L’hyperliquide Ad Phishing a coûté 550 000 dollars… Pourquoi les publicités Google verifiées représentent-elles aujourd’hui un risque direct pour les portefeuilles financiers ?

L’incident Hyperliquid a transformé un résultat de recherche sponsorisé en une situation à risque pour le portefeuille.

À propos550 000 dollars ont été perdus lors d’une campagne de phishing utilisant des publicités payées sur Google.Le 13 août, trois adresses d’attaquants ont reçu des transferts en USDC, pour un montant total d’environ 550 000 dollars. C’était…Pas un hack de la plateforme Hyperliquid elle-même.Au lieu de cela, les utilisateurs étaient envoyés vers uneSite web frauduleux qui imite la plateforme officielle de Hyperliquidvia une publicité sponsorisée.

La discussion est simple. Certains affirment que le problème commence avec les utilisateurs quiL’annonce en elle-même n’est pas le problème ; c’est plutôt l’absence de vérification de l’URL avant de se connecter à un portefeuille.D’autres soulignent que le modèle de résultats payants de Google place encore les pages similaires en tête pour les utilisateurs, et même après l’élimination d’une campagne,Les attaquants peuvent remplacer les campagnes supprimées..

Les comptes Google Ads loués ou compromise sont le véritable obstacle.

Un retrait d’annonce n’a de sens que si l’annonce elle-même constitue le principal obstacle. Mais ce n’est pas le cas. SEAL a bloqué…Plus de 356 adresses URL de publicités malveillantesDepuis mars. Ce chiffre indique une série régulière d’utilisation des publicités Google Ads par les attaquants, et non un simple erreur isolée.

L’accès au compte est plus important qu’une seule page d’accueil.

SEAL dit que les attaquants utilisentDes publicitaires ont été piratés, ainsi que des comptes vérifiés achetés sur le marché du crime.Cela change la dynamique. Si le problème se limitait à un seul élément créatif ou à une seule adresse URL, les retraits des publicités seraient plus fréquents. En réalité, c’est l’identité de l’annonceur qui est répétable et qui peut être vérifiée. Google a suspendu les comptes d’annonceurs mentionnés dans le rapport de SEAL. Mais ce phénomène persiste, car les attaquants peuvent passer à un autre compte loué ou compromis.

Le cloaking, les iframes et les services de drainage permettent de rendre ce processus répétable.

SEAL dit que ces campagnes utilisent souventMécanismes de dissimulation et d’imagerie digitale, dans le but de contourner les processus de révision automatisés par Google.En plus de entraver les chercheurs en sécurité. Sur la page d’accueil, les chercheurs ont identifiéiframes cachésLes fonds sont capturés grâce à des outils de drainage comme Inferno Drainer et Vanilla Drainer. La chaîne de processus est simple : un compte vérifié et loué ou compromis → évitement des contrôles → page similaire → drainage du portefeuille.

Hyperliquid fait désormais partie d’un schéma plus large visant les utilisateurs de cryptomonnaies.

Uniswap reste le marqueur le plus souvent imité, mais Hyperliquid n’est plus une théorie. SEAL a identifié356 URLs de publicités malveillantes de Google au cours des semaines, y compris des imitations de Hyperliquid.L’attaque du 13 août a utilisé une publicité de recherche sur Google frauduleuse, qui mène vers un site ressemblant à Hyperliquid. Pour les protocoles de grande importance, les attaquants n’ont pas besoin d’une campagne longue. Ils ont besoin d’un espace publicitaire approuvé et d’un court délai avant que la campagne ne soit découverte.

Traitez les liens cryptiques sponsorisés comme étant à haut risque, jusqu’à ce que le processus de conversion change.

Le risque est plus large qu’un seul protocole. Au début du mois,Activités de phishing similaires visant les utilisateurs de Trezor, via les résultats de recherche Google sponsorisés.Cela montre que ce n’est pas un problème isolé. En plus de cela…Volume stable de publicités Google Ads déployées par l’attaquant chaque semaine, pendant plus d’un an.La conclusion pratique est claire : il faut traiter les liens cryptos sponsorisés avec une plus grande prudence, jusqu’à ce qu’il y ait des preuves que le système devient plus difficile à abuser.

Le ensemble de règles pratiques

Donc, la configuration par défaut devrait être simple : utiliser des marqueurs ou des liens officiellement listés pour les outils liés aux cryptomonnaies, et vérifier l’URL avant de se connecter à un portefeuille.

Qu’est-ce qui pourrait réellement améliorer la situation ?

Cette position devrait s’adoucir uniquement si le chemin d’attaque devient plus difficile :

• Moins de lancements réussis grâce à des comptes vérifiés loués ou compromis.
• Retrait plus rapide après signalement d’abus
• Une responsabilité plus claire pour les propriétaires des comptes

Jusqu’à ce que ces signaux s’améliorent, l’évitement reste la stratégie défensive la plus efficace.