Hyperliquid : un utilisateur perd 550 000 $ après avoir cliqué sur une fausse publicité Google

550 000 USDC drainés après un clic sur une publicité sponsorisée

Un utilisateur d'Hyperliquid aurait perdu environ 550 000 USDC à la suite d'une attaque de phishing relayée par une publicité sponsorisée dans les résultats de recherche Google.

Selon Darcy, cofondateur de la société de traçage et de récupération d'actifs numériques FlashRescue, la victime aurait été redirigée vers un site imitant l'interface d'Hyperliquid.

Les données blockchain publiées par le spécialiste montreraient trois transferts depuis le wallet de la victime vers des adresses qu'il attribue à l'attaquant.

Dans ce type d'attaque, la technologie blockchain n'est pas nécessairement compromise : l'attaquant cherche surtout à tromper l'utilisateur afin qu'il signe une action ou divulgue des informations sensibles sur un faux site.

Le faux site imitait Hyperliquid

La tactique repose sur la création d'un site visuellement proche de l'interface officielle d'Hyperliquid.

L'attaquant achète ensuite une publicité Google afin que ce faux site apparaisse dans les résultats sponsorisés lorsqu'un utilisateur recherche la plateforme.

La présence d'une annonce en haut des résultats peut donner un sentiment de légitimité, alors qu'il s'agit simplement d'un emplacement publicitaire acheté par l'annonceur.

Google affirme avoir suspendu l'annonceur

Google a déclaré à The Block avoir suspendu le compte publicitaire concerné.

Le groupe affirme appliquer une politique de tolérance zéro envers les escroqueries et indique bloquer la grande majorité des annonces qui enfreignent ses règles avant leur diffusion.

Google affirme également avoir supprimé plus de 602 millions de publicités liées à des escroqueries au cours de l'année précédente.

Un problème déjà identifié depuis plusieurs années

Les publicités malveillantes visant les utilisateurs crypto ne sont pas nouvelles.

The Block avait déjà documenté cette tactique dès 2020, lorsque des escrocs achetaient des annonces visant les utilisateurs de protocoles comme Balancer ou Uniswap.

Le fonctionnement général reste similaire : un lien sponsorisé redirige vers un site ressemblant à l'original et cherche à obtenir une action compromettante de la victime.

SEAL avait bloqué 356 URL malveillantes en quelques semaines

En avril, l'organisation de cybersécurité Security Alliance, également connue sous le nom de SEAL, indiquait avoir bloqué 356 URL malveillantes diffusées via Google Ads sur une période de plusieurs semaines.

Plusieurs de ces liens imitaient déjà Hyperliquid.

Selon SEAL, Google avait suspendu les comptes publicitaires répertoriés dans son rapport.

Les attaquants réutilisent des comptes publicitaires compromis

SEAL explique que les fraudeurs peuvent utiliser des comptes publicitaires compromis ou achetés illicitement afin d'échapper aux systèmes automatisés de détection.

Cette méthode permet parfois à une campagne d'être diffusée pendant quelques minutes avant d'être repérée et supprimée.

Pour les attaquants, une seule victime disposant d'un wallet important peut suffire à rendre l'opération rentable malgré les coûts liés à la création répétée de nouveaux domaines et comptes publicitaires.

Quelques minutes peuvent suffire pour trouver une victime

Selon SEAL, certaines annonces frauduleuses ne restent en ligne que quelques minutes avant d'être désactivées.

Mais ce laps de temps peut déjà être suffisant pour qu'un utilisateur clique sur le lien et soit redirigé vers le faux site.

Les pertes potentielles élevées dans l'écosystème crypto incitent donc les attaquants à recréer continuellement de nouvelles campagnes malgré les suppressions.

Hyperliquid n'est pas la seule cible

Les attaquants privilégient généralement les protocoles disposant d'une forte valeur verrouillée ou d'une base d'utilisateurs importante.

SEAL cite notamment les grandes applications Ethereum ainsi que des protocoles natifs de Solana comme Jupiter, Raydium ou Pump.fun.

Plus une plateforme est connue et utilisée, plus un faux site peut bénéficier d'un grand nombre de recherches susceptibles d'être détournées par une publicité frauduleuse.

Le risque est particulièrement élevé avec les wallets non custodiaux

Dans la finance décentralisée, l'utilisateur contrôle directement ses actifs et les signatures effectuées depuis son wallet.

Cette autonomie réduit la dépendance à un intermédiaire, mais elle signifie aussi qu'une signature malveillante ou un transfert vers une mauvaise adresse peut devenir irréversible.

Contrairement à une transaction bancaire classique, il n'existe généralement pas de procédure permettant d'annuler automatiquement un transfert blockchain confirmé.

Vérifier l'URL reste essentiel

Pour réduire le risque, les utilisateurs devraient éviter de se rendre sur une plateforme financière ou crypto en cliquant sur une publicité sponsorisée.

Il est préférable d'utiliser une adresse enregistrée dans les favoris, un lien provenant de la documentation officielle ou une application vérifiée.

L'URL doit être contrôlée caractère par caractère avant toute connexion de wallet ou signature.

Une signature peut être aussi dangereuse qu'un transfert

Un faux site n'a pas toujours besoin de demander directement une seed phrase.

Il peut simplement présenter une transaction ou une autorisation apparemment légitime et pousser l'utilisateur à la signer.

Selon le type d'autorisation accordée, l'attaquant peut ensuite disposer de droits lui permettant de déplacer certains actifs.

La vigilance doit donc porter autant sur le contenu des signatures que sur les informations saisies dans une page web.

Les extensions de sécurité peuvent apporter une couche supplémentaire

Des extensions de navigateur et outils spécialisés peuvent signaler certains domaines connus comme malveillants ou afficher plus clairement le contenu d'une transaction avant signature.

Ces outils ne constituent cependant pas une protection absolue, car les attaquants créent continuellement de nouveaux domaines.

La vérification manuelle de l'URL et de la transaction reste donc indispensable.

Une attaque attribuée par un spécialiste, pas encore confirmée par Hyperliquid

Il est important de distinguer les faits observables des conclusions attribuées au spécialiste en sécurité.

The Block rapporte que Darcy a identifié trois transferts et attribue les adresses de destination à l'attaquant.

Au moment de la publication, Hyperliquid n'avait pas répondu à la demande de commentaire du média.

L'article doit donc être lu comme le récit d'un incident attribué à une campagne de phishing sur la base d'une analyse externe, et non comme une confirmation officielle par Hyperliquid.

Le phishing reste l'un des principaux risques pour les utilisateurs crypto

L'incident rappelle que les pertes crypto ne proviennent pas uniquement de failles dans les smart contracts ou les protocoles.

L'ingénierie sociale, les faux sites, les faux comptes et les publicités sponsorisées restent des vecteurs très efficaces.

Le développement d'outils de sécurité plus performants réduit une partie du risque, mais il ne peut pas supprimer entièrement la nécessité pour l'utilisateur de vérifier chaque interaction avec son wallet.