Un usuario de HyperSwap pierde 12.300 dólares en un ataque de phishing por un airdrop falso de 84 segundos

Un usuario de HyperSwap perdió aproximadamente 12.300 USD el 29 de junio después de hacer clic en un enlace falso de airdrop en X y aprobar una solicitud de wallet que le dio al estafador el control de sus fondos. El ataque, reconstruido por BeInCrypto usando registros públicos de blockchain, ocurrió a las 20:21:51 UTC y duró 84 segundos desde la transferencia del NFT hasta la finalización del puente cross-chain. El estafador transfirió la posición de liquidez de HyperSwap del usuario, representada por el NFT #178549, retiró aproximadamente 3.935 USDC y 116,6 WHYPE, convirtió los fondos a 175,9 HYPE y movió los activos a Ethereum. La operación de phishing explotó una cuenta falsa de X que suplantaba la cuenta oficial de HyperSwap para engañar al usuario y hacer que concediera permisos de transferencia de activos. El análisis de BeInCrypto identificó la dirección de wallet del estafador 0x880C95246D7525b84902E6c040818a7C72d3Aa77, marcada por HashDit como Fake_Phishing3746335, que había estado activa durante 33 días y estaba vinculada a aproximadamente otras 25 direcciones, lo que sugiere múltiples víctimas potenciales.

Scammer Created Fake X Account Promoting Airdrop

La víctima usó HyperSwap, un exchange descentralizado que opera en la blockchain Hyperliquid y que permite a los usuarios comerciar directamente desde sus wallets. La víctima había aportado fondos a un pool de liquidez de HyperSwap, con la posición representada por el NFT #178549 funcionando como un recibo digital que controla los fondos vinculados.

La víctima le dijo a BeInCrypto que vio una publicación en X que promocionaba un airdrop. La publicación parecía provenir de HyperSwap, pero se originó en una cuenta impostora con un identificador que se parecía mucho a la cuenta real de HyperSwap, HyperSwapX, que está vinculada desde el sitio web oficial del proyecto. La víctima siguió el enlace y conectó su wallet, creyendo que comprobaba la elegibilidad para el airdrop. En cambio, aprobó una transacción que dio permiso al estafador para mover su posición de HyperSwap.

Wallet Approval Transferred NFT #178549 Control

A las 20:21:51 UTC del 29 de junio, el estafador usó la aprobación anterior para transferir el NFT #178549 fuera de la wallet de la víctima sin requerir una firma adicional en ese momento. La dirección del estafador, 0x880C95246D7525b84902E6c040818a7C72d3Aa77, fue marcada en registros del explorador HyperEVM como Fake_Phishing3746335 con una etiqueta de "Phish / Hack" reportada por HashDit.

El NFT se movió a otra wallet controlada por el estafador. Veinticinco segundos después, el estafador retiró los fondos detrás del NFT, que contenía aproximadamente 3.935 USDC y 116,6 WHYPE por un valor de alrededor de 12.300 USD en ese momento.

Stolen Funds Converted and Bridged in 84 Seconds

Después de retirar los fondos, la wallet del estafador dio permiso a LI.FI, un puente cross-chain y servicio de swap. BeInCrypto no encontró evidencias de que LI.FI participara en el robo. El estafador convirtió el USDC y WHYPE robados en aproximadamente 175,9 HYPE, y luego hizo el puente del HYPE desde HyperEVM a Ethereum segundos después.

El destino fue la wallet de Ethereum 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D. En Ethereum, esa wallet recibió los fondos y movió 7,035 ETH en adelante en una sola transacción. La wallet se creó poco antes, se usó una vez y quedó casi vacía. Desde la transferencia del NFT hasta la transacción del puente, el robo activo tomó aproximadamente 84 segundos.

Wallet del estafador vinculada a 25 direcciones durante 33 días

Los registros del explorador revisados por BeInCrypto mostraron que la dirección del estafador estuvo activa durante aproximadamente 33 días y estaba vinculada a otras 25 direcciones. El enlace del recurso fraudulento había estado presente en mensajes desde el 26 de junio, según registros de blockchain.

Victim Reported Scam via GitHub and Discord Without Response

La víctima intentó reportar el enlace sospechoso y conseguir que lo eliminaran. Durante una conversación con BeInCrypto, la víctima afirmó que intentó varias formas de advertir al equipo de Hyperliquid sobre la estafa mediante GitHub, pero no recibió respuesta. Según la víctima, el único canal de comunicación activo con HyperSwap era Discord, pero el enlace a este era inválido en el momento en que se redactó este texto. El intento de la víctima de contactar al equipo del ecosistema de Hyperliquid no tuvo éxito, ya que el equipo instó al usuario a contactar directamente con HyperSwap.

La víctima sugirió que empleados de HyperSwap podrían estar involucrados en el robo o que lo están ocultando deliberadamente. BeInCrypto no pudo encontrar información exacta que respalde esas afirmaciones.

FAQ

¿Qué ocurrió en el ataque de phishing de HyperSwap el 29 de junio?
Un usuario de HyperSwap perdió aproximadamente 12.300 USD después de hacer clic en un enlace falso de airdrop en X y aprobar una solicitud de wallet. El estafador transfirió el NFT #178549 que representaba la posición de liquidez de la víctima a las 20:21:51 UTC del 29 de junio, retiró aproximadamente 3.935 USDC y 116,6 WHYPE, convirtió los fondos a 175,9 HYPE y realizó un puente de los activos a Ethereum en 84 segundos.

¿Cómo logró el estafador controlar los fondos de la víctima?
El estafador utilizó una cuenta falsa de X que suplantaba la cuenta oficial de HyperSwap para promocionar un airdrop fraudulento. Cuando la víctima conectó su wallet y aprobó lo que parecía una comprobación de elegibilidad para el airdrop, le concedió permiso para transferir el NFT #178549, que controlaba su posición de liquidez de HyperSwap con un valor aproximado de 12.300 USD.

¿Qué dirección de wallet se usó en el ataque de phishing de HyperSwap?
El estafador usó la dirección de wallet 0x880C95246D7525b84902E6c040818a7C72d3Aa77, que los registros del explorador HyperEVM marcaron como Fake_Phishing3746335 con una etiqueta de "Phish / Hack" reportada por HashDit. Los registros del explorador revisados por BeInCrypto mostraron que esta dirección había estado activa durante aproximadamente 33 días y estaba vinculada a otras 25 direcciones.