Seorang pengguna Hyperliquid telah kehilangan sekitar 550.000 USDC setelah iklan bersponsor Google mengarahkan korban ke versi palsu dari platform perdagangan terdesentralisasi tersebut, dengan para penyelidik mengaitkan infrastruktur pencurian itu dengan ekosistem drainer Inferno.
Perusahaan keamanan blockchain Salus menyatakan dalam unggahan 24 Agustus di X bahwa pencurian itu terjadi pada 13 Agustus dan melibatkan situs web Hyperliquid palsu yang dipromosikan melalui hasil pencarian Google berbayar. Setelah melacak dana yang dicuri dan meninjau infrastruktur di balik halaman tersebut, perusahaan itu mengatakan telah menghubungkan operasi tersebut dengan jaringan drainer-as-a-service profesional yang terkait dengan Inferno.
Salus mengatakan investigasi rahasianya menemukan bahwa layanan tersebut mencari pelanggan melalui akun Telegram @AngelFernoOwner. Operator tersebut mengiklankan alat-alat termasuk skrip berbahaya, panel administratif, pembuatan perintah persetujuan, penerapan kontrak satu kali, pengurasan otomatis, penarikan lintas-rantai, pertukaran token, dan konsolidasi dana.
Layanan tersebut juga menawarkan “pembagian pendapatan otomatis,” menurut perusahaan keamanan itu, memungkinkan hasil dari serangan phishing yang berhasil dibagi di antara peserta tanpa transfer manual.
Dalam kasus Hyperliquid, Salus mengaitkan peran terpisah kepada kelompok phishing dan layanan backend. Kelompok tersebut membeli iklan bersponsor, menyebarkan titik masuk Hyperliquid yang dipalsukan, dan menyediakan alamat yang ditunjuk untuk menerima hasilnya. Setelah korban menyetujui transaksi berbahaya dan dana diambil, infrastruktur menangani pembagian secara otomatis.
Menurut Salus, alamat 0x98b276…13C55 menerima 80% dari hasilnya, sementara 0x93b6B2…1d6D1 menerima 15% dan 0x6fE314…B566 menerima 5%. Alamat keempat, 0x9bcd…9104a, mengeksekusi pengurasan tersebut.
Laporan sebelumnya tentang insiden 13 Agustus menunjukkan sekitar 550.019 USDC bergerak dalam tiga transfer sekitar 440.015 USDC, 82.503 USDC, dan 27.501 USDC ke alamat yang diidentifikasi oleh peneliti keamanan sebagai dikendalikan penyerang. Google kemudian menangguhkan pengiklan yang terkait dengan kampanye yang dilaporkan, menurut laporan yang diterbitkan setelah pencurian tersebut.
Pengaturan yang dijelaskan oleh Salus mengikuti model di mana operator phishing dapat menggunakan infrastruktur penguras dompet yang siap pakai sambil berkonsentrasi pada periklanan, situs web palsu, dan penargetan korban.
Seperti yang dijelaskan crypto.news pada Juli 2026, layanan penguras dompet dibangun di sekitar persetujuan berbahaya yang memungkinkan kontrak yang dikendalikan penyerang untuk mentransfer token setelah pengguna menandatangani transaksi. Laporan tersebut juga menggambarkan operasi drainer-as-a-service sebagai sebuah industri di mana pengembang menyediakan perangkat lunak berbahaya dan membagikan hasil curian dengan afiliasi yang membawa korban.
Infrastruktur semacam itu dapat memisahkan kampanye phishing yang terlihat dari perangkat lunak yang digunakan untuk memproses persetujuan dan memindahkan aset. Dalam kasus terbaru ini, Salus mengatakan paket yang diiklankan mencakup alat pengurasan awal dan tahapan selanjutnya seperti penarikan lintas-rantai, pertukaran, konsolidasi, dan distribusi keuntungan.
Inferno telah dikaitkan dengan kasus phishing persetujuan besar lainnya. Laporan gugatan Coinbase Mei 2026 mencakup seorang investor anonim yang menuduh bahwa sekitar $55 juta DAI dicuri pada Agustus 2024 setelah korban berinteraksi dengan halaman masuk palsu. Keluhan tersebut mengatakan penyerang menggunakan Inferno Drainer, sementara perusahaan keamanan blockchain Zero Shadow kemudian melacak sebagian aset yang dicuri ke akun ritel Coinbase.
Melacak di luar korban Hyperliquid, Salus mengatakan kelompok yang terkait dengan infrastruktur tersebut dihubungkan dengan total kerugian sekitar $52,74 juta di beberapa insiden phishing.
Salah satu kasus terbesar yang disebutkan oleh perusahaan tersebut melibatkan penyerang di balik eksploitasi UXLINK September 2025. Pada 23 September 2025, penyerang kemudian menjadi korban serangan phishing persetujuan yang memindahkan sekitar 542 juta token UXLINK.
Laporan phishing UXLINK September 2025 mengatakan ScamSniffer mendeteksi persetujuan increaseAllowance berbahaya yang memungkinkan alamat phishing untuk menguras lebih dari $43 juta nilai UXLINK pada saat itu. Pendiri SlowMist, Yu Xian, mengatakan pencurian itu kemungkinan dilakukan oleh Inferno Drainer menggunakan metode phishing otorisasi.
Insiden phishing tersebut menyusul kompromi UXLINK asli sehari sebelumnya. Penyerang telah mengeksploitasi kerentanan delegateCall di dompet multi-tanda tangan proyek, memperoleh hak istimewa administrator, dan memindahkan sekitar $11,3 juta aset, sementara pencetakan token tidak sah menyebabkan gangguan lebih lanjut. Pencurian phishing kemudian menghapus ratusan juta UXLINK dari dompet penyerang itu sendiri.
Salus juga mengaitkan infrastruktur tersebut dengan insiden 15 April 2026 yang melibatkan CoW.fi. Menurut perusahaan keamanan itu, domain resmi protokol tersebut diretas, dan satu korban terkait kehilangan sekitar 316.000 USDC.
Insiden ketiga yang disebutkan oleh Salus terjadi pada 9 Juli, ketika aplikasi terdesentralisasi palsu yang dicurigai atau airdrop palsu memicu persetujuan berbahaya yang mengakibatkan pencurian 999.999 USDT. ScamSniffer telah melaporkan transaksi tersebut, menurut laporan perusahaan tentang kasus tersebut.
Kasus Hyperliquid mengikuti operasi phishing lainnya di mana penyerang menyalin merek kripto yang dikenal dan menggunakan layanan online atau platform pengembangan yang familiar untuk menempatkan halaman berbahaya di depan calon korban.
Laporan phishing OpenClaw Maret 2026 menjelaskan penyerang membuat akun GitHub palsu dan situs web yang dikloning sebelum mengarahkan pengembang ke permintaan koneksi dompet yang berbahaya. OX Security mengatakan kampanye tersebut menggunakan kode yang di-obfuscate dan menargetkan pengguna dengan penawaran token palsu, meskipun belum ada korban yang dikonfirmasi pada saat itu.
Untuk pencurian Hyperliquid 13 Agustus, Salus mengatakan investigasinya mencakup aliran dana berikutnya, infrastruktur layanan, dan akun yang digunakan untuk merekrut operator phishing. Perusahaan tersebut mengatakan semua bukti pendukung, alamat berisiko tinggi yang teridentifikasi, dan intelijen terkait telah secara resmi diserahkan kepada organisasi terkait untuk pelabelan risiko dan tindakan terkoordinasi.
