Người dùng HyperSwap mất 12.300 USD trong vụ lừa đảo phishing airdrop giả mạo kéo dài 84 giây

Một người dùng HyperSwap đã mất khoảng 12.300 USD vào ngày 29/6 sau khi bấm vào một liên kết airdrop giả trên X và phê duyệt một yêu cầu ví khiến kẻ lừa đảo giành quyền kiểm soát tiền của anh ta. Cuộc tấn công, được BeInCrypto tái dựng dựa trên dữ liệu công khai trên blockchain, diễn ra lúc 20:21:51 UTC và kéo dài 84 giây, tính từ lúc chuyển NFT đến khi hoàn tất cầu chuyển chuỗi chéo. Kẻ lừa đảo đã chuyển vị thế thanh khoản HyperSwap của nạn nhân, được biểu diễn bởi NFT #178549, rút ra khoảng 3.935 USDC và 116,6 WHYPE, quy đổi số tiền này thành 175,9 HYPE, rồi chuyển tài sản sang Ethereum. Chiến dịch lừa đảo đã khai thác một tài khoản X giả mạo, mạo danh tài khoản chính thức của HyperSwap, để lừa người dùng cấp quyền chuyển tài sản. Phân tích của BeInCrypto xác định địa chỉ ví của kẻ lừa đảo là 0x880C95246D7525b84902E6c040818a7C72d3Aa77, bị HashDit gắn cờ là Fake_Phishing3746335, hoạt động trong 33 ngày và liên kết với khoảng 25 địa chỉ khác, cho thấy có thể có nhiều nạn nhân tiềm năng.

Kẻ lừa đảo tạo tài khoản X giả quảng bá airdrop

Nạn nhân sử dụng HyperSwap, một sàn giao dịch phi tập trung chạy trên blockchain Hyperliquid, cho phép người dùng giao dịch trực tiếp từ ví của mình. Nạn nhân đã nạp tiền vào một pool thanh khoản trên HyperSwap, trong đó vị thế được biểu diễn bởi NFT #178549 hoạt động như một “biên nhận” kỹ thuật số kiểm soát số tiền liên kết.

Nạn nhân cho BeInCrypto biết anh ta thấy một bài đăng trên X quảng bá một chương trình airdrop. Bài đăng trông như đến từ HyperSwap nhưng thực tế xuất phát từ một tài khoản mạo danh có bút danh gần giống với tài khoản HyperSwap thật, HyperSwapX, tài khoản này được liên kết từ website chính thức của dự án. Nạn nhân bấm theo liên kết và kết nối ví của mình, tin rằng mình đang kiểm tra điều kiện nhận airdrop. Tuy nhiên, anh ta đã phê duyệt một giao dịch cho phép kẻ lừa đảo di chuyển vị thế HyperSwap của mình.

Wallet Approval Transferred NFT #178549 Control

Vào lúc 20:21:51 UTC ngày 29/6, kẻ lừa đảo đã dùng quyền phê duyệt trước đó để chuyển NFT #178549 ra khỏi ví của nạn nhân mà không cần chữ ký bổ sung tại thời điểm đó. Địa chỉ của kẻ lừa đảo, 0x880C95246D7525b84902E6c040818a7C72d3Aa77, đã bị gắn cờ trong hồ sơ explorer của HyperEVM là Fake_Phishing3746335 với thẻ “Phish / Hack” do HashDit báo cáo.

NFT đã được chuyển sang một ví khác do kẻ lừa đảo kiểm soát. Sau đó 25 giây, kẻ lừa đảo rút số tiền nằm sau NFT—NFT này chứa khoảng 3.935 USDC và 116,6 WHYPE, trị giá xấp xỉ 12.300 USD tại thời điểm đó.

