En el mundo DeFi, donde la descentralización es la principal virtud, los atacantes encuentran nuevas vulnerabilidades aprovechando la falta de atención humana. El reciente incidente en el exchange descentralizado HyperSwap, que opera en la capa HyperEVM del ecosistema Hyperliquid, demuestra claramente cómo un esquema de phishing clásico puede llevar a la pérdida de fondos significativos. La víctima perdió alrededor de $12,000, y este caso revela serias brechas de seguridad no solo a nivel de usuario, sino también en la capacidad de respuesta del propio proyecto.
Anatomía del ataque: desde una publicación falsa hasta el vaciado de la billetera
Todo comenzó con una publicación aparentemente inofensiva en la red social X. El usuario, que mantenía activos en un pool de liquidez de HyperSwap, se topó con un anuncio de distribución de tokens (airdrop) en lo que parecía ser la cuenta oficial del exchange. Al hacer clic en el enlace, llegó a un sitio web visualmente indistinguible del real. Sin embargo, detrás de esto no había un airdrop, sino un sofisticado drenador (drainer), una herramienta para robar fondos de billeteras cripto.
El elemento clave del ataque fue la suplantación. La cuenta de los estafadores era prácticamente idéntica a la cuenta oficial de HyperSwap, diferenciándose solo por un par de caracteres. El usuario, sin notar el engaño, conectó su billetera en el sitio falso y confirmó una transacción, creyendo que simplemente verificaba su derecho a recibir tokens gratuitos. En realidad, otorgó al atacante permiso para disponer de su inversión: un NFT que confirmaba su participación en el pool de liquidez.
Robo instantáneo y encubrimiento de huellas
El robo en sí ocurrió en cuestión de dos minutos. Una vez obtenido el permiso, la dirección fraudulenta, marcada por los servicios de seguridad como Fake_Phishing3746335, aprovechó el acceso y transfirió el NFT con la inversión de la víctima a su propia billetera. Es importante destacar que la víctima no firmó nada en ese momento; aquí radica el peligro de los drenadores: el acceso se obtiene de antemano, y el retiro de fondos ocurre después, sin la participación del propietario.
Luego, el atacante extrajo del NFT todos los fondos líquidos: aproximadamente 3935 USDC y 116 WHYPE, que sumaron alrededor de $12,100. Para retirar los fondos, utilizó el servicio legítimo de cadena cruzada LI.FI, convirtiendo todo a HYPE y enviando alrededor de $12,300 a la red Ethereum a una billetera de "tránsito" desechable. El uso de un servicio legítimo dificulta el rastreo y crea la falsa impresión de que la propia infraestructura es la culpable del robo.
Reacción del proyecto: ¿sordera o complicidad?
El aspecto más alarmante