据报道，一名 Hyperliquid 加密货币平台用户在点击 Google 上的一则恶意广告后，损失了约55 万美元的 USDC。该广告链接将用户重定向至一个冒充 Hyperliquid 官方平台的虚假网站，该网站的界面经过精心仿制，目的是欺骗访问者。
根据目前掌握的信息，受害者最初通过 Google 搜索 Hyperliquid，并点击了一个赞助搜索结果。但该链接并没有将其带往官方平台，而是将其导向了一个与真实网站高度相似的钓鱼页面。
事件要点
- 一名 Hyperliquid 用户疑似因钓鱼攻击损失约55 万美元的 USDC。
- 据现有信息，受害者点击了冒充 Hyperliquid 的Google 付费广告后进入了诈骗网站。
- 区块链分析发现，受害者钱包向疑似与攻击者有关的地址进行了3 笔 USDC 转账。
- 目前尚不清楚攻击者究竟通过何种方式获得了访问资金并进行转账的权限。
- 此次事件再次凸显了通过搜索引擎广告访问加密货币平台所存在的风险。
据称，这名用户在与 Google 搜索结果中以赞助广告形式出现的钓鱼网站进行交互后，损失了一笔数额巨大的 USDC。
FlashRescue 联合创始人 Darcy 发现了受害者钱包中的多笔资金转移。FlashRescue 是一家专门追踪和协助追回被盗数字资产的公司。根据 Darcy 的数据，这些资金被转移到了三个可能由攻击者控制的地址。
Darcy 表示，受害者在搜索 Hyperliquid 时点击了 Google 的赞助搜索结果，随后进入了诈骗网站。
据推测，该钓鱼网站经过专门设计，以尽可能接近真实的 Hyperliquid 平台。这类手法经常被诈骗者使用，目的是让用户在连接钱包或批准交易之前无法察觉自己正在访问的是恶意网站。
区块链数据显示三笔可疑转账
Darcy 分享的区块链数据表明，受害者的资金通过三笔独立交易被转移。USDC 被发送至研究人员认为与疑似攻击者有关联的钱包地址。
不过，目前仍无法确定用户究竟进行了哪项具体操作，从而让攻击者获得了资金访问权限。加密货币钓鱼网站通常会采用多种不同的攻击方式。
在某些情况下，用户会被要求将钱包连接到一个虚假的去中心化应用程序。在其他情况下，用户可能被诱导签署交易，或者向智能合约授予使用特定代币的权限。攻击者还可能将恶意操作隐藏在看似正常的界面和交易流程中。
这类攻击最危险的地方之一在于，钓鱼网站通常会高度仿制合法的加密货币平台。它们可以复制官方网站的 Logo、颜色、页面布局、钱包连接页面，甚至完整模仿正常的交易流程。
因此，用户可能完全没有意识到自己进入了虚假网站，并在认为自己使用官方平台的情况下继续进行操作。
一旦资金被转移至攻击者控制的钱包，追回这些资产通常会变得非常困难。公共区块链上的大多数交易具有不可逆性，因此一笔已经确认的转账通常无法通过区块链本身直接撤销。
诈骗网站出现在 Google 赞助搜索结果中
根据现有信息，当用户搜索 Hyperliquid 时，该钓鱼网站以赞助搜索结果的形式出现在 Google 页面中。
付费广告会直接显示在搜索结果中，有时甚至会排在自然搜索结果之前。这会带来额外风险，因为用户可能认为包含目标平台名称的第一个链接就是官方网站。
诈骗者正是利用了这一机制，通过购买与知名加密货币品牌相关的关键词广告来吸引用户。用户点击广告后，会被引导至一个使用相似名称或域名的网站，而该网站的视觉设计可能与合法平台几乎完全一致。
这种攻击方式已经针对加密货币用户持续多年。
早在 2020 年，攻击者就已经利用 Google 广告活动冒充 Balancer、Uniswap 等热门 DeFi 平台。这些虚假网站被设计用于诱骗用户泄露私钥，或者向恶意智能合约授予能够控制其资产的权限。
随着时间推移，这种策略开始被用于攻击越来越多的热门加密货币项目。原因很简单：DeFi 用户经常将钱包连接到不同的应用程序，并频繁签署交易，因此恶意请求有时很难与正常操作区分开来。
Google 在收到攻击报告后封禁相关广告账户
在收到有关此次欺诈广告活动的信息后，Google 确认已经封禁了与钓鱼广告相关的广告账户。
Google 表示，公司对欺诈性广告采取零容忍政策。同时，Google 称其系统能够自动检测并拦截绝大多数违反广告政策的内容，使其在展示给用户之前就被阻止。
据 Google 介绍，公司在此前一年中删除了超过 6.02 亿条欺诈性广告。
