Ein Nutzer der Kryptowährungsplattform Hyperliquid hat Berichten zufolge rund 550.000 US-Dollar in USDC verloren, nachdem er auf eine schädliche Google-Werbeanzeige geklickt hatte. Der Werbelink leitete den Nutzer auf eine gefälschte Website weiter, die die offizielle Oberfläche von Hyperliquid imitierte und darauf ausgelegt war, Besucher zu täuschen.
Nach vorläufigen Informationen fand das Opfer Hyperliquid zunächst über die Google-Suchergebnisse und klickte auf ein gesponsertes Ergebnis. Anstatt zur offiziellen Plattform zu gelangen, wurde der Nutzer auf eine Phishing-Seite weitergeleitet, die der echten Website sehr ähnlich sah.
Die wichtigsten Punkte
- Ein Hyperliquid-Nutzer soll infolge eines Phishing-Angriffs rund 550.000 US-Dollar in USDC verloren haben.
- Den verfügbaren Informationen zufolge gelangte das Opfer auf die betrügerische Website, nachdem es auf eine bezahlte Google-Werbeanzeige geklickt hatte, die Hyperliquid imitierte.
- Eine Blockchain-Analyse identifizierte drei USDC-Transaktionen von der Wallet des Opfers an Adressen, die mutmaßlich mit dem Angreifer in Verbindung stehen.
- Bislang ist unklar, wie genau der Angreifer Zugriff auf die Gelder erhielt und diese transferieren konnte.
- Der Vorfall verdeutlicht erneut die Risiken, die mit dem Zugriff auf Krypto-Plattformen über Suchmaschinenwerbung verbunden sind.
Berichten zufolge verlor der Nutzer eine beträchtliche Menge USDC, nachdem er mit einer Phishing-Website interagiert hatte, die bei Google als gesponsertes Suchergebnis beworben wurde.
Darcy, Mitgründer von FlashRescue, einem Unternehmen, das sich auf die Verfolgung und Wiederbeschaffung gestohlener digitaler Vermögenswerte spezialisiert hat, identifizierte mehrere Transfers aus der Wallet des Opfers. Seinen Angaben zufolge wurden die Gelder an drei Adressen gesendet, die möglicherweise von dem mutmaßlichen Angreifer kontrolliert werden.
Nach Angaben von Darcy gelangte der Nutzer auf die betrügerische Seite, nachdem er bei der Suche nach Hyperliquid auf ein gesponsertes Google-Ergebnis geklickt hatte.
Die Phishing-Website wurde offenbar so gestaltet, dass sie der legitimen Plattform möglichst ähnlich sieht. Diese Taktik wird häufig von Betrügern eingesetzt, damit Nutzer den Betrug nicht bemerken, bevor sie ihre Wallet verbinden oder eine Transaktion bestätigen.
Blockchain-Daten deuten auf drei verdächtige Transfers hin
Die von Darcy veröffentlichten Blockchain-Daten zeigen, dass die Gelder des Opfers über drei separate Transaktionen abgezogen wurden. Die USDC wurden an Adressen gesendet, die von den Ermittlern mit dem mutmaßlichen Angreifer in Verbindung gebracht werden.
Allerdings ist weiterhin unklar, welche konkrete Handlung des Nutzers den Angreifern den Zugriff auf die Gelder ermöglichte. Krypto-Phishing-Websites können verschiedene Methoden einsetzen.
In einigen Fällen werden Nutzer aufgefordert, ihre Wallet mit einer betrügerischen dezentralen Anwendung zu verbinden. In anderen Fällen werden sie dazu gebracht, eine Transaktion zu signieren oder einem Smart Contract die Erlaubnis zu erteilen, bestimmte Token zu verwenden. Angreifer können schädliche Vorgänge außerdem als gewöhnliche Aktionen innerhalb einer vertraut wirkenden Benutzeroberfläche tarnen.
Das Hauptproblem besteht darin, dass Phishing-Websites legitime Kryptowährungsplattformen häufig nahezu vollständig kopieren. Sie können ähnliche Logos, Farben, Benutzeroberflächen, Wallet-Verbindungsseiten und sogar vertraute Transaktionsabläufe verwenden.
Dadurch kann ein Nutzer möglicherweise nicht erkennen, dass er sich auf einer gefälschten Website befindet, und weiterhin mit ihr interagieren, weil er davon ausgeht, dass es sich um die offizielle Plattform handelt.
Sobald Gelder an eine von einem Angreifer kontrollierte Wallet übertragen wurden, ist ihre Wiederbeschaffung äußerst schwierig. Die meisten Transaktionen auf öffentlichen Blockchains sind unumkehrbar, sodass eine bereits bestätigte Überweisung in der Regel nicht über die Blockchain selbst rückgängig gemacht werden kann.
Betrügerische Website erschien in den gesponserten Google-Ergebnissen
Den verfügbaren Informationen zufolge erschien die Phishing-Website als gesponsertes Ergebnis bei Google, als der Nutzer nach Hyperliquid suchte.
