Un utilisateur de la plateforme de cryptomonnaies Hyperliquid aurait perdu environ 550 000 $ en USDC après avoir cliqué sur une publicité malveillante diffusée par Google. Le lien publicitaire a redirigé l’utilisateur vers un faux site web qui imitait l’interface officielle de Hyperliquid et avait été conçu pour tromper les visiteurs.
Selon les premières informations, la victime avait trouvé Hyperliquid via les résultats de recherche Google et avait cliqué sur un résultat sponsorisé. Au lieu d’accéder à la plateforme officielle, l’utilisateur a été redirigé vers une page de phishing qui ressemblait fortement au véritable site.
Points clés
- Un utilisateur de Hyperliquid aurait perdu environ 550 000 $ en USDC à la suite d’une attaque de phishing.
- Selon les informations disponibles, la victime serait arrivée sur le site frauduleux après avoir cliqué sur une publicité Google payante usurpant l’identité de Hyperliquid.
- L’analyse de la blockchain a identifié trois transferts d’USDC depuis le portefeuille de la victime vers des adresses qui seraient liées à l’attaquant.
- On ignore pour l’instant comment l’attaquant a exactement obtenu la possibilité d’accéder aux fonds et de les transférer.
- L’incident souligne une nouvelle fois les risques liés à l’utilisation des publicités dans les moteurs de recherche pour accéder aux plateformes de cryptomonnaies.
L’utilisateur aurait perdu une somme importante en USDC après avoir interagi avec un site de phishing présenté sur Google comme un résultat de recherche sponsorisé.
Darcy, cofondateur de FlashRescue, une société spécialisée dans le suivi et la récupération d’actifs numériques volés, a identifié plusieurs transferts provenant du portefeuille de la victime. Selon ses données, les fonds ont été envoyés vers trois adresses qui pourraient être contrôlées par l’attaquant présumé.
D’après Darcy, l’utilisateur est arrivé sur la page frauduleuse après avoir cliqué sur un résultat Google sponsorisé alors qu’il recherchait Hyperliquid.
Le site de phishing semble avoir été conçu pour ressembler au maximum à la plateforme légitime. Cette technique est fréquemment utilisée par les escrocs afin d’empêcher les utilisateurs de détecter la fraude avant qu’ils ne connectent leur portefeuille ou n’approuvent une transaction.
Les données de la blockchain révèlent trois transferts suspects
Les données de la blockchain partagées par Darcy indiquent que les fonds de la victime ont été retirés via trois transactions distinctes. Les USDC ont été transférés vers des adresses que les chercheurs associent à l’attaquant présumé.
Cependant, il reste difficile de déterminer quelle action précise de l’utilisateur a permis aux attaquants d’accéder aux fonds. Les sites de phishing liés aux cryptomonnaies peuvent utiliser différentes méthodes.
Dans certains cas, l’utilisateur peut être invité à connecter son portefeuille à une application décentralisée frauduleuse. Dans d’autres, il peut être amené à signer une transaction ou à accorder à un contrat intelligent l’autorisation d’utiliser certains tokens. Les attaquants peuvent également dissimuler des opérations malveillantes derrière des actions apparemment normales au sein d’une interface familière.
Le principal problème est que les sites de phishing copient souvent presque entièrement les plateformes de cryptomonnaies légitimes. Ils peuvent reproduire les logos, les couleurs, les éléments de l’interface, les pages de connexion des portefeuilles et même le déroulement habituel des transactions.
L’utilisateur peut ainsi ne pas se rendre compte qu’il se trouve sur un faux site et continuer à interagir avec celui-ci en pensant utiliser la plateforme officielle.
Une fois que les fonds ont été transférés vers un portefeuille contrôlé par l’attaquant, leur récupération devient extrêmement difficile. La plupart des transactions effectuées sur les blockchains publiques sont irréversibles, ce qui signifie qu’un transfert déjà confirmé ne peut généralement pas être annulé directement via la blockchain.
Le site frauduleux est apparu parmi les résultats sponsorisés de Google
Selon les informations disponibles, le site de phishing est apparu sur Google sous la forme d’un résultat sponsorisé lorsque l’utilisateur recherchait Hyperliquid.
