Utilizador do HyperSwap perde 12.300 USD num ataque de phishing com airdrop falso de 84 segundos

Um utilizador do HyperSwap perdeu aproximadamente 12.300 dólares a 29 de junho, depois de clicar numa ligação falsa de airdrop no X e aprovar um pedido de carteira que deu ao scammer o controlo dos seus fundos. O ataque, reconstruído pela BeInCrypto com base em registos públicos da blockchain, ocorreu às 20:21:51 UTC e durou 84 segundos, desde a transferência do NFT até à conclusão da ponte cross-chain. O scammer transferiu a posição de liquidez do lesado no HyperSwap, representada pelo NFT #178549, levantou aproximadamente 3.935 USDC e 116,6 WHYPE, converteu os fundos em 175,9 HYPE e moveu os ativos para a Ethereum. A operação de phishing explorou uma conta falsa no X que imitava a conta oficial do HyperSwap para levar o utilizador a conceder permissões de transferência de ativos. A análise da BeInCrypto identificou o endereço da carteira do scammer 0x880C95246D7525b84902E6c040818a7C72d3Aa77, assinalado pela HashDit como Fake_Phishing3746335, que esteve ativo durante 33 dias e estava ligado a cerca de 25 outros endereços, sugerindo múltiplas potenciais vítimas.

Scammer criou conta falsa no X a promover airdrop

A vítima utilizou o HyperSwap, uma bolsa descentralizada executada na blockchain Hyperliquid que permite aos utilizadores negociar directamente a partir das suas carteiras. A vítima tinha disponibilizado fundos para uma pool de liquidez do HyperSwap, com a posição representada pelo NFT #178549, a funcionar como um recibo digital que controla os fundos associados.

A vítima disse à BeInCrypto que viu um post no X a promover um airdrop. O post parecia ter sido publicado a partir do HyperSwap, mas teve origem numa conta de impostor com um identificador muito semelhante ao da conta real do HyperSwap, HyperSwapX, que é referenciada no site oficial do projecto. A vítima seguiu a ligação e ligou a sua carteira, acreditando que estava a verificar a elegibilidade para o airdrop. No entanto, aprovou uma transacção que deu ao scammer permissão para mover a sua posição no HyperSwap.

Wallet Approval Transferred NFT #178549 Control

Às 20:21:51 UTC, a 29 de junho, o scammer usou a aprovação anterior para transferir o NFT #178549 para fora da carteira do lesado, sem exigir uma assinatura adicional nesse momento. O endereço do scammer, 0x880C95246D7525b84902E6c040818a7C72d3Aa77, foi assinalado nos registos do explorador HyperEVM como Fake_Phishing3746335, com uma etiqueta “Phish / Hack” reportada pela HashDit.

O NFT foi enviado para outra carteira controlada pelo scammer. Vinte e cinco segundos depois, o scammer levantou os fundos por trás do NFT, que continha aproximadamente 3.935 USDC e 116,6 WHYPE, no valor de cerca de 12.300 dólares na altura.

Fundos roubados convertidos e encaminhados na ponte em 84 segundos

Depois de levantar os fundos, a carteira do scammer concedeu permissão à LI.FI, uma ponte e serviço de swap cross-chain. A BeInCrypto não encontrou provas de que a LI.FI tenha participado no roubo. O scammer converteu o USDC e o WHYPE roubados em aproximadamente 175,9 HYPE e, poucos segundos depois, fez a ponte do HYPE da HyperEVM para a Ethereum.

O destino foi a carteira na Ethereum 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D. Na Ethereum, essa carteira recebeu os fundos e moveu 7,035 ETH para a frente numa única transacção. A carteira tinha sido criada pouco antes, foi usada uma vez e ficou quase vazia. Da transferência do NFT até à transacção da ponte, o roubo em curso durou cerca de 84 segundos.

Carteira do scammer ligada a 25 endereços ao longo de 33 dias

Os registos de explorador analisados pela BeInCrypto mostraram que o endereço do scammer esteve ativo durante aproximadamente 33 dias e estava ligado a cerca de 25 outros endereços. A ligação do recurso fraudulento esteve presente em mensagens desde 26 de junho, segundo registos da blockchain.

Vítima reportou fraude via GitHub e Discord sem resposta

A vítima tentou reportar a ligação suspeita e conseguir que a removesse. Durante uma conversa com a BeInCrypto, a vítima afirmou que tentou várias formas de alertar a equipa da Hyperliquid sobre o scam via GitHub, mas não obteve resposta. Segundo a vítima, o único canal de comunicação activo com a HyperSwap era o Discord, mas a ligação para o mesmo era inválida no momento da escrita. A tentativa da vítima de contactar a equipa do ecossistema Hyperliquid não teve sucesso, com a equipa a pedir ao utilizador que contactasse directamente o HyperSwap.

A vítima sugeriu que os funcionários da HyperSwap podem estar envolvidos no roubo ou que estão a escondê-lo deliberadamente. A BeInCrypto não conseguiu encontrar informação exacta que suporte essas afirmações.

FAQ

O que aconteceu no ataque de phishing do HyperSwap a 29 de junho?
Um utilizador do HyperSwap perdeu aproximadamente 12.300 dólares depois de clicar numa ligação falsa de airdrop no X e aprovar um pedido de carteira. O scammer transferiu o NFT #178549, que representava a posição de liquidez da vítima, às 20:21:51 UTC, a 29 de junho, levantou aproximadamente 3.935 USDC e 116,6 WHYPE, converteu os fundos em 175,9 HYPE e fez a ponte dos ativos para a Ethereum em 84 segundos.

Como é que o scammer ganhou controlo dos fundos da vítima?
O scammer usou uma conta falsa no X que imitava a conta oficial do HyperSwap para promover um airdrop fraudulento. Quando a vítima ligou a sua carteira e aprovou o que parecia ser uma verificação de elegibilidade para o airdrop, concedeu ao scammer permissão para transferir o NFT #178549, que controlava a sua posição de liquidez no HyperSwap, no valor aproximado de 12.300 dólares.

Que endereço de carteira foi usado no ataque de phishing do HyperSwap?
O scammer usou o endereço da carteira 0x880C95246D7525b84902E6c040818a7C72d3Aa77, que os registos do explorador HyperEVM assinalaram como Fake_Phishing3746335, com uma etiqueta “Phish / Hack” reportada pela HashDit. Os registos de explorador analisados pela BeInCrypto mostraram que este endereço esteve ativo durante aproximadamente 33 dias e estava ligado a cerca de 25 outros endereços.