Bezahlte Anzeigen werden direkt in den Suchergebnissen angezeigt und können teilweise oberhalb der organischen Ergebnisse erscheinen. Dadurch entsteht ein zusätzliches Risiko, da Nutzer annehmen könnten, dass der erste Link mit dem Namen der gewünschten Plattform zu deren offizieller Website führt.
Betrüger nutzen diesen Mechanismus, indem sie Suchanzeigen für Schlüsselbegriffe kaufen, die mit bekannten Kryptowährungsmarken verbunden sind. Nach dem Klick auf die Anzeige wird der Nutzer auf eine Website mit einem ähnlichen Namen oder einer ähnlichen Domain weitergeleitet, die optisch nahezu identisch mit der legitimen Plattform sein kann.
Diese Art von Angriff wird bereits seit Jahren gegen Kryptowährungsnutzer eingesetzt.
Bereits 2020 nutzten Angreifer Google-Werbekampagnen, um beliebte DeFi-Plattformen wie Balancer und Uniswap zu imitieren. Die gefälschten Websites wurden entwickelt, um Nutzer zur Preisgabe privater Schlüssel oder zur Erteilung von Berechtigungen an schädliche Smart Contracts zu bewegen, die anschließend die Kontrolle über ihre Vermögenswerte ermöglichen konnten.
Mit der Zeit wurde diese Strategie gegen eine immer größere Zahl populärer Krypto-Projekte eingesetzt. Der Grund dafür ist einfach: DeFi-Nutzer verbinden ihre Wallets regelmäßig mit verschiedenen Anwendungen und signieren Transaktionen. Dadurch kann eine schädliche Anfrage zunächst völlig normal erscheinen.
Google sperrt Werbekonto nach Meldung des Angriffs
Nachdem Informationen über die betrügerische Kampagne an Google weitergeleitet worden waren, bestätigte das Unternehmen, dass es das mit der Phishing-Anzeige verbundene Werbekonto gesperrt hatte.
Google erklärte, dass das Unternehmen eine Null-Toleranz-Politik gegenüber betrügerischer Werbung verfolgt. Gleichzeitig teilte Google mit, dass seine Systeme die überwiegende Mehrheit der Anzeigen, die gegen die Richtlinien verstoßen, automatisch erkennen und blockieren, bevor sie für Nutzer sichtbar werden.
Nach Angaben von Google hat das Unternehmen im vergangenen Jahr mehr als 602 Millionen betrügerische Anzeigen entfernt.
Trotz des Umfangs der automatisierten Sicherheitssysteme suchen Angreifer weiterhin nach Möglichkeiten, die Erkennungsmechanismen zu umgehen. Betrügerische Werbekampagnen können nur für kurze Zeit aktiv sein, doch bereits wenige Minuten können ausreichen, um einen Nutzer mit einem hohen Guthaben zu erreichen.
Das macht solche Angriffe für die Kryptowährungsbranche besonders gefährlich. Im Gegensatz zu vielen herkömmlichen Finanztransaktionen können Blockchain-Überweisungen nach ihrer Bestätigung häufig nicht mehr rückgängig gemacht werden.
Security Alliance identifiziert Hunderte schädliche Werbe-URLs
Das Problem mit Phishing-Werbung geht weit über einzelne Vorfälle hinaus.
Die gemeinnützige Organisation Security Alliance, auch bekannt als SEAL, berichtete im April, dass sie innerhalb weniger Wochen 356 schädliche URLs blockiert habe, die mit Google-Werbekampagnen in Verbindung standen.
Einige dieser Anzeigen gaben sich als Hyperliquid aus. Laut SEAL blockierte Google nach Erhalt des Berichts sämtliche von den Forschern in ihrer Untersuchung identifizierten Werbekonten.
Das Sperren einzelner Konten löst das Problem jedoch nicht vollständig.
Hyperliquid ist nur eine von zahlreichen Kryptowährungsplattformen, die zum Ziel solcher Kampagnen werden. Betrüger erstellen auch Kopien beliebter Ethereum-Protokolle mit einem hohen Total Value Locked sowie von Anwendungen innerhalb des Solana-Ökosystems.
Zu den Projekten, die bereits Ziel ähnlicher Angriffe waren, gehören Jupiter, Raydium und Pump.fun.
Beliebte DeFi-Anwendungen sind besonders attraktive Ziele, da ihre Nutzer regelmäßig Kryptowährungs-Wallets verbinden, Vermögenswerte tauschen und Transaktionen über Smart-Contract-Schnittstellen bestätigen.
Eine Aufforderung zum Verbinden einer Wallet oder zum Signieren einer Transaktion muss daher nicht automatisch Verdacht erregen.
Betrüger nutzen gestohlene Werbekonten
SEAL weist außerdem auf ein weiteres Problem hin: Angreifer können Zugriff auf bestehende Werbekonten erhalten, die bereits geprüft und freigegeben wurden.