Les annonces payantes apparaissent directement dans les résultats de recherche et peuvent parfois être placées au-dessus des résultats organiques. Cela crée un risque supplémentaire, car l’utilisateur peut supposer que le premier lien contenant le nom de la plateforme mène vers son site officiel.
Les escrocs exploitent ce mécanisme en achetant des annonces ciblant des mots-clés associés à des marques connues du secteur des cryptomonnaies. Après avoir cliqué sur la publicité, l’utilisateur est redirigé vers un site portant un nom ou un domaine similaire, qui peut être presque identique visuellement à la plateforme légitime.
Ce type d’attaque est utilisé contre les utilisateurs de cryptomonnaies depuis plusieurs années.
Dès 2020, des attaquants utilisaient déjà des campagnes publicitaires Google pour usurper l’identité de plateformes DeFi populaires, notamment Balancer et Uniswap. Les faux sites étaient conçus pour inciter les utilisateurs à révéler leurs clés privées ou à accorder à des contrats intelligents malveillants des autorisations leur permettant de contrôler leurs actifs.
Au fil du temps, cette stratégie a été utilisée contre un nombre croissant de projets populaires du secteur des cryptomonnaies. La raison est simple : les utilisateurs de la DeFi connectent régulièrement leurs portefeuilles à différentes applications et signent des transactions, ce qui signifie qu’une demande malveillante peut sembler parfaitement normale.
Google bloque le compte publicitaire après le signalement de l’attaque
Après avoir reçu des informations concernant la campagne frauduleuse, Google a confirmé avoir bloqué le compte publicitaire associé à l’annonce de phishing.
Google a déclaré appliquer une politique de tolérance zéro à l’égard des publicités frauduleuses. L’entreprise a également indiqué que ses systèmes détectent et bloquent automatiquement la grande majorité des annonces qui enfreignent ses règles avant qu’elles ne deviennent visibles pour les utilisateurs.
Selon Google, l’entreprise a supprimé plus de 602 millions de publicités frauduleuses au cours de l’année précédente.
Malgré l’ampleur de ses systèmes de sécurité automatisés, les attaquants continuent de chercher des moyens de contourner les mécanismes de détection. Les campagnes publicitaires frauduleuses peuvent rester actives pendant une période très courte, mais quelques minutes peuvent parfois suffire pour atteindre un utilisateur disposant d’un solde important.
C’est ce qui rend ces attaques particulièrement dangereuses pour l’industrie des cryptomonnaies. Contrairement à de nombreuses opérations financières traditionnelles, les transferts effectués sur une blockchain ne peuvent souvent pas être annulés une fois confirmés.
Security Alliance identifie des centaines d’URL publicitaires malveillantes
Le problème des publicités de phishing dépasse largement le cadre des incidents individuels.
L’organisation à but non lucratif Security Alliance, également connue sous le nom de SEAL, a indiqué en avril avoir bloqué 356 URL malveillantes associées à des campagnes publicitaires Google sur une période de plusieurs semaines.
Certaines de ces publicités usurpaient l’identité de Hyperliquid. Selon SEAL, Google a ensuite bloqué tous les comptes publicitaires identifiés par les chercheurs dans le cadre de leur enquête.
Cependant, le blocage de comptes individuels ne permet pas de résoudre complètement le problème.
Hyperliquid n’est qu’une des nombreuses plateformes de cryptomonnaies ciblées par ce type de campagne. Les escrocs créent également des copies de protocoles Ethereum populaires affichant une valeur totale verrouillée élevée, ainsi que d’applications de l’écosystème Solana.
Parmi les projets ayant déjà été ciblés par des attaques similaires figurent Jupiter, Raydium et Pump.fun.
Les applications DeFi populaires constituent des cibles particulièrement intéressantes, car leurs utilisateurs connectent régulièrement leurs portefeuilles, échangent des actifs et approuvent des transactions via des interfaces de contrats intelligents.
Par conséquent, une demande visant à connecter un portefeuille ou à signer une transaction peut ne pas immédiatement éveiller les soupçons.
Les escrocs utilisent des comptes publicitaires volés
SEAL a également attiré l’attention sur un autre problème : les attaquants peuvent obtenir l’accès à des comptes publicitaires existants qui ont déjà été vérifiés et approuvés.
