Faux airdrop HyperSwap : un utilisateur perd 12 300 $ en 84 secondes
L’attaque est passée par un faux airdrop sur X et une seule approbation de wallet sur HyperSwap ; la position a été vidée, convertie en HYPE puis envoyée vers Ethereum.
À retenir
- Un utilisateur de HyperSwap a perdu environ 12 300 $ après avoir cliqué sur un faux airdrop sur X et validé une seule demande de wallet.
- En 84 secondes, un scammer a pris le contrôle de la position, a retiré les fonds, les a convertis en HYPE puis a transféré l’argent vers Ethereum.
- L’incident illustre la vitesse à laquelle le phishing peut frapper dans la DeFi et rappelle qu’une seule signature peut suffire à ouvrir l’accès.
Un utilisateur de HyperSwap a perdu environ 12 300 $ (10 800 €) après avoir cliqué sur un faux airdrop diffusé sur X et accepté une seule demande de wallet. En l’espace de 84 secondes, un scammer a pris la main sur la position, en a retiré les fonds, les a convertis en HYPE puis a envoyé la somme vers Ethereum. L’affaire montre à quel point une attaque de phishing peut se dérouler vite dans un environnement DeFi, surtout lorsqu’une simple signature suffit à donner accès à une position.
Comment l’attaque a fonctionné
D’après la reconstitution basée sur des données publiques de la blockchain, l’attaque a démarré avec un faux compte X qui faisait la promotion d’un airdrop. La victime utilisait HyperSwap, une plateforme d’échange crypto opérant sur la blockchain Hyperliquid, et avait placé des fonds dans un pool de liquidité. En contrepartie, elle devait percevoir des frais de trading, tandis que sa position sur HyperSwap V3 était représentée par un NFT #178549.
Ce NFT n’avait rien d’un objet de collection : il servait de preuve numérique pour la position sous-jacente. En pratique, celui qui contrôlait le NFT contrôlait aussi les fonds associés. Une fois une seule demande de wallet approuvée, l’attaquant a obtenu ce contrôle et a pu vider la position.
Pourquoi c’est important
L’incident s’inscrit dans une vague plus large de phishing et de campagnes de scam autour de la DeFi et des réseaux sociaux. Le schéma est bien connu : dans une étude récente sur les pertes liées à la fraude crypto, il a justement été rappelé que l’usurpation d’identité et d’autres scams sont de plus en plus difficiles à stopper avant que les victimes n’envoient des fonds. Des travaux antérieurs ont aussi montré qu’une grande partie des projets NFT promus sur Twitter s’est révélée frauduleuse, tandis que les utilisateurs de DeFi ont signalé en 2023 un total de 1,95 milliard de dollars (1,7 milliard d’euros) de dommages liés à des scams et à des hacks. Pour les utilisateurs européens de crypto, ce type d’attaque est particulièrement parlant, car elle ne commence pas forcément sur la blockchain elle-même, mais souvent par un post ou un giveaway en apparence banal.
Pour les utilisateurs de wallets et d’échanges décentralisés, la leçon principale reste la même : il faut vérifier avec précision ce qui est réellement approuvé. Dans ce cas, aucun grand hack technique n’a été nécessaire, mais seulement une combinaison rapide de social engineering et d’une signature donnée sans attention.
