HyperSwapユーザーが、Xで偽のエアドロップリンクをクリックし、1件のウォレットリクエストを承認した結果、約1万2300ドルの損失を被った。ユーザーは自覚のないまま、詐欺師に資金の管理権限を与えていた。
BeInCryptoは、公開されているブロックチェーン記録をもとに、被害者と共に攻撃手法を再現した。記録は、Hyperliquidエコシステム内で迅速に行われたフィッシング攻撃の実態を示している。
詐欺師は被害者のHyperSwapポジションを奪い、それに紐づく資金を引き出してHYPEへ変換。2分以内にイーサリアム上へ資金を移した。
注：HyperSwapはHyperliquidブロックチェーン上で稼働する取引所である。HyperSwapには独自の運営チームがあり、Hyperliquidは管理していない。これは、イーサリアムの開発者がUniswapなどのアプリを管理していないのと同様である。
罠は偽Xアカウントから始まった
被害者はHyperSwapを利用していた。ほかの分散型取引所同様、ユーザーの資金を企業が預からず、ウォレットから直接取引できる仕組みである。
被害者はHyperSwapの流動性プールに資金を供給していた。簡単に言えば、他のユーザーの取引相手として暗号資産を預けていた形だ。対価として取引手数料を得られる。
HyperSwap V3上で、そのポジションはNFT #178549として管理されていた。これは画像やコレクティブルではなく、実質的には電子レシートであった。このNFTを管理する者が、その資金の所有権を持つ構造である。
被害者はBeInCryptoに対し、Xでエアドロップを宣伝する投稿を見たと語った。エアドロップとは、プロジェクトが利用者にトークンを無償付与する施策である。
その投稿はHyperSwap発信に見えたが、実際には偽アカウントによるものだった。本物のHyperSwapアカウント（HyperSwapX、公式サイトでリンクされている）に非常によく似たハンドル名が使われていた。
被害者はリンクをクリックし、ウォレットを接続した。エアドロップの対象かどうかを確認するつもりだったが、代わりにHyperSwapのポジション移動を許可する取引に署名してしまった。
承認の瞬間が被害の分岐点であった。
1度の承認で詐欺師に支配権移転
暗号資産ウォレットは、取引の都度ユーザーに承認を求める。無害なものもあるが、重大な資産移動権限を第三者に与えるものも存在する。
多くのユーザーにとって注意喚起は日常的に見える。偽サイトは、こうした危険な承認をエアドロップ申請のごく普通の手続きに見せかけることができる。
今回もまさにそれが実行されたとみられる。
6月29日20時21分51秒（UTC）、詐欺師は先ほどの承認を利用し、NFT #178549を被害者のウォレットから転送。被害者はそのタイミングで新たな署名をしていない。既に詐欺師側が権限を確保していた。
詐欺師のアドレスは0x880C95246D7525b84902E6c040818a7C72d3Aa77。HyperEVMチェーンエクスプローラは同アドレスをFake_Phishing3746335としてフラグ付けしており、HashDitが「Phish / Hack」タグを報告していた。
NFTは別の詐欺師管理ウォレットに転送された時点で、攻撃者が流動性ポジションの完全な管理権を得た。
さらに25秒後、詐欺師はNFT裏付けの資金を引き出した。そのポジションには約3935USDCと116.6WHYPEが含まれていた。両者の合計価値は当時のレートでおよそ1万2300ドルだった。
資金は直ちに移動
資金引き出し後、詐欺師はHyperEVM外への移動準備に入った。
まず、ウォレットで正規のクロスチェーンブリッジ・スワップサービスであるLI.FIへの権限付与が行われた。ブリッジはブロックチェーン間の資産移動を可能にする。
LI.FIが窃盗に関与した証拠はない。詐欺師が資金盗難後に利用しただけである。
詐欺師は盗んだUSDCおよびWHYPEを約175.9 HYPEに交換。その後数秒で、HYPEはHyperEVMからイーサリアムへブリッジされた。
送金先は0xFa47eef42fB2C63DCEA0cAC2295a58036052932D。イーサリアム側で資金を受け取ると、ほぼ直後に7.035ETHをさらに別の先へ一括で移動させた。
このウォレットは作成から間もない一時的なアドレスだった。1回の送信に使われ、ほぼ空の状態で放置。盗難資金の追跡を困難にするため、一時的なウォレットを経由する資金洗浄の手口によく見られるパターンである。
NFT転送からブリッジまで、実質的な窃盗行為の所要時間は約84秒であった。
広がるフィッシング攻撃の兆候
詐欺師のウォレットは、より広範な犯罪ネットワークの一端とみられる。
BeInCryptoが精査したブロックチェーン記録によれば、同アドレスは約33日間にわたり活動。およそ25のアドレスとも関連が確認された。このことは、攻撃者が複数のユーザーを標的としていた可能性を示唆する。
被害者にとって問題は現実的だ。ブロックチェーン記録により事態の経緯は分かるが、リアルタイムで被害を防ぐことはほとんどできない。
ユーザーが不正な承認を与えると、詐欺師は迅速に行動する。資金がチェーンをまたいで移動されれば、取り戻すのはさらに困難となる。
被害者は後に不審なリンクを報告し、削除を求めたと述べているが、無視されたと感じ、ハイパースワップ運営が対応していないのではと疑い始めた。
BeInCryptoが調査したオンチェーンの証拠は、なりすましアカウントによるフィッシング攻撃を示す。偽物のXアカウントはハイパースワップの公式アカウントとは別物であった。公式ハイパースワップアカウントや公式コントラクトが盗難を行った証拠は見つかっていない。
ただし被害者の体験は、エコシステムの重大な脆弱性を浮き彫りにする。ユーザーは偽SNSアカウントを通じて攻撃され、分かりづらいウォレット承認で資金を失い、資金流出後には有効な救済策もほとんど残されない。
BeInCrypto記者とのやり取りで被害者は、様々な方法でハイパーリキッドのチームに詐欺を警告しようとしたが、全く返答がなかったと話した。
被害者によれば、ハイパースワップと唯一連絡可能だったのはDiscordだけだったが、本稿執筆時点でそのリンクは無効となっている。そのため、プロジェクトが利用するエコシステムチームへも問題を伝えようとしたが、こちらも成功しなかった。
全体として詐欺師の手口は単純であった。偽アカウントが偽エアドロップを宣伝し、偽サイトがウォレット承認を取得した。危険とマークされたフィッシングウォレットが被害者のハイパースワップポジションを奪い、中身を空にしてイーサリアムへ資金を移した。
被害額は約1万2300ドル。盗難は2分足らずで完了した。
被害者は、ハイパースワップ関係者が窃盗に関与している可能性や故意に事実を隠している可能性を示唆した。しかし、BeInCryptoではこれらの主張を裏付ける確かな情報は確認できなかった。
