Los atacantes alquilan cuentas de anuncios verificadas de Google para ocultar clones de Hyperliquid detrás de iframes anidados

Según Darcy, cofundador de FlashRescue, un anuncio de búsqueda pagado de Google dirigió a un usuario de Hyperliquid a una versión falsa de la plataforma de intercambio, lo que le hizo perder alrededor de 550.000 dólares en USDC.

Darcy denunció el robo en una publicación el jueves, señalando los registros de la cadena de bloques que muestran la salida del dinero.

Lo que muestra el rastro en la cadena

Los datos de Arkham Intelligence revelaron tres transferencias de USDC bajo un mismo hash de transacción. La mayor parte, unos 440.000 dólares, se transfirió a la dirección 0x98b276…13C55.

Hubo otras dos transferencias más pequeñas, de aproximadamente 82.500 dólares y 27.500 dólares, a las cuentas 0x93b6B2…d6D1 y 0x6fE314…B566, respectivamente.

Google cerró la cuenta responsable del anuncio. Los estafadores han utilizado la publicidad de pago en buscadores contra DeFi desde 2020, cuando anuncios falsos de Balancer y Uniswap buscaban obtener claves privadas y aprobaciones de monederos.

¿Por qué siguen apareciendo anuncios en los buscadores?

Security Alliance (SEAL), una organización sin ánimo de lucro dedicada a la criptoseguridad, explicó cómo los anuncios logran eludir los controles de Google.

Los hackers compran o roban cuentas de anunciantes verificadas de Google. Luego, proporcionan a Google una página web limpia alojada en un dominio de confianza.

Al hacer clic en el anuncio, la página web se comporta de dos maneras diferentes. Si el visitante es una posible víctima, carga una página falsa de una plataforma de intercambio DeFi . Si se trata de un investigador de seguridad, la página carga una página de Wikipedia y no hay nada que reportar.

Una vez que la víctima cae en la trampa del DEX falso, conecta su billetera y firma, y los estafadores roban todos sus criptoactivos.

SEAL informó haber encontrado programas espía pertenecientes a las familias de malware Inferno Drainer y Vanilla Drainer.

En pocas semanas, SEAL bloqueó 356 URL de anuncios maliciosos, varias de las cuales se hacían pasar por Hyperliquid. La organización advirtió a los usuarios que un anuncio suele estar activo "solo unos minutos antes de encontrar a su primera víctima"

SEAL recomienda a los usuarios DeFi que eviten la búsqueda en Google de aplicaciones de criptomonedas y utilicen marcadores o un índice como el buscador.defillama.com.

Cryptopolitan anteriormente informó que anuncios falsos de Uniswap robaron más de 400 000 dólares a los usuarios. Durante el incidentedentse agruparon alrededor de 146 monedas Ether en las direcciones de dos hackers, lo que SEAL vinculó a pérdidas totales por phishing de 1,27 millones de dólares durante el mes de marzo.

En julio, Scam Sniffer descubrió a un usuario que perdió 999.999 dólares en USDT debido a una solicitud de aprobación fraudulenta (phishing) en Ethereum.

Trezor había advertido recientemente sobre sitios web similares en los resultados de búsqueda patrocinados. En noviembre pasado, Cryptopolitan detectó una aplicación falsa de Hyperliquid en Google Play Store.

Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.