Un usuario de Hyperliquid habría perdido aproximadamente $550.000 en USDC después de caer en una campaña de phishing promocionada mediante un anuncio pagado en Google. El caso vuelve a poner el foco sobre una de las vías de ataque más persistentes contra los usuarios de criptomonedas: anuncios que aparentan dirigir a plataformas legítimas, pero conducen a sitios diseñados para imitar su identidad y apropiarse de los fondos.
La información fue divulgada por Darcy, cofundador de FlashRescue, firma especializada en rastreo y recuperación de activos digitales. Según el especialista, los datos registrados en blockchain muestran tres transferencias desde la cartera de la víctima hacia direcciones que identificó como controladas por el atacante.
El incidente adquiere especial relevancia porque no se trataría de una página encontrada accidentalmente en internet. La víctima habría llegado al sitio fraudulento a través de un anuncio de Google, una modalidad que continúa siendo utilizada para atacar a usuarios que buscan directamente plataformas y protocolos de criptomonedas.
TE PUEDE INTERESAR: Apps falsas de criptomonedas lograron infiltrarse en App Store y buscaban robar fondos de usuarios
El phishing de Hyperliquid habría provocado una pérdida de $550.000
De acuerdo con el análisis publicado por Darcy, el usuario afectado habría interactuado con un sitio web que se hacía pasar por Hyperliquid después de encontrarlo mediante un anuncio patrocinado en Google.
La investigación de FlashRescue apunta a tres movimientos realizados desde la cartera de la víctima. Esas transacciones, según Darcy, terminaron en direcciones asociadas con el atacante y representan una pérdida aproximada de $550.000 en USDC.
El uso de USDC resulta especialmente relevante en este tipo de incidentes porque permite que el atacante reciba un activo digital vinculado al dólar y pueda moverlo posteriormente a otras direcciones.
Aunque la información disponible no detalla públicamente todos los pasos que siguió la víctima antes de perder sus fondos, el caso encaja con una estrategia conocida como phishing mediante anuncios de búsqueda: el atacante utiliza publicidad pagada para colocar una página fraudulenta frente a personas que ya están buscando una plataforma específica.
En lugar de depender únicamente de mensajes enviados por correo electrónico o redes sociales, el atacante intenta aparecer en el momento exacto en el que el usuario busca acceder al servicio legítimo.
¿Cómo funciona una estafa de phishing mediante Google Ads?
El mecanismo es relativamente sencillo, pero puede resultar efectivo.
Un atacante crea o utiliza una página que imita la apariencia de una plataforma reconocida. Posteriormente, compra publicidad para determinadas palabras clave relacionadas con esa plataforma.
Cuando una persona realiza una búsqueda, el anuncio puede aparecer entre los primeros resultados. Si el usuario no verifica cuidadosamente el dominio, puede asumir que está entrando en el sitio oficial.
En el caso de Hyperliquid, el supuesto sitio fraudulento habría utilizado esta estrategia para atraer al usuario que terminó perdiendo los fondos.
El peligro aumenta en el ecosistema cripto porque una interacción aparentemente rutinaria con una página puede terminar provocando consecuencias financieras inmediatas. Una vez que el usuario conecta su cartera o autoriza determinadas operaciones, recuperar los activos puede ser extremadamente difícil.
Por ello, el phishing dirigido mediante buscadores no necesita necesariamente explotar una vulnerabilidad técnica de Hyperliquid. El objetivo puede ser simplemente engañar al usuario para que entregue voluntariamente acceso o autorizaciones a una página controlada por terceros.
Los anuncios maliciosos de criptomonedas no son un fenómeno nuevo
El uso de anuncios de búsqueda para promocionar páginas falsas de criptomonedas lleva varios años siendo utilizado por los estafadores.
The Block ya había documentado esta modalidad en 2020, cuando atacantes compraban anuncios relacionados con plataformas como Balancer y Uniswap. Los enlaces conducían a páginas diseñadas para parecerse a los sitios legítimos con el objetivo de robar claves privadas o conseguir aprobaciones maliciosas de las carteras.
El patrón resulta especialmente peligroso porque aprovecha la confianza que los usuarios depositan en los motores de búsqueda.