Quỹ bị đánh cắp được quy đổi và chuyển cầu trong 84 giây

Sau khi rút tiền, ví của kẻ lừa đảo đã cấp quyền cho LI.FI, một dịch vụ cầu chuyển và hoán đổi chuỗi chéo. BeInCrypto không tìm thấy bằng chứng cho thấy LI.FI tham gia vào vụ trộm. Kẻ lừa đảo đã quy đổi USDC và WHYPE bị đánh cắp thành khoảng 175,9 HYPE, rồi chuyển tiếp HYPE từ HyperEVM sang Ethereum chỉ vài giây sau đó.

Điểm đến là ví Ethereum 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D. Trên Ethereum, ví đó nhận tiền và chuyển tiếp 7,035 ETH trong cùng một giao dịch. Ví này được tạo ngay trước đó, chỉ được dùng một lần và gần như rời đi với số dư trống. Từ lúc chuyển NFT đến giao dịch cầu chuyển, vụ đánh cắp diễn ra chỉ trong khoảng 84 giây.

Ví của kẻ lừa đảo liên quan đến 25 địa chỉ trong 33 ngày

Các hồ sơ explorer mà BeInCrypto xem xét cho thấy địa chỉ của kẻ lừa đảo đã hoạt động khoảng 33 ngày và liên kết với khoảng 25 địa chỉ khác. Liên kết tài nguyên gian lận đã xuất hiện trong tin nhắn từ ngày 26/6, theo hồ sơ blockchain.

Nạn nhân báo cáo lừa đảo qua GitHub và Discord nhưng không nhận phản hồi

Nạn nhân đã cố gắng báo cáo liên kết đáng ngờ và yêu cầu gỡ bỏ. Trong cuộc trò chuyện với BeInCrypto, nạn nhân cho biết anh ta đã thử nhiều cách để cảnh báo đội ngũ Hyperliquid về vụ lừa đảo qua GitHub nhưng không nhận được phản hồi. Theo nạn nhân, kênh liên lạc duy nhất với HyperSwap là Discord, nhưng liên kết tới kênh này không hợp lệ tại thời điểm bài viết đăng. Nỗ lực liên hệ nhóm của hệ sinh thái Hyperliquid không thành công, khi nhóm này yêu cầu người dùng liên hệ trực tiếp với HyperSwap.

Nạn nhân cho rằng nhân viên HyperSwap có thể liên quan đến vụ trộm hoặc đang cố tình che giấu nó. BeInCrypto không thể xác minh chính xác các cáo buộc này.

Câu hỏi thường gặp (FAQ)

Điều gì đã xảy ra trong vụ tấn công phishing HyperSwap ngày 29/6?
Một người dùng HyperSwap đã mất khoảng 12.300 USD sau khi bấm vào liên kết airdrop giả trên X và phê duyệt yêu cầu ví. Kẻ lừa đảo đã chuyển NFT #178549—đại diện vị thế thanh khoản của nạn nhân—vào lúc 20:21:51 UTC ngày 29/6, rút ra khoảng 3.935 USDC và 116,6 WHYPE, quy đổi thành 175,9 HYPE, rồi chuyển cầu tài sản sang Ethereum trong 84 giây.

Kẻ lừa đảo đã giành quyền kiểm soát tiền của nạn nhân như thế nào?
Kẻ lừa đảo dùng một tài khoản X giả mạo mạo danh tài khoản chính thức của HyperSwap để quảng bá một chương trình airdrop lừa đảo. Khi nạn nhân kết nối ví và phê duyệt các yêu cầu, anh ta đã cấp quyền cho kẻ lừa đảo chuyển NFT #178549, kiểm soát vị thế thanh khoản HyperSwap trị giá khoảng 12.300 USD.

Địa chỉ ví nào được dùng trong vụ phishing HyperSwap?
Kẻ lừa đảo dùng địa chỉ ví 0x880C95246D7525b84902E6c040818a7C72d3Aa77, bị gắn cờ trong hồ sơ explorer của HyperEVM là Fake_Phishing3746335 với thẻ “Phish / Hack” do HashDit báo cáo. Các hồ sơ này cho thấy địa chỉ đã hoạt động khoảng 33 ngày và liên kết với khoảng 25 địa chỉ khác.