Falso airdrop su HyperSwap costa a un utente $12.300 in 84 secondi
L’attacco è partito da un finto airdrop su X e da una sola approvazione del wallet su HyperSwap: la posizione è stata svuotata, convertita in HYPE e inviata su Ethereum.
In breve
- Un utente di HyperSwap ha perso circa $12.300 dopo aver cliccato su un finto airdrop su X e aver approvato una richiesta del wallet.
- In 84 secondi, uno scammer ha preso il controllo della posizione, ha prelevato i fondi, li ha convertiti in HYPE e ha inviato il denaro su Ethereum.
- L'incidente mostra quanto velocemente può andare avanti il phishing nella DeFi e come una sola firma possa già bastare per dare accesso.
Un utente di HyperSwap ha perso circa $12.300 (€10.800) dopo aver cliccato su un finto airdrop su X e aver approvato una richiesta del wallet. Nel giro di 84 secondi, lo scammer aveva già preso il controllo della posizione, ritirato i fondi, convertito tutto in HYPE e trasferito il denaro su Ethereum. L'episodio mostra quanto possa essere rapido un attacco di phishing in un ambiente DeFi, soprattutto quando basta una sola firma per sbloccare l'accesso a una posizione.
Come ha funzionato l'attacco
Stando alla ricostruzione basata sui dati pubblici della blockchain, tutto è partito da un account falso su X che pubblicizzava un airdrop. L'utente si trovava su HyperSwap, un crypto exchange che gira sulla blockchain di Hyperliquid, e aveva depositato fondi in un liquidity pool. In cambio avrebbe maturato commissioni di trading, mentre la sua posizione su HyperSwap V3 veniva registrata come NFT #178549.
Quell'NFT non era un semplice oggetto da collezione, ma il certificato digitale della posizione sottostante. Chi ne aveva il controllo, infatti, controllava anche i fondi collegati. Dopo aver approvato una sola richiesta del wallet, l'attaccante ha ottenuto quel controllo e ha potuto svuotare la posizione.
Perché è importante
L'episodio si inserisce in una tendenza più ampia fatta di phishing e campagne scam che sfruttano DeFi e social media. Non è uno schema nuovo: in una recente analisi sulle crypto fraud losses è stato evidenziato come impersonificazione e altre truffe siano sempre più difficili da bloccare prima che le vittime inviino i fondi. Ricerche precedenti avevano già mostrato che gran parte dei progetti NFT promossi su Twitter risultava fraudolenta, mentre gli utenti DeFi nel 2023 hanno segnalato insieme danni per $1,95 miliardi (€1,7 miliardi) tra scam e hack. Per gli utenti crypto europei, questo rende attacchi del genere ancora più rilevanti, perché spesso il problema non nasce dalla blockchain in sé, ma da un post o da un giveaway che sembrano del tutto innocui.
Per chi usa wallet e exchange decentralizzati, il punto centrale è capire con precisione cosa si sta approvando. In questo caso non è servito un grande hack tecnico, ma una combinazione molto rapida di social engineering e di una firma concessa senza la dovuta attenzione.
