Пользователь Hyperliquid потерял $550K USDC из-за фишинговой атаки через поддельное объявление в Google

Пользователь Hyperliquid потерял около 550 000 USDC после перехода по вредоносному рекламному объявлению в поиске Google 13 августа. Сооснователь FlashRescue Дарси сообщил об инциденте и выявил три адреса, предположительно контролируемые злоумышленником. Данные блокчейна подтвердили переводы примерно 440 015 USDC, 82 503 USDC и 27 501 USDC на эти адреса. Похоже, атака является частью более широкой кампании, нацеленной на пользователей криптовалют через мошеннические рекламные результаты поиска: ранее в этом году Security Alliance задокументировала 356 вредоносных рекламных URL-адресов, включая 17 сайтов, выдававших себя за Hyperliquid.

Данные блокчейна подтверждают схему переводов на три адреса

Данные блокчейна показали перемещение примерно 550 019 USDC на три адреса, выявленных Дарси. Переводы включали около 440 015 USDC, 82 503 USDC и 27 501 USDC. Они подтверждают перемещение средств, но сами по себе не доказывают, каким образом жертву обманули. Связь с мошенническим рекламным объявлением Google установлена на основании расследования Дарси и представленных жертвой свидетельств.

Google приостановила деятельность рекламодателя после сообщения об инциденте

Google приостановила деятельность рекламодателя, связанного с этой кампанией. Компания заявила, что придерживается политики абсолютной нетерпимости к мошенничеству, и сообщила, что в 2025 году её системы не допустили к показу более 99% объявлений, нарушавших правила. Отдельно Google сообщила, что в прошлом году удалила или заблокировала более 8,3 миллиарда объявлений, включая 602 миллиона объявлений, связанных с мошенничеством.

Security Alliance задокументировала 356 вредоносных рекламных URL-адресов

Ранее в этом году Security Alliance задокументировала 356 вредоносных рекламных URL-адресов, включая 17 сайтов, выдававших себя за Hyperliquid. Организация заявила, что вредоносная реклама Google Ads размещается стабильно уже более года, а злоумышленники часто переключаются между крупными DeFi-брендами. По данным SEAL, только с 13 по 30 марта подтверждённые и предполагаемые потери от вредоносной рекламы Google составили около 1,27 миллиона долларов; организация предупредила, что реальная сумма, вероятно, выше.

Злоумышленники используют системы клоакинга для обхода проверок безопасности

В некоторых кампаниях используются взломанные или незаконно приобретённые верифицированные аккаунты рекламодателей, а также системы клоакинга, предназначенные для обмана автоматических проверок безопасности. SEAL обнаружила, что злоумышленники используют доверенные страницы, размещённые в сервисах Google, в качестве первоначального слоя, а затем загружают вредоносный контент через вторичные фреймы. Благодаря этому страница, которую видят системы безопасности, может отличаться от страницы, получаемой целевой жертвой. Организация также заметила, что криптодрейнеры используют JavaScript в браузере, чтобы убеждать жертв подписывать вредоносные транзакции. В настоящее время нет общедоступных доказательств того, какая технология дрейнера использовалась в последнем инциденте с Hyperliquid. Доказательств компрометации протокола Hyperliquid нет.

Часто задаваемые вопросы

Что произошло с пользователем Hyperliquid 13 августа?

Пользователь Hyperliquid потерял около 550 000 USDC после перехода по вредоносному рекламному объявлению в поиске Google, которое перенаправило его на сайт, выдававший себя за платформу для торговли криптовалютами. Сооснователь FlashRescue Дарси сообщил об инциденте и выявил три адреса, предположительно контролируемые злоумышленником.

Сколько вредоносных объявлений, имитировавших криптовалютные платформы, обнаружила Security Alliance?

Ранее в этом году Security Alliance задокументировала 356 вредоносных рекламных URL-адресов, включая 17 сайтов, выдававших себя за Hyperliquid. Только с 13 по 30 марта организация зафиксировала подтверждённые и предполагаемые потери от вредоносной рекламы Google в размере около 1,27 миллиона долларов.