insidente ng phishing.
Isa sa pinakamalaking kaso na binanggit ng kumpanya ay kinasasangkutan ng attacker sa likod ng September 2025 UXLINK exploit. Noong Setyembre 23, 2025, ang attacker ay kalaunan ay naging biktima ng isang approval-phishing attack na naglipat ng humigit-kumulang 542 milyong UXLINK token.
Isang ulat sa phishing ng UXLINK noong Setyembre 2025 ang nagsabing natukoy ng ScamSniffer ang isang malisyosong increaseAllowance approval na nagbigay-daan sa mga phishing address na alisan ng laman ang higit sa $43 milyon halaga ng UXLINK noong panahong iyon. Sinabi ng tagapagtatag ng SlowMist na si Yu Xian na ang pagnanakaw ay malamang na isinagawa ng Inferno Drainer gamit ang isang authorization-phishing method.
Ang insidente ng phishing ay sumunod sa orihinal na kompromiso ng UXLINK isang araw bago nito. Pinagsamantalahan ng mga attacker ang isang delegateCall vulnerability sa multi-signature wallet ng proyekto, nakakuha ng mga pribilehiyo ng administrator, at inilipat ang humigit-kumulang $11.3 milyon sa mga asset, habang ang hindi awtorisadong pagmimina ng token ay nagdulot ng karagdagang kaguluhan. Ang kalaunang pagnanakaw sa pamamagitan ng phishing ay nag-alis ng daan-daang milyon ng UXLINK mula sa sariling wallet ng exploiter.
Iniugnay din ng Salus ang imprastraktura sa isang insidente noong Abril 15, 2026 na kinasasangkutan ng CoW.fi. Ayon sa kumpanya ng seguridad, na-hijack ang opisyal na domain ng protocol, at isang kaugnay na biktima ang nawalan ng humigit-kumulang 316,000 USDC.
Isang ikatlong insidente na binanggit ng Salus ay naganap noong Hulyo 9, nang ang isang pinaghihinalaang pekeng decentralized application o pekeng airdrop ay nagtulak ng isang malisyosong pag-apruba na nagresulta sa pagnanakaw ng 999,999 USDT. Iniulat ng ScamSniffer ang transaksyon, ayon sa ulat ng kumpanya tungkol sa kaso.
Ang kaso ng Hyperliquid ay sumusunod sa iba pang operasyon ng phishing kung saan kinopya ng mga attacker ang mga kilalang crypto brand at gumamit ng mga pamilyar na online na serbisyo o development platform upang maglagay ng mga malisyosong pahina sa harap ng mga potensyal na biktima.
Isang ulat sa phishing ng OpenClaw noong Marso 2026 ang naglarawan ng mga attacker na gumagawa ng mga pekeng GitHub account at mga cloned website bago idirekta ang mga developer sa mga malisyosong wallet-connection prompt. Sinabi ng OX Security na ginamit ng kampanya ang obfuscated code at tinarget ang mga user na may mga pekeng alok ng token, bagaman walang kumpirmadong biktima ang naiulat noong panahong iyon.
Para sa pagnanakaw ng Hyperliquid noong Agosto 13, sinabi ng Salus na sinakop ng kanilang imbestigasyon ang mga kasunod na daloy ng pondo, ang imprastraktura ng serbisyo at ang mga account na ginamit upang mag-recruit ng mga operator ng phishing. Sinabi ng kumpanya na ang lahat ng sumusuportang ebidensya, mga natukoy na high-risk na address at kaugnay na intelligence ay pormal na isinumite sa mga kaugnay na organisasyon para sa pag-label ng panganib at koordinadong aksyon.
USDC
DAI