ผู้ใช้ HyperSwap รายหนึ่งสูญเงินไปประมาณ 12,300 USD หลังจากคลิกลิงก์แอร์ดรอปปลอมบน X อนุมัติคำขอจากวอลเล็ตหนึ่งครั้ง และโดยไม่รู้ตัวได้ให้มิจฉาชีพควบคุมเงินของเขา
BeInCrypto ได้ทำการรื้อคืนเหตุการณ์โจมตีนี้ร่วมกับเหยื่อโดยใช้ข้อมูลจากบล็อกเชนสาธารณะ ข้อมูลเหล่านั้นแสดงให้เห็นถึงการโจมตีแบบฟิชชิ่งที่รวดเร็วภายใน ระบบนิเวศ Hyperliquid
มิจฉาชีพได้ยึดตำแหน่งของเหยื่อใน HyperSwap ถอนเงินที่อยู่เบื้องหลังตำแหน่งนั้น นำเงินไปแปลงเป็น HYPE และโอนเงินไป Ethereum ภายในเวลาไม่ถึงสองนาที
หมายเหตุ: HyperSwap เป็นกระดานแลกเปลี่ยนที่ทำงานบนบล็อกเชน Hyperliquid โดย HyperSwap มีทีมงานของตัวเอง และ Hyperliquid ไม่ได้เป็นผู้ดูแล — คล้ายกับที่ผู้สร้าง Ethereum ไม่ได้ดูแลแอปพลิเคชันอย่าง Uniswap ที่ทำงานอยู่บนเครือข่ายเดียวกัน
กับดักเริ่มต้นจากบัญชี X ปลอม
เหยื่อได้ใช้ HyperSwap เช่นเดียวกับกระดานแลกเปลี่ยนแบบกระจายศูนย์อื่น ๆ ที่อนุญาตให้ผู้ใช้ซื้อขายโดยตรงจากวอลเล็ตของพวกเขาเองโดยไม่มีบริษัทใดเก็บเงินของพวกเขาไว้
เหยื่อได้ฝากเงินเข้าไปในพูลสภาพคล่องของ HyperSwap กล่าวง่าย ๆ คือ เขานำคริปโตไปฝากไว้เพื่อให้ผู้ใช้คนอื่นสามารถเทรดกับมันได้ และในทางกลับกันเขาก็มีโอกาสได้รับค่าธรรมเนียม
บน HyperSwap V3 ตำแหน่งนั้นถูกแทนด้วย NFT #178549 ซึ่งไม่ใช่ภาพหรือของสะสม แต่คล้ายใบเสร็จดิจิทัลมากกว่า ผู้ที่ควบคุม NFT นั้น จะควบคุมเงินในตำแหน่งนั้นได้ด้วย
เหยื่อให้ข้อมูลกับ BeInCrypto ว่า เขาเห็นโพสต์บน X ที่โปรโมทแอร์ดรอป โดยแอร์ดรอปคือการแจกโทเคน ซึ่งโครงการคริปโตมักใช้ในรางวัลตอบแทนผู้ใช้
โพสต์ดังกล่าวเหมือนจะมาจาก HyperSwap แต่จริง ๆ แล้วมาจากบัญชีปลอมที่ใช้แฮนด์เดิลคล้ายกับบัญชีจริงคือ HyperSwapX ซึ่งลิงก์จากเว็บไซต์ทางการของโครงการ
เหยื่อตามลิงก์ไปและเชื่อมต่อวอลเล็ตของเขา เขาคิดว่าเขากำลังตรวจสอบว่าตนเองมีสิทธิ์ได้รับแอร์ดรอปหรือไม่ แต่เขากลับอนุมัติธุรกรรมให้มิจฉาชีพสามารถย้ายตำแหน่งใน HyperSwap แทน
การอนุมัตินั้นจึงกลายเป็นจุดสำคัญที่สุด
การอนุมัติเดียวทำให้มิจฉาชีพควบคุมได้ทั้งหมด
วอลเล็ตคริปโตมักขอให้ผู้ใช้อนุมัติธุรกรรม บางการอนุมัติไม่มีอันตราย แต่บางอย่างให้อีกแอดเดรสย้ายสินทรัพย์ที่มีมูลค่าได้
สำหรับผู้ใช้ส่วนใหญ่ คำเตือนเหล่านี้อาจดูเหมือนเป็นเรื่องปกติ และเว็บไซต์ปลอมสามารถทำให้การอนุมัติอันตรายดูเหมือนขั้นตอนธรรมดาสำหรับการรับโทเคน
ดูเหมือนว่าเหตุการณ์นี้ก็เป็นเช่นนั้นเช่นกัน
เมื่อเวลา 20:21:51 UTC ของวันที่ 29 มิถุนายน ผู้หลอกลวงได้ใช้การอนุมัติก่อนหน้านี้เพื่อโอน NFT #178549 ออกจากกระเป๋าของเหยื่อ ในขณะนั้นเหยื่อไม่ได้เซ็นอะไรเลย เพราะผู้หลอกลวงได้รับสิทธิ์ไปแล้ว
ที่อยู่ของผู้หลอกลวงคือ 0x880C95246D7525b84902E6c040818a7C72d3Aa77 บันทึกของ HyperEVM explorer ได้ระบุที่อยู่นี้ว่าเป็น Fake_Phishing3746335 พร้อมแท็ก Phish / Hack ซึ่งถูกรายงานโดย HashDit
NFT ถูกส่งต่อไปยังกระเป๋าอื่นที่ควบคุมโดยผู้หลอกลวง และเมื่อการโอนเสร็จสิ้น ผู้โจมตีจึงควบคุมตำแหน่งสภาพคล่องได้เต็มที่
หลังจากนั้นเพียงยี่สิบห้าวินาที ผู้หลอกลวงจึงถอนเงินที่อยู่เบื้องหลัง NFT ออกมา โดยตำแหน่งนี้มีประมาณ 3,935 USDC และ 116.6 WHYPE รวมกันคิดเป็นมูลค่าราว 12,300 USD ในขณะนั้น
เงินถูกเคลื่อนย้ายอย่างรวดเร็ว
หลังจากที่ถอนเงินแล้ว ผู้หลอกลวงก็เตรียมจะย้ายเงินออกจาก HyperEVM
ก่อนอื่น กระเป๋าได้ให้สิทธิ์กับ LI.FI ซึ่งเป็นบริการ cross-chain bridge และ swap ที่มีความน่าเชื่อถือ บริดจ์ช่วยให้ผู้ใช้สามารถย้ายคริปโตจากบล็อกเชนหนึ่งไปอีกบล็อกเชนหนึ่งได้
ไม่มีหลักฐานว่า LI.FI มีส่วนเกี่ยวข้องกับการขโมยครั้งนี้ ผู้หลอกลวงแค่ใช้บริการดังกล่าวหลังจากขโมยเงินแล้ว
จากนั้นผู้หลอกลวงจึงเปลี่ยน USDC และ WHYPE ที่ขโมยได้ให้กลายเป็น HYPE ประมาณ 175.9 ทันที หลังจากนั้นอีกไม่กี่วินาที HYPE เหล่านั้นถูกบริดจ์จาก HyperEVM ไปยัง Ethereum
ปลายทางคือที่อยู่ 0xFa47eef42fB2C63DCEA0cAC2295a58036052932D บน Ethereum กระเป๋านี้ได้รับเงินแล้วไม่นานก็ย้าย 7.035 ETH ออกทันทีในการทำธุรกรรมเดียว
กระเป๋าเหล่านี้เพิ่งถูกสร้างขึ้นไม่นาน โดยถูกใช้แค่ครั้งเดียว แล้วก็ถูกทิ้งให้เกือบว่างเปล่า ลักษณะนี้มักพบในเครือข่ายฟอกเงิน ซึ่งเงินที่ขโมยมักจะผ่านกระเป๋าชั่วคราวเพื่อทำให้การติดตามยากขึ้น
นับตั้งแต่โอน NFT จนถึงบริดจ์ธุรกรรม การขโมยดังกล่าวใช้เวลาทั้งสิ้นประมาณ 84 วินาที
รูปแบบฟิชชิ่งที่กว้างขึ้น
กระเป๋าของผู้หลอกลวงดูเหมือนจะเป็นส่วนหนึ่งของปฏิบัติการที่กว้างขวางกว่านั้น
จากบันทึกของ Explorer ซึ่ง BeInCrypto ตรวจสอบ พบว่าที่อยู่นี้มีความเคลื่อนไหวต่อเนื่องประมาณ 33 วัน และยังเชื่อมโยงกับที่อยู่อื่นราว 25 แห่งอีกด้วย สะท้อนให้เห็นว่า ผู้โจมตีอาจมีเป้าหมายมากกว่าหนึ่งราย
สำหรับเหยื่อ ปัญหานี้เป็นเรื่องของการปฏิบัติจริง บันทึกบนบล็อกเชนจะแสดงสิ่งที่เกิดขึ้น แต่แทบไม่สามารถหยุดยั้งเหตุการณ์ได้ทันทีในเวลาจริง
ทันทีที่ผู้ใช้งานเซ็นอนุมัติที่ไม่ดี มิจฉาชีพจะดำเนินการได้อย่างรวดเร็ว และเมื่อเงินย้ายข้ามเครือข่าย การกู้คืนจะยิ่งยากขึ้นกว่าเดิม
ต่อมาเหยื่อได้พยายามรายงานลิงก์ที่น่าสงสัยและขอให้ลบออก แต่เขาบอกว่ารู้สึกถูกละเลย จึงเริ่มสงสัยว่าทีม HyperSwap ไม่ได้ดำเนินการใด ๆ เลย
หลักฐานออนเชนที่ BeInCrypto ตรวจสอบชี้ไปที่การโจมตีแบบฟิชชิ่งโดยบัญชีปลอม โดยบัญชี X ปลอมนี้แยกออกจากบัญชีทางการของ HyperSwap ทั้งบัญชีและสัญญาทางการของ HyperSwap ไม่ได้แสดงให้เห็นว่ามีส่วนร่วมในการขโมยครั้งนี้
อย่างไรก็ตาม ประสบการณ์ของเหยื่อครั้งนี้เน้นให้เห็นถึงจุดอ่อนร้ายแรงในระบบนิเวศ ผู้ใช้งานต่างโดนโจมตีผ่านบัญชีโซเชียลมีเดียปลอม ถูกดูดเงินด้วยการอนุมัติกระเป๋าแบบสับสน และยังเหลือทางเลือกที่ชัดเจนเพียงไม่มากหลังจากเงินได้หายไปแล้ว
ระหว่างที่พูดคุยกับนักข่าว BeInCrypto เหยื่อระบุว่าเขา พยายามแจ้งเตือน ทีม Hyperliquid เกี่ยวกับกลโกงนี้หลายวิธี แต่กลับไม่ได้รับการตอบกลับใด ๆ เลย
ตามที่เหยื่อกล่าว ช่องสื่อสารเดียวที่สามารถติดต่อ HyperSwap ได้คือตัว Discord ซึ่งในขณะที่เขียนบทความนี้ ลิงก์นั้นใช้งานไม่ได้แล้ว ดังนั้นเขาจึงพยายามสื่อสารปัญหาให้กับทีมของระบบนิเวศที่โปรเจกต์นี้ทำงานอยู่ แต่ก็ไม่ประสบความสำเร็จเช่นกัน
โดยรวมแล้ว วิธีการของมิจฉาชีพนี้ค่อนข้างง่าย บัญชีปลอมโปรโมท airdrop ปลอม เว็บไซต์ปลอมขอการอนุมัติกระเป๋าสตางค์ กระเป๋าฟิชชิ่งที่ถูกแจ้งเตือนดูดตำแหน่ง HyperSwap ของเหยื่อ เอาออกจนหมด และย้ายเงินไปที่ Ethereum
เหยื่อต้องสูญเสียเงินประมาณ 12,300 USD ซึ่งการขโมยใช้เวลาน้อยกว่าสองนาที
เหยื่อเสนอแนะว่าพนักงาน HyperSwap อาจมีส่วนเกี่ยวข้องหรืออาจตั้งใจปกปิดเรื่องนี้ อย่างไรก็ตาม BeInCrypto ไม่พบข้อมูลยืนยันเรื่องดังกล่าวแต่อย่างใด
