Usuário da Hyperliquid perde $550K em USDC após ataque de phishing por meio de anúncio falso no Google

Um usuário da Hyperliquid perdeu aproximadamente US$ 550.000 em USDC após clicar em um anúncio malicioso nos resultados de pesquisa do Google em 13 de agosto. Darcy, cofundador da FlashRescue, relatou o incidente e identificou três endereços supostamente controlados pelo atacante, com dados da blockchain confirmando transferências de aproximadamente 440.015 USDC, 82.503 USDC e 27.501 USDC para esses endereços. O ataque parece fazer parte de uma campanha mais ampla que visa usuários de criptoativos por meio de resultados de pesquisa patrocinados fraudulentos, com a Security Alliance documentando 356 URLs de anúncios maliciosos no início deste ano, incluindo 17 sites que se passavam pela Hyperliquid.

Dados da Blockchain Confirmam Padrão de Transferências para Três Endereços

Os dados da blockchain mostraram que aproximadamente 550.019 USDC foram enviados para três endereços identificados por Darcy. As transferências incluíram movimentações de aproximadamente 440.015 USDC, 82.503 USDC e 27.501 USDC. As transferências confirmam que os fundos foram movimentados, mas não comprovam de forma independente como a vítima foi enganada. A conexão com o anúncio fraudulento do Google vem da investigação de Darcy e das evidências relatadas pela vítima.

Google Suspende Anunciante Após Relato do Incidente

O Google suspendeu o anunciante associado à campanha. A empresa afirmou ter tolerância zero para fraudes e disse que seus sistemas impediram a veiculação de mais de 99% dos anúncios que violavam suas políticas em 2025. O Google informou separadamente que removeu ou bloqueou mais de 8,3 bilhões de anúncios no ano passado, incluindo 602 milhões relacionados a golpes.

Security Alliance Documenta 356 URLs de Anúncios Maliciosos

A Security Alliance documentou 356 URLs de anúncios maliciosos no início deste ano, incluindo 17 sites que se passavam pela Hyperliquid. A organização afirmou que anúncios maliciosos do Google têm sido implantados em um ritmo constante há mais de um ano, com os atacantes alternando frequentemente entre grandes marcas de DeFi. A SEAL registrou aproximadamente US$ 1,27 milhão em perdas confirmadas e suspeitas decorrentes de anúncios maliciosos do Google apenas entre 13 e 30 de março, e alertou que o número real provavelmente é maior.

Atacantes Implantam Sistemas de Camuflagem para Burlar Verificações de Segurança

Algumas campanhas usam contas verificadas de anunciantes que foram invadidas ou compradas ilegalmente, juntamente com sistemas de camuflagem projetados para enganar verificações de segurança automatizadas. A SEAL descobriu que os atacantes usam páginas hospedadas pelo Google e consideradas confiáveis como uma camada inicial antes de carregar conteúdo malicioso por meio de frames secundários. Isso permite que a página exibida aos sistemas de segurança seja diferente daquela recebida pela vítima visada. A organização também observou drenadores de criptoativos usando JavaScript executado no navegador para persuadir as vítimas a assinar transações maliciosas. Atualmente, não há evidências públicas que estabeleçam qual tecnologia de drenagem foi usada no incidente mais recente da Hyperliquid. Não há evidências de que o protocolo da Hyperliquid tenha sido comprometido.

Perguntas Frequentes

O que aconteceu com o usuário da Hyperliquid em 13 de agosto?

Um usuário da Hyperliquid perdeu aproximadamente US$ 550.000 em USDC após clicar em um anúncio malicioso nos resultados de pesquisa do Google que o direcionou a um site que se passava pela plataforma de negociação de criptoativos. Darcy, cofundador da FlashRescue, relatou o incidente e identificou três endereços supostamente controlados pelo atacante.

Quantos anúncios maliciosos que se passavam por plataformas de criptoativos a Security Alliance encontrou?

A Security Alliance documentou 356 URLs de anúncios maliciosos no início deste ano, incluindo 17 sites que se passavam pela Hyperliquid. A organização registrou aproximadamente US$ 1,27 milhão em perdas confirmadas e suspeitas decorrentes de anúncios maliciosos do Google apenas entre 13 e 30 de março.