Fałszywy airdrop na X okradł użytkownika HyperSwap w 84 s

29 czerwca 2026 roku użytkownik platformy HyperSwap stracił około 12 300 USD po wejściu na fałszywą stronę promującą airdrop. Jedno zatwierdzenie w portfelu umożliwiło atakującemu przejęcie NFT reprezentującego pozycję płynności, wypłatę środków i szybkie przetransferowanie ich na blockchain Ethereum.

Atak rozpoczął się od posta na X udającego komunikat o airdropie. Poszkodowany kliknął link, podpiął portfel i zaakceptował żądanie, które nadało zewnętrznemu adresowi uprawnienia do przenoszenia pozycji. W HyperSwap V3 pozycja płynności była reprezentowana przez NFT #178549; właściciel tego tokena miał kontrolę nad zdeponowanymi aktywami.

Do przejęcia doszło 29 czerwca o 20:21:51 UTC. Adres powiązany z oszustwem (0x880C95246D7525b84902E6c040818a7C72d3Aa77, oznaczony jako Fake_Phishing3746335) wykorzystał wcześniej nadane zgody i przetransferował NFT z portfela ofiary na kontrolowany adres. 25 sekund później sprawca wypłacił środki z pozycji — w bilansie było około 3 935 USDC oraz 116,6 WHYPE, łącznie wycenione na około 12 300 USD.

Po wypłacie środki zostały zamienione na około 175,9 HYPE i przeniesione z HyperEVM na Ethereum z wykorzystaniem narzędzia do swapów i mostów cross‑chain LI.FI. Na Ethereum środki wpłynęły na adres 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D, a następnie niemal natychmiast wysłano dalej 7,035 ETH. Od momentu transferu NFT do transakcji mostu minęło około 84 sekundy.

Analiza zapisów w łańcuchu bloków wskazuje, że adres sprawcy był aktywny przez około 33 dni i powiązany z około 25 innymi adresami. Link do fałszywego zasobu pojawiał się w wiadomościach od 26 czerwca. W jednym z portfeli użytych w operacji środki zostały skonsolidowane na nowo utworzonym adresie, który był praktycznie pusty po przesłaniu środków dalej.

Poszkodowany relacjonuje, że próbował zgłosić incydent zespołowi Hyperliquid i skontaktować się z obsługą projektu, ale nie otrzymał odpowiedzi. W odpowiedzi na próby kontaktu napisał: „Czułem się zignorowany”. Nie znaleziono dowodów potwierdzających udział pracowników projektu w ataku.

HyperSwap to zdecentralizowana giełda działająca na blockchainie Hyperliquid i posiadająca własny zespół. W tego typu aplikacjach użytkownicy handlują bezpośrednio ze swoich portfeli, a zatwierdzenia w portfelach mogą nadawać zewnętrznym adresom prawo do przenoszenia tokenów, w tym NFT reprezentujących pozycje płynności. Fałszywe airdropy i nieuważne zatwierdzenia portfela umożliwiły w tym przypadku szybkie przejęcie środków.