Користувач Hyperliquid втратив близько 550 000 USDC після того, як спонсорована реклама Google спрямувала жертву на підроблену версію децентралізованої торгової платформи, а слідчі пов'язали інфраструктуру крадіжки з екосистемою дренажера Inferno.

Компанія з блокчейн-безпеки Salus повідомила у дописі від 24 серпня на X, що крадіжка сталася 13 серпня і стосувалася підробленого веб-сайту Hyperliquid, який рекламувався через платні результати пошуку Google. Простеживши викрадені кошти та переглянувши інфраструктуру за сторінкою, компанія заявила, що пов'язала операцію з професійною мережею "дренажер-як-послуга", асоційованою з Inferno.

У фішинговому випадку Hyperliquid використовувалася автоматизована інфраструктура крадіжок

Salus заявила, що її таємне розслідування виявило, що сервіс залучав клієнтів через акаунт Telegram @AngelFernoOwner. Оператор рекламував інструменти, включаючи шкідливі скрипти, адміністративні панелі, генерацію команд для схвалення, одноразове розгортання контракту, автоматизоване виведення коштів, крос-чейн виведення, обмін токенами та консолідацію коштів.

За даними охоронної фірми, сервіс також пропонував "автоматичний розподіл прибутку", що дозволяло розділяти доходи від успішних фішингових атак між учасниками без ручних переказів.

У справі Hyperliquid Salus приписала окремі ролі фішинговій групі та бекенд-сервісу. Група купувала спонсоровану рекламу, розгортала підроблений вхідний шлюз Hyperliquid і надавала адресу, призначену для отримання доходів. Як тільки жертва схвалювала шкідливу транзакцію і кошти були виведені, інфраструктура автоматично здійснювала розподіл.

За даними Salus, адреса 0x98b276…13C55 отримала 80% доходів, тоді як 0x93b6B2…1d6D1 отримала 15%, а 0x6fE314…B566 отримала 5%. Четверта адреса, 0x9bcd…9104a, виконала виведення коштів.

Раніше повідомлення про інцидент 13 серпня показали, що приблизно 550 019 USDC переміщувалися трьома транзакціями: близько 440 015 USDC, 82 503 USDC та 27 501 USDC на адреси, ідентифіковані дослідниками безпеки як контрольовані зловмисниками. Google пізніше призупинив діяльність рекламодавця, пов'язаного з повідомленою кампанією, згідно з звітами, опублікованими після крадіжки.

Модель "дренажер-як-послуга" надає готові фішингові інструменти

Описана Salus схема відповідає моделі, в якій фішингові оператори можуть використовувати готову інфраструктуру для виведення коштів з гаманців, зосереджуючись на рекламі, підроблених веб-сайтах та націлюванні на жертв.

Як пояснював crypto.news у липні 2026 року, сервіси виведення коштів з гаманців побудовані на шкідливих схваленнях, які дозволяють контракту, контрольованому зловмисником, переказувати токени після того, як користувач підписує транзакцію. У звіті також описувалася діяльність "дренажер-як-послуга" як галузь, в якій розробники надають шкідливе програмне забезпечення та діляться викраденими доходами з афіліатами, які залучають жертв.

Така інфраструктура може відокремити видиму фішингову кампанію від програмного забезпечення, що використовується для обробки схвалень та переміщення активів. В останньому випадку Salus заявила, що рекламований пакет охоплював як початкові інструменти виведення коштів, так і пізніші етапи, такі як крос-чейн виведення, обмін, консолідація та розподіл прибутку.

Inferno було пов'язано з іншими великими фішинговими атаками, що використовували схвалення. Звіт про позов Coinbase у травні 2026 року стосувався анонімного інвестора, який стверджував, що близько 55 мільйонів доларів у DAI було викрадено у серпні 2024 року після того, як жертва взаємодіяла з підробленою сторінкою входу. У скарзі було зазначено, що зловмисник використовував Inferno Drainer, тоді як фірма з блокчейн-безпеки Zero Shadow пізніше відстежила частину викрадених активів до роздрібного рахунку Coinbase.

Salus пов'язує інфраструктуру з втратами на суму 52,74 мільйона доларів

Відстежуючи не тільки жертву Hyperliquid, Salus заявила, що групи, пов'язані з інфраструктурою, були причетні до загальних втрат на суму близько 52,74 мільйона доларів у результаті численних фішингових інцидентів.

Один з найбільших випадків, наведений фірмою, стосувався зловмисника, який стояв за експлойтом UXLINK у вересні 2025 року. 23 вересня 2025 року зловмисник пізніше сам став жертвою фішингової атаки, що використовувала схвалення, в результаті якої було переміщено близько 542 мільйонів токенів UXLINK.

У фішинговому звіті UXLINK за вересень 2025 року ScamSniffer повідомив про виявлення шкідливого схвалення increaseAllowance, яке дозволило фішинговим адресам вивести понад 43 мільйони доларів США в токенах UXLINK на той час. Засновник SlowMist Ю Сіань заявив, що крадіжка, ймовірно, була здійснена Inferno Drainer за допомогою методу фішингу авторизації.

Фішинговий інцидент стався через день після оригінального компромісу UXLINK. Зловмисники скористалися вразливістю delegateCall у мультипідписному гаманці проекту, отримали привілеї адміністратора та перемістили близько 11,3 мільйона доларів США в активах, тоді як несанкціоноване карбування токенів викликало подальші збої. Пізніша фішингова крадіжка вилучила сотні мільйонів UXLINK з власного гаманця експлойтера.

Salus також пов'язала інфраструктуру з інцидентом 15 квітня 2026 року за участю CoW.fi. За даними охоронної фірми, офіційний домен протоколу був викрадений, і одна пов'язана жертва втратила близько 316 000 USDC.

Третій інцидент, наведений Salus, стався 9 липня, коли підозрювана підроблена децентралізована програма або підроблений аірдроп спонукали до шкідливого схвалення, що призвело до крадіжки 999 999 USDT. ScamSniffer повідомив про транзакцію, згідно з даними фірми про цю справу.

Докази та високоризикові адреси надіслано для вжиття заходів

Випадок з Hyperliquid слідує за іншими фішинговими операціями, в яких зловмисники копіювали впізнавані крипто-бренди та використовували знайомі онлайн-сервіси або платформи розробки для розміщення шкідливих сторінок перед потенційними жертвами.

У фішинговому звіті OpenClaw за березень 2026 року описувалися зловмисники, які створювали підроблені облікові записи GitHub та клоновані веб-сайти, перш ніж спрямовувати розробників до шкідливих запитів на підключення гаманців. OX Security заявила, що кампанія використовувала обфускований код і націлювалася на користувачів з підробленими пропозиціями токенів, хоча на той час не було повідомлено про підтверджених жертв.

Щодо крадіжки Hyperliquid 13 серпня, Salus заявила, що її розслідування охопило подальші потоки коштів, сервісну інфраструктуру та облікові записи, які використовувалися для вербування фішингових операторів. Фірма заявила, що всі підтверджуючі докази, ідентифіковані високоризикові адреси та пов'язані розвідувальні дані були офіційно подані до відповідних організацій для маркування ризиків та скоординованих дій.