Un utilisateur d'Hyperliquid aurait perdu environ 550 000 $ en USDC le 13 août après avoir interagi avec un site web de hameçonnage promu via une publicité de recherche Google, selon Darcy, co-fondateur de FlashRescue.
Son message a identifié trois adresses prétendument contrôlées par l'attaquant.
Les données on-chain associées à la transaction signalée montrent qu'environ 550 019 USDC ont été répartis entre les trois adresses. Les transferts prouvent que les fonds ont été déplacés, mais les registres de la blockchain seuls ne peuvent pas établir comment la victime a été trompée. Darcy a attribué le vol à une publicité Google payante usurpant l'identité d'Hyperliquid. GoPlus Security a par la suite identifié deux des mêmes adresses dans son propre avertissement.
La transaction signalée a réparti les fonds en environ 440 015 USDC, 82 503 USDC et 27 501 USDC. Les trois adresses de réception étaient 0x98b276…13C55, 0x93b6B2…d6D1 et 0x6fE314…B566.
Ces mouvements sont conformes à l'estimation d'environ 550 000 $ de Darcy. Cependant, le lien de causalité avec la publicité Google repose actuellement sur l'attribution du chercheur et les preuves rapportées par la victime plutôt que sur la blockchain elle-même. La Security Alliance, ou SEAL, avertit de même qu'une attribution fiable des pertes à des publicités individuelles nécessite des preuves directes de la victime et des indicateurs de compromission supplémentaires.
Google a déclaré à The Block avoir suspendu l'annonceur lié à la campagne signalée. Un porte-parole a affirmé que l'entreprise avait une « tolérance zéro pour les escroqueries » et que ses systèmes avaient bloqué plus de 99 % des annonces enfreignant les règles avant leur diffusion en 2025. Hyperliquid n'a pas immédiatement répondu à la demande de commentaires de la publication.
Le propre rapport sur la sécurité des annonces 2025 de Google indique qu'il a bloqué ou supprimé plus de 8,3 milliards d'annonces et suspendu 24,9 millions de comptes d'annonceurs l'année dernière. Cela comprenait 602 millions de publicités et quatre millions de comptes associés à des escroqueries. Ces chiffres couvrent l'application globale des règles de Google plutôt que ce cas Hyperliquid spécifiquement.
SEAL a documenté la campagne plus large en avril et a déclaré avoir bloqué plus de 356 URL publicitaires malveillantes en quelques semaines. Son ensemble de données contenait 17 sites d'usurpation d'identité d'Hyperliquid, représentant environ 5 % des 352 entrées incluses dans sa répartition par marque.
Le groupe de sécurité a déclaré que les attaquants utilisent des comptes d'annonceurs vérifiés piratés ou achetés illégalement, ainsi que des techniques de cloaking et de fingerprinting, pour échapper aux contrôles automatisés. Certaines campagnes placent des pages hébergées par Google d'apparence inoffensive devant un contenu malveillant diffusé via des cadres secondaires. SEAL a conseillé aux utilisateurs de cryptomonnaies d'éviter d'accéder aux applications de cryptomonnaies via la recherche Google et d'utiliser plutôt des signets vérifiés.
Ce schéma a déjà entraîné d'autres pertes signalées. Comme crypto.news l'a précédemment rapporté, de fausses publicités Uniswap ont été liées à au moins 400 000 $ de vols en mai. SEAL a séparément calculé 1,27 million de dollars de pertes confirmées et non attribuées liées à des publicités Google malveillantes présumées entre le 13 et le 30 mars.
Dans un reportage connexe, un utilisateur de Trezor a signalé avoir perdu des fonds après avoir cliqué sur un résultat de hameçonnage sponsorisé plus tôt ce mois-ci. Trezor a par la suite averti ses clients que les résultats de recherche sponsorisés peuvent imiter son site web officiel et ne doivent pas être automatiquement considérés comme fiables.
Rien dans les preuves disponibles n'indique que la blockchain ou le protocole de trading d'Hyperliquid ait été compromis. L'attaque signalée semble plutôt avoir ciblé l'utilisateur avant l'interaction avec la plateforme légitime en dirigeant la victime vers un site web d'usurpation d'identité. Il s'agit d'une déduction tirée des rapports de sécurité disponibles plutôt que d'une constatation d'Hyperliquid.
La documentation de support officielle d'Hyperliquid avertit déjà les utilisateurs de vérifier les URL complètes des sites web, car les escrocs utilisent des noms de domaine similaires. Ses directives de support indiquent également que des transactions non autorisées, des fonds manquants ou des modifications multisig inconnues peuvent indiquer qu'un portefeuille a été compromis.
Google a suspendu l'annonceur identifié dans le rapport, tandis que les trois adresses de réception restent publiquement traçables on-chain. Aucune enquête des forces de l'ordre ni aucune récupération d'actifs liée à cette perte spécifique n'avait été publiquement annoncée dans les sources examinées au 14 août.
Le prochain développement vérifiable serait un mouvement depuis les portefeuilles destinataires ou l'identification d'une plateforme d'échange, d'un pont ou d'un autre service par lequel les enquêteurs pourraient obtenir des informations supplémentaires. Pour l'instant, la perte d'environ 550 000 $ est étayée par les transferts on-chain signalés, tandis que l'affirmation selon laquelle une publicité Google a causé le vol reste attribuée à Darcy de FlashRescue.