尽管拥有大规模的自动化安全系统，攻击者仍在不断寻找绕过检测机制的方法。欺诈广告活动可能只运行很短时间，但短短几分钟就可能足以让攻击者接触到一名拥有大量加密资产的用户。
这也是此类攻击对加密货币行业尤其危险的原因之一。与许多传统金融交易不同，区块链上的转账一旦确认，通常无法被撤销。
Security Alliance 发现数百个恶意广告 URL
钓鱼广告的问题并不仅限于个别事件。
非营利组织 Security Alliance，也被称为SEAL，今年 4 月表示，其在数周时间内拦截了356 个与 Google 广告活动有关的恶意 URL。
其中部分广告冒充了 Hyperliquid。SEAL 表示，在收到相关报告后，Google 随后封禁了研究人员在调查过程中发现的所有相关广告账户。
然而，仅仅封禁个别账户并不能彻底解决这一问题。
Hyperliquid 只是众多遭到类似攻击的加密货币平台之一。诈骗者还会制作热门 Ethereum 协议的仿冒网站，以及 Solana 生态系统中热门应用的复制版本。
此前遭遇类似攻击的项目包括Jupiter、Raydium 和 Pump.fun。
热门 DeFi 应用之所以成为特别有吸引力的目标，是因为其用户经常连接加密货币钱包、兑换资产，并通过智能合约界面批准交易。
因此，当用户看到连接钱包或签署交易的请求时，并不一定会立即产生怀疑。
诈骗者利用被盗的广告账户
SEAL 还指出了另一个值得关注的问题：攻击者可能会获得已经通过验证并获得批准的广告账户的访问权限。
这些账户可能通过盗窃或其他非法方式获得。使用已有账户可以帮助诈骗者绕过 Google 部分自动化验证流程，并更快地启动新的广告活动。
与从全新账户发起的广告活动相比，使用已经存在且完成验证的广告账户，可能会让恶意活动更难被及时发现。
当一个广告账户被封禁后，攻击者可以转而使用另一个遭到入侵的账户。同时，他们还可以更换域名、创建新的广告，并启动新的推广活动。
因此，打击这类欺诈行为成为一个持续性的过程。即使某一批广告被删除，攻击者仍可能使用其他账户和域名重新发起新的钓鱼活动。
SEAL 表示，一些欺诈广告可能只会持续运行几分钟。然而，即使如此短暂的时间，也可能足以让攻击者成功欺骗至少一名用户。
对于犯罪分子而言，这种方式仍然具有很强的吸引力，因为其潜在收益非常高。如果一次钓鱼活动能够从一名受害者手中窃取大量资金，那么创建新网站和广告活动所产生的成本可能很快得到弥补。
这也意味着，尽管搜索平台和安全研究人员不断采取措施，攻击者仍有动力持续重复实施类似攻击。
加密货币用户应仔细检查网站地址
Hyperliquid 用户遭遇的这起事件再次表明，通过赞助搜索结果访问加密货币服务可能存在严重风险。
一个网站能够出现在 Google 搜索结果中，并且被显示在广告区域，并不意味着该网站一定属于它所声称代表的公司或平台。
降低风险的一种可靠方式，是提前将加密货币平台的官方网站保存到浏览器书签中，并直接通过书签访问，而不是每次通过搜索引擎寻找网站。
在连接钱包之前，用户应仔细检查网站的域名。网址中哪怕只是一个细微变化、增加了一个字符，或者使用了不常见的域名后缀，都可能意味着该网站存在欺诈风险。
用户还应该在签署任何交易之前仔细检查交易内容。尤其需要关注智能合约请求的权限，以及交易中显示的具体金额。
如果网站上的某项操作看起来与正常流程不同，或者要求授予与当前操作无关的权限，用户应立即停止操作，并在确认相关信息后再继续。
硬件钱包和交易模拟工具可以提供额外的安全保护。这些工具能够在某些情况下提醒用户注意可疑操作或异常请求。
不过，即使使用这些工具，也无法保证绝对安全。如果用户主动批准恶意交易，或者向智能合约授予危险权限，安全工具也不一定能够阻止资产损失。
对于持有大量加密货币的用户而言，将资产分散存储在不同钱包中，也是降低风险的一种方式。
用于长期持有的资产最好与日常用于连接 DeFi 应用、交易平台及其他去中心化服务的钱包分开存储。
这种做法能够限制潜在损失。即使用户意外进入钓鱼网站并签署了一笔恶意交易，攻击者也不一定能够因此自动获得用户全部资产的控制权。
55 万美元 USDC 被盗的事件再次说明，即使是经验丰富的加密货币用户，在使用搜索引擎广告时也必须保持高度警惕。确认官方网站域名、检查链接来源，并在签署交易前仔细核对所有交易信息，仍然是保护数字资产的重要措施。