Solche Konten können gestohlen oder auf illegalem Weg erworben werden. Ihre Verwendung kann es Betrügern ermöglichen, bestimmte automatisierte Prüfverfahren von Google zu umgehen und neue Werbekampagnen schneller zu starten.
Die Nutzung eines älteren, bereits verifizierten Werbekontos kann die Erkennung schädlicher Aktivitäten erschweren, verglichen mit Kampagnen, die von einem vollständig neuen Konto gestartet werden.
Wird ein Werbekonto gesperrt, können die Angreifer zu einem anderen kompromittierten Profil wechseln. Gleichzeitig können sie Domains austauschen, neue Anzeigen erstellen und zusätzliche Kampagnen starten.
Dadurch wird die Bekämpfung dieser Form des Betrugs zu einem fortlaufenden Prozess: Nachdem ein bestimmter Satz von Anzeigen entfernt wurde, können neue Kampagnen mit anderen Konten und Domains auftauchen.
SEAL zufolge können einige betrügerische Anzeigen nur wenige Minuten aktiv sein. Doch selbst ein so kurzer Zeitraum kann ausreichen, damit Angreifer mindestens einen Nutzer täuschen.
Für Kriminelle bleibt diese Methode aufgrund ihrer potenziell hohen Rentabilität attraktiv. Wenn eine einzige Phishing-Kampagne dazu führt, dass bei einem Opfer eine große Summe gestohlen wird, können sich die Kosten für die Erstellung neuer Websites und Werbekampagnen schnell amortisieren.
Dies schafft einen Anreiz, solche Angriffe trotz der Bemühungen von Suchmaschinen und Sicherheitsexperten immer wieder durchzuführen.
Krypto-Nutzer sollten Website-Adressen sorgfältig überprüfen
Der Vorfall mit dem Hyperliquid-Nutzer zeigt erneut, wie gefährlich der Zugriff auf Kryptowährungsdienste über gesponserte Suchergebnisse sein kann.
Die Tatsache, dass eine Website bei Google erscheint und in einem Werbeblock angezeigt wird, bedeutet nicht automatisch, dass sie dem Unternehmen oder der Plattform gehört, die sie zu repräsentieren vorgibt.
Eine der zuverlässigsten Möglichkeiten, das Risiko zu reduzieren, besteht darin, die offizielle Website einer Kryptowährungsplattform vorab als Lesezeichen im Browser zu speichern und direkt darauf zuzugreifen, anstatt Suchergebnisse zu verwenden.
Vor dem Verbinden einer Wallet sollten Nutzer den Domainnamen sorgfältig überprüfen. Bereits eine kleine Änderung der Webadresse, ein zusätzliches Zeichen oder eine ungewöhnliche Domainendung kann darauf hindeuten, dass es sich um eine betrügerische Website handelt.
Nutzer sollten außerdem jede Transaktion sorgfältig prüfen, bevor sie diese signieren. Besonderes Augenmerk sollte auf die von einem Smart Contract angeforderten Berechtigungen und die in der Transaktion angegebenen Beträge gelegt werden.
Wenn eine Aktion auf der Website ungewöhnlich erscheint oder Berechtigungen verlangt werden, die nicht zur geplanten Operation passen, sollte der Nutzer den Vorgang abbrechen und die Informationen zunächst überprüfen.
Hardware-Wallets und Tools zur Transaktionssimulation können eine zusätzliche Schutzebene bieten. Sie können Nutzer auf bestimmte verdächtige Aktionen oder ungewöhnliche Anfragen aufmerksam machen.
Allerdings bieten auch diese Tools keinen vollständigen Schutz. Wenn ein Nutzer eine schädliche Transaktion selbst bestätigt oder einem Smart Contract eine gefährliche Berechtigung erteilt, können Sicherheitsmechanismen den Verlust der Gelder nicht immer verhindern.
Für Besitzer großer Kryptowährungsportfolios kann die Aufteilung der Vermögenswerte auf verschiedene Wallets eine weitere sinnvolle Sicherheitsmaßnahme darstellen.
Langfristig gehaltene Vermögenswerte sollten idealerweise getrennt von Wallets aufbewahrt werden, die regelmäßig für die Interaktion mit DeFi-Anwendungen, Exchanges und anderen dezentralen Diensten genutzt werden.
Dieser Ansatz kann mögliche Verluste begrenzen. Selbst wenn ein Nutzer versehentlich eine Phishing-Website aufruft und eine schädliche Transaktion signiert, erhält der Angreifer dadurch nicht zwangsläufig automatisch Zugriff auf sämtliche Vermögenswerte des Nutzers.
Der Fall des Verlusts von 550.000 US-Dollar in USDC zeigt, dass selbst erfahrene Kryptowährungsnutzer beim Umgang mit Suchmaschinenwerbung vorsichtig sein müssen. Die Überprüfung der offiziellen Domain, die Kontrolle der Linkquelle und die sorgfältige Prüfung jeder Transaktion vor der Signierung gehören weiterhin zu den wichtigsten Maßnahmen zum Schutz digitaler Vermögenswerte.