Para una persona que escribe el nombre de un protocolo conocido en Google, la aparición de un anuncio patrocinado puede interpretarse como una señal de legitimidad. Sin embargo, que una página aparezca como publicidad no significa que sea operada por la plataforma cuyo nombre utiliza.
El caso de Hyperliquid demuestra que esta técnica continúa representando un riesgo para los usuarios de activos digitales.
Google suspendió la cuenta del anunciante
Tras conocerse el incidente, Google informó a The Block que había suspendido al anunciante involucrado.
Un portavoz de la compañía aseguró que Google mantiene una política de tolerancia cero frente a las estafas y señaló que la empresa bloquea el 99% de los anuncios que infringen sus políticas antes de que lleguen a publicarse.
Google también indicó que durante el año anterior había eliminado más de 602 millones de anuncios relacionados con estafas.
La magnitud de esa cifra muestra el volumen de publicidad fraudulenta que los sistemas de detección deben procesar, pero el caso de Hyperliquid también evidencia que algunos anuncios maliciosos pueden superar temporalmente los controles y alcanzar potenciales víctimas.
Para los usuarios de criptomonedas, esa ventana puede ser suficiente.
TE PUEDE INTERESAR: ALERTA: Si tienes Iphone tus criptomonedas podrían estar en peligro según Google
SEAL ya había bloqueado cientos de anuncios maliciosos
El incidente tampoco aparece aislado dentro del ecosistema cripto.
En abril, Security Alliance (SEAL), una organización sin fines de lucro especializada en seguridad dentro del sector de criptomonedas, informó que había bloqueado 356 URL de anuncios maliciosos de Google durante un periodo de varias semanas.
Entre los sitios identificados había varias páginas que se hacían pasar por Hyperliquid.
SEAL indicó posteriormente que Google había suspendido las cuentas de los anunciantes incluidos en su informe.
El hallazgo resulta especialmente significativo porque demuestra que los ataques no están dirigidos exclusivamente contra un único protocolo. Los responsables buscan plataformas con una gran cantidad de capital y usuarios activos, aumentando así el potencial beneficio de cada campaña.
Según SEAL, además de Hyperliquid, los atacantes suelen apuntar a protocolos con un elevado valor total bloqueado y aplicaciones nativas de Ethereum o Solana, entre ellas Jupiter, Raydium y Pump.fun.
Los atacantes buscan plataformas con usuarios y capital
La lógica económica detrás de este tipo de campañas es clara: cuanto mayor sea la cantidad de capital que manejan los usuarios de una plataforma, mayor puede ser la recompensa de un ataque exitoso.
Esto convierte a los principales protocolos y aplicaciones descentralizadas en objetivos atractivos.
En lugar de intentar comprometer directamente la infraestructura de una plataforma, los atacantes pueden optar por atacar el punto más vulnerable de la cadena: el usuario.
Una página falsa, un dominio visualmente similar y un anuncio colocado en el momento adecuado pueden ser suficientes para convencer a una persona de conectar su cartera.
Las cuentas publicitarias comprometidas dificultan la detección
SEAL también señaló otro elemento importante en este tipo de operaciones: los atacantes pueden utilizar cuentas de anunciantes comprometidas o adquiridas ilegalmente para intentar evadir los sistemas automatizados de revisión de Google.
Esta estrategia puede dificultar la identificación de las campañas fraudulentas porque el atacante no necesariamente necesita construir desde cero una identidad publicitaria.
Una vez que consigue acceso a una cuenta con cierta legitimidad, puede utilizarla para desplegar anuncios maliciosos y aprovechar temporalmente la confianza asociada con ella.
El problema es particularmente grave en las criptomonedas debido a la velocidad con la que pueden ejecutarse las transacciones.
SEAL advirtió que algunos anuncios permanecen activos durante apenas unos minutos antes de encontrar a su primera víctima. Sin embargo, una sola víctima puede representar una pérdida suficientemente elevada como para hacer rentable la operación.
En otras palabras, la corta duración de una campaña no significa que su impacto sea pequeño.
El verdadero riesgo está en la primera interacción
Uno de los aspectos más importantes que deja este caso es que el usuario no necesariamente necesita descargar un programa malicioso para perder sus fondos.
El ataque puede comenzar con algo tan cotidiano como una búsqueda en Google.
Ese punto modifica la forma en que los usuarios deberían interpretar las señales de seguridad. Un dominio que aparece en los primeros resultados, un anuncio patrocinado o una página visualmente idéntica a la original no garantizan que el sitio sea legítimo.
En el entorno de las criptomonedas, donde las operaciones con frecuencia son irreversibles, verificar el dominio antes de conectar una cartera debe considerarse una medida básica de seguridad.
La diferencia entre el sitio legítimo y el fraudulento puede estar en un detalle mínimo del dominio, una letra modificada o una dirección completamente distinta que intenta parecer auténtica.
¿Qué significa el ataque para los usuarios de Hyperliquid?
Para los usuarios de Hyperliquid y otras plataformas de activos digitales, el caso representa una advertencia sobre un riesgo que se encuentra fuera de la infraestructura del protocolo.
El hecho de que una página falsa aparezca en un buscador no implica que el protocolo haya sido vulnerado.
En este incidente, la información divulgada apunta a una estafa de suplantación de identidad mediante publicidad, no a una vulneración de la infraestructura de Hyperliquid.
Esta distinción es fundamental. Una plataforma puede mantener sus sistemas operativos mientras sus usuarios son atacados mediante páginas externas que imitan su identidad.
El riesgo, por tanto, se extiende más allá de Hyperliquid. Cualquier protocolo con una comunidad amplia y usuarios que gestionen cantidades importantes de capital puede convertirse en objetivo de campañas similares.
El caso también plantea preguntas sobre la publicidad cripto
El incidente vuelve a colocar bajo escrutinio el papel de los motores de búsqueda en la distribución de publicidad relacionada con criptomonedas.
Google asegura contar con sistemas para detectar y bloquear anuncios que incumplen sus políticas y afirma haber eliminado cientos de millones de anuncios fraudulentos. Sin embargo, el caso demuestra que los mecanismos de prevención no son completamente impermeables.
Para los atacantes, la ecuación puede seguir siendo atractiva: asumir un coste temporal para publicar un anuncio puede resultar rentable si una única víctima pierde cientos de miles de dólares.
La propia investigación de SEAL apunta precisamente a esa dinámica.
Mientras exista un incentivo financiero elevado, los atacantes pueden seguir intentando desplegar nuevas campañas incluso después de que otras hayan sido eliminadas.
TE PUEDE INTERESAR: Famoso músico estadounidense perdió 5.9 BTC tras descargar una app falsa de Ledger en App Store
¿Qué puede pasar después?
El caso de los $550.000 en USDC perdidos por un usuario de Hyperliquid probablemente reforzará la atención sobre las campañas de phishing distribuidas mediante anuncios de búsqueda.
La respuesta no depende únicamente de los usuarios. Los motores de búsqueda, las plataformas publicitarias, los protocolos y las organizaciones de seguridad tienen distintos puntos de intervención para reducir el alcance de estas campañas.
SEAL ya ha demostrado que el bloqueo rápido de URL puede interrumpir operaciones maliciosas. Google, por su parte, ha señalado que suspende cuentas y elimina anuncios que violan sus políticas.
Sin embargo, la velocidad de los atacantes continúa siendo un problema. Si una campaña puede permanecer activa durante unos minutos y encontrar una víctima antes de ser retirada, el daño económico puede producirse mucho antes de que llegue la respuesta.
Por ahora, Hyperliquid no había respondido a la solicitud de comentarios sobre el incidente.
El episodio deja una advertencia especialmente relevante para el mercado cripto: el próximo ataque no necesariamente llegará desde una vulnerabilidad del protocolo ni desde un enlace recibido por correo electrónico. También puede aparecer como el primer resultado patrocinado de una búsqueda aparentemente normal.
Y cuando detrás de esa búsqueda hay cientos de miles de dólares, unos pocos minutos pueden ser suficientes para convertir un anuncio en una pérdida irreversible.
