एक हाइपरलिक्विड उपयोगकर्ता ने एक Google प्रायोजित विज्ञापन के बाद लगभग 550,000 USDC खो दिए, जिसने पीड़ित को विकेन्द्रीकृत ट्रेडिंग प्लेटफॉर्म के एक नकली संस्करण पर निर्देशित किया, जिसमें जांचकर्ताओं ने चोरी के बुनियादी ढांचे को इन्फर्नो ड्रेनर इकोसिस्टम से जोड़ा है।
ब्लॉकचेन सुरक्षा फर्म सालस ने 24 अगस्त को X पर एक पोस्ट में कहा कि चोरी 13 अगस्त को हुई थी और इसमें एक नकली हाइपरलिक्विड वेबसाइट शामिल थी जिसे सशुल्क Google खोज परिणामों के माध्यम से प्रचारित किया गया था। चोरी हुए फंडों का पता लगाने और पेज के पीछे के बुनियादी ढांचे की समीक्षा करने के बाद, फर्म ने कहा कि उसने इस ऑपरेशन को इन्फर्नो से जुड़े एक पेशेवर ड्रेनर-एज-ए-सर्विस नेटवर्क से जोड़ा है।
सालस ने कहा कि उसकी गुप्त जांच में पाया गया कि सेवा ने टेलीग्राम अकाउंट @AngelFernoOwner के माध्यम से ग्राहकों को आकर्षित किया। ऑपरेटर ने दुर्भावनापूर्ण स्क्रिप्ट, प्रशासनिक पैनल, अनुमोदन-कमांड जनरेशन, एक बार का कॉन्ट्रैक्ट डिप्लॉयमेंट, स्वचालित ड्रेनिंग, क्रॉस-चेन निकासी, टोकन स्वैप और फंड समेकन सहित उपकरण विज्ञापित किए।
सुरक्षा फर्म के अनुसार, सेवा ने "स्वचालित राजस्व-साझाकरण" भी पेश किया, जिससे सफल फ़िशिंग हमलों से प्राप्त आय को मैन्युअल हस्तांतरण के बिना प्रतिभागियों के बीच विभाजित किया जा सके।
हाइपरलिक्विड मामले में, सालस ने फ़िशिंग समूह और बैकएंड सेवा को अलग-अलग भूमिकाएँ दीं। समूह ने प्रायोजित विज्ञापन खरीदे, स्पूफ किए गए हाइपरलिक्विड एंट्री पॉइंट को डिप्लॉय किया, और प्राप्त होने वाली आय के लिए निर्दिष्ट पता प्रदान किया। एक बार जब पीड़ित ने दुर्भावनापूर्ण लेनदेन को मंजूरी दे दी और फंड ले लिए गए, तो बुनियादी ढांचे ने स्वचालित रूप से विभाजन को संभाला।
सालस के अनुसार, पता 0x98b276…13C55 को 80% आय मिली, जबकि 0x93b6B2…1d6D1 को 15% और 0x6fE314…B566 को 5% मिली। एक चौथे पते, 0x9bcd…9104a ने ड्रेन को निष्पादित किया।
13 अगस्त की घटना पर पहले की रिपोर्टिंग में लगभग 550,019 USDC तीन हस्तांतरणों में चलते हुए दिखाए गए, जिनमें लगभग 440,015 USDC, 82,503 USDC और 27,501 USDC सुरक्षा शोधकर्ताओं द्वारा हमलावर-नियंत्रित के रूप में पहचाने गए पतों पर गए। चोरी के बाद प्रकाशित रिपोर्टों के अनुसार, Google ने बाद में रिपोर्ट किए गए अभियान से जुड़े विज्ञापनदाता को निलंबित कर दिया।
सालस द्वारा वर्णित सेटअप एक ऐसे मॉडल का अनुसरण करता है जिसमें फ़िशिंग ऑपरेटर विज्ञापन, नकली वेबसाइटों और पीड़ित को लक्षित करने पर ध्यान केंद्रित करते हुए तैयार वॉलेट-ड्रेनिंग बुनियादी ढांचे का उपयोग कर सकते हैं।
जैसा कि crypto.news ने जुलाई 2026 में समझाया था, वॉलेट ड्रेनर सेवाएं दुर्भावनापूर्ण अनुमतियों के इर्द-गिर्द बनाई गई हैं जो एक हमलावर-नियंत्रित अनुबंध को उपयोगकर्ता द्वारा लेनदेन पर हस्ताक्षर करने के बाद टोकन स्थानांतरित करने की अनुमति देती हैं। रिपोर्ट में ड्रेनर-एज-ए-सर्विस ऑपरेशनों को एक ऐसे उद्योग के रूप में भी वर्णित किया गया है जिसमें डेवलपर्स दुर्भावनापूर्ण सॉफ्टवेयर की आपूर्ति करते हैं और पीड़ितों को लाने वाले सहयोगियों के साथ चोरी की आय साझा करते हैं।
ऐसा बुनियादी ढांचा दृश्य फ़िशिंग अभियान को अनुमतियों को संसाधित करने और संपत्तियों को स्थानांतरित करने के लिए उपयोग किए जाने वाले सॉफ़्टवेयर से अलग कर सकता है। नवीनतम मामले में, सालस ने कहा कि विज्ञापित पैकेज में प्रारंभिक ड्रेनिंग उपकरण और बाद के चरण जैसे क्रॉस-चेन निकासी, स्वैप, समेकन और लाभ वितरण दोनों शामिल थे।