Ces comptes peuvent être volés ou acquis par des moyens illicites. Leur utilisation peut permettre aux escrocs de contourner certaines procédures automatisées de vérification de Google et de lancer plus rapidement de nouvelles campagnes publicitaires.
L’utilisation d’un compte publicitaire ancien et déjà vérifié peut rendre la détection des activités malveillantes plus difficile que dans le cas de campagnes lancées depuis un compte entièrement nouveau.
Une fois qu’un compte publicitaire est bloqué, les attaquants peuvent passer à un autre profil compromis. Ils peuvent également changer de domaine, créer de nouvelles publicités et lancer des campagnes supplémentaires.
La lutte contre ce type de fraude devient ainsi un processus permanent : après la suppression d’un ensemble d’annonces, de nouvelles campagnes utilisant d’autres comptes et domaines peuvent apparaître.
SEAL a indiqué que certaines publicités frauduleuses peuvent rester actives pendant seulement quelques minutes. Pourtant, même une période aussi courte peut suffire aux attaquants pour tromper au moins un utilisateur.
Pour les criminels, cette méthode reste attractive en raison de sa rentabilité potentielle. Si une seule campagne de phishing permet de voler une somme importante à une victime, les coûts liés à la création de nouveaux sites et de nouvelles campagnes publicitaires peuvent rapidement être amortis.
Cela incite les attaquants à répéter constamment ce type d’opérations malgré les efforts des moteurs de recherche et des chercheurs en sécurité.
Les utilisateurs de cryptomonnaies doivent vérifier attentivement les adresses des sites
L’incident impliquant l’utilisateur de Hyperliquid montre une nouvelle fois à quel point il peut être dangereux d’accéder à des services de cryptomonnaies via des résultats de recherche sponsorisés.
Le simple fait qu’un site apparaisse sur Google et soit affiché dans un bloc publicitaire ne signifie pas qu’il appartient à l’entreprise ou à la plateforme qu’il prétend représenter.
L’une des méthodes les plus fiables pour réduire les risques consiste à enregistrer au préalable le site officiel d’une plateforme de cryptomonnaies dans les favoris du navigateur et à y accéder directement plutôt que d’utiliser les résultats de recherche.
Avant de connecter un portefeuille, les utilisateurs doivent vérifier attentivement le nom de domaine. Une simple modification de l’adresse, un caractère supplémentaire ou une extension de domaine inhabituelle peuvent indiquer qu’il s’agit d’un site frauduleux.
Les utilisateurs doivent également examiner attentivement chaque transaction avant de la signer. Une attention particulière doit être accordée aux autorisations demandées par un contrat intelligent ainsi qu’aux montants indiqués dans la transaction.
Si une action sur le site semble inhabituelle ou demande des autorisations qui ne correspondent pas à l’opération prévue, il est préférable d’interrompre le processus et de vérifier les informations avant de poursuivre.
Les portefeuilles matériels et les outils de simulation de transactions peuvent fournir une couche de protection supplémentaire. Ils peuvent avertir les utilisateurs de certaines actions suspectes ou de demandes inhabituelles.
Cependant, même ces outils ne peuvent garantir une protection absolue. Si un utilisateur approuve lui-même une transaction malveillante ou accorde à un contrat intelligent une autorisation dangereuse, les mécanismes de sécurité ne pourront pas toujours empêcher la perte des fonds.
Pour les détenteurs de portefeuilles de cryptomonnaies importants, une autre mesure de sécurité consiste à répartir les actifs entre plusieurs portefeuilles.
Les actifs destinés à être conservés sur le long terme devraient idéalement être stockés séparément des portefeuilles utilisés régulièrement pour interagir avec des applications DeFi, des plateformes d’échange et d’autres services décentralisés.
Cette approche permet de limiter les pertes potentielles. Même si un utilisateur se connecte accidentellement à un site de phishing et signe une transaction malveillante, l’attaquant n’obtiendra pas nécessairement un accès automatique à l’ensemble des actifs de l’utilisateur.
Le cas de la perte de 550 000 $ en USDC montre que même les utilisateurs expérimentés de cryptomonnaies doivent rester prudents lorsqu’ils utilisent des publicités dans les moteurs de recherche. Vérifier le domaine officiel, contrôler la source du lien et examiner attentivement chaque transaction avant de la signer restent parmi les principaux moyens de protéger les actifs numériques.