Слепая зона безопасности: Как хакеры грабят пользователей Hyperliquid на $12,000

Торговля на децентрализованных биржах несет скрытые риски: пользователь HyperSwap потерял около $12,000 из-за уязвимости в сети HyperEVM, что может спровоцировать 10%-ную коррекцию на рынке. Хакеры активно эксплуатируют слепые зоны безопасности DEX, и этот инцидент — лишь вершина айсберга.

С чего началось

Пострадавший держал активы на HyperSwap. На платформе пользователь добавляет свои монеты в общий пул и получает за это доход, а право на вложение подтверждается NFT с уникальным номером.

В соцсети X, в официальном аккаунте HyperSwap, пользователь увидел пост со ссылкой и перешел по ней на сайт, где предлагали аирдроп. За ссылкой скрывался дрейнер — инструмент для кражи средств с криптокошелька.

HyperSwap — это биржа, работающая на блокчейне Hyperliquid (точнее, на его слое HyperEVM). У HyperSwap своя команда, и Hyperliquid им не управляет — так же как создатели Ethereum не управляют работающими на нем приложениями вроде Uniswap.

Подмена, которую не заметили

Пост опубликовал не официальный аккаунт биржи, а поддельный. Его название почти не отличается от настоящего — разница в паре букв. Официальный сайт HyperSwap ссылается на один аккаунт, а ссылку на дрейнер разместил похожий по написанию двойник. Пользователь не заметил подмены и принял фальшивую страницу за настоящую.

На поддельном сайте пользователь подключил кошелек и подтвердил операцию, полагая, что просто проверяет право на бесплатные монеты. На деле этим действием он выдал мошеннику разрешение распоряжаться своим вложением. Такое подтверждение внешне неотличимо от обычных операций на настоящих сервисах, поэтому подвох остается незамеченным до самого списания.

Кража заняла меньше двух минут

Дальше все произошло очень быстро. Данные обозревателя показывают, что активная фаза кражи уложилась в промежуток с 20:21 до 20:23 (UTC) 29 июня 2026 года.

Сначала мошеннический адрес, помеченный обозревателем hyperevmscan как Fake_Phishing3746335 (по сигналу сервиса безопасности HashDit), воспользовался ранее выданным доступом и перевел NFT с вложением пользователя на свой кошелек.

Ключевая деталь: эту операцию запустил сам мошенник и сам оплатил комиссию — в момент кражи жертва ничего не подписывала. В этом и суть дрейнера: доступ выманивают заранее, а списание совершают позже, без участия владельца.

В сети Ethereum деньги пришли на адрес, созданный незадолго до этого. Он был использован один раз: получил средства, почти сразу вывел их дальше одной операцией и остался практически пустым. Такой разовый «перевалочный» кошелек — типовой элемент цепочки, по которой уводят похищенное.

Отдельно стоит отметить прием, который часто вводит жертв в заблуждение. Для вывода мошенник использовал не какой-то «хакерский» инструмент, а обычный, легальный сервис переводов между сетями. Это осложняет отслеживание и создает у пострадавшего ложное впечатление, будто виноват сам сервис или биржа.

Мошеннический адрес, по данным обозревателя, был активен около месяца и связан примерно с 25 разными кошельками. Вероятнее всего, речь идет об отлаженной, поставленной на поток схеме, а не о случайном инциденте.

Претензии к проекту

Обнаружив пропажу, пользователь попытался достучаться до команды проекта, чтобы подозрительную ссылку убрали. Ссылка осталась на месте.

• Заходить на биржи и сервисы только по адресам из официальных источников, а не по ссылкам из постов и личных сообщений в соцсетях. 
• Проверять название аккаунта побуквенно: мошенники создают двойники платформ, отличающиеся одной-двумя буквами.
• Не подтверждать в кошельке операции, смысл которых непонятен, — особенно выдачу разрешений на распоряжение токенами и вложениями.
• Регулярно проверять и отзывать выданные разрешения через проверенные сервисы, набирая их адрес вручную.
• При подозрении на кражу — как можно быстрее отозвать все разрешения с пострадавшего кошелька и перевести оставшиеся активы на новый.