इन्फर्नो को अन्य बड़े अनुमोदन-फ़िशिंग मामलों से जोड़ा गया है। मई 2026 की कॉइनबेस मुकदमे की रिपोर्ट में एक गुमनाम निवेशक को शामिल किया गया था जिसने आरोप लगाया था कि अगस्त 2024 में पीड़ित के एक नकली लॉगिन पेज के साथ इंटरैक्ट करने के बाद लगभग $55 मिलियन मूल्य के DAI चोरी हो गए थे। शिकायत में कहा गया है कि हमलावर ने इन्फर्नो ड्रेनर का इस्तेमाल किया, जबकि ब्लॉकचेन सुरक्षा फर्म जीरो शैडो ने बाद में चोरी की गई संपत्ति के एक हिस्से का पता कॉइनबेस खुदरा खाते में लगाया।
हाइपरलिक्विड पीड़ित से आगे बढ़ते हुए, सालस ने कहा कि बुनियादी ढांचे से जुड़े समूहों को कई फ़िशिंग घटनाओं में लगभग $52.74 मिलियन के कुल नुकसान से जोड़ा गया था।
फर्म द्वारा उद्धृत सबसे बड़े मामलों में से एक में सितंबर 2025 के UXLINK एक्सप्लॉइट के पीछे का हमलावर शामिल था। 23 सितंबर, 2025 को, हमलावर बाद में एक अनुमोदन-फ़िशिंग हमले का शिकार हो गया जिसने लगभग 542 मिलियन UXLINK टोकन स्थानांतरित कर दिए।
सितंबर 2025 की UXLINK फ़िशिंग रिपोर्ट में कहा गया है कि स्कैमस्निफर ने एक दुर्भावनापूर्ण increaseAllowance अनुमोदन का पता लगाया जिसने फ़िशिंग पतों को उस समय $43 मिलियन से अधिक मूल्य के UXLINK को निकालने में सक्षम बनाया। स्लोमिस्ट के संस्थापक यू शियान ने कहा कि चोरी संभवतः इन्फर्नो ड्रेनर द्वारा एक प्राधिकरण-फ़िशिंग विधि का उपयोग करके की गई थी।
फ़िशिंग घटना मूल UXLINK समझौता के एक दिन बाद हुई। हमलावरों ने परियोजना के बहु-हस्ताक्षर वॉलेट में एक डेलिगेटकॉल भेद्यता का फायदा उठाया था, व्यवस्थापक विशेषाधिकार प्राप्त किए थे, और लगभग $11.3 मिलियन मूल्य की संपत्ति को स्थानांतरित किया था, जबकि अनधिकृत टोकन खनन ने और व्यवधान पैदा किया। बाद की फ़िशिंग चोरी ने हमलावर के अपने वॉलेट से करोड़ों UXLINK हटा दिए।
सालस ने 15 अप्रैल, 2026 को CoW.fi से जुड़ी एक घटना से भी बुनियादी ढांचे को जोड़ा। सुरक्षा फर्म के अनुसार, प्रोटोकॉल का आधिकारिक डोमेन हाईजैक कर लिया गया था, और एक संबंधित पीड़ित ने लगभग 316,000 USDC खो दिए थे।
सालस द्वारा उद्धृत एक तीसरी घटना 9 जुलाई को हुई, जब एक संदिग्ध नकली विकेन्द्रीकृत एप्लिकेशन या नकली एयरड्रॉप ने एक दुर्भावनापूर्ण अनुमोदन को प्रेरित किया जिसके परिणामस्वरूप 999,999 USDT की चोरी हुई। फर्म के मामले के विवरण के अनुसार, स्कैमस्निफर ने लेनदेन की सूचना दी थी।
हाइपरलिक्विड मामला अन्य फ़िशिंग ऑपरेशनों का अनुसरण करता है जिसमें हमलावरों ने पहचानने योग्य क्रिप्टो ब्रांडों की नकल की और संभावित पीड़ितों के सामने दुर्भावनापूर्ण पृष्ठ रखने के लिए परिचित ऑनलाइन सेवाओं या विकास प्लेटफार्मों का उपयोग किया।
मार्च 2026 की ओपनक्लाउ फ़िशिंग रिपोर्ट में हमलावरों द्वारा नकली गिटहब खाते और क्लोन की गई वेबसाइटें बनाने का वर्णन किया गया था, इससे पहले कि डेवलपर्स को दुर्भावनापूर्ण वॉलेट-कनेक्शन प्रॉम्प्ट पर निर्देशित किया जाता। OX सिक्योरिटी ने कहा कि अभियान में अस्पष्ट कोड का इस्तेमाल किया गया था और नकली टोकन प्रस्तावों के साथ उपयोगकर्ताओं को लक्षित किया गया था, हालांकि उस समय किसी भी पुष्टि किए गए पीड़ितों की सूचना नहीं मिली थी।
13 अगस्त की हाइपरलिक्विड चोरी के लिए, सालस ने कहा कि उसकी जांच में बाद के फंड प्रवाह, सेवा बुनियादी ढांचे और फ़िशिंग ऑपरेटरों की भर्ती के लिए उपयोग किए गए खाते शामिल थे। फर्म ने कहा कि सभी सहायक सबूत, पहचाने गए उच्च जोखिम वाले पते और संबंधित खुफिया जानकारी को औपचारिक रूप से संबंधित संगठनों को जोखिम लेबलिंग और समन्वित कार्रवाई के लिए प्रस्तुत किया गया था।
USDC
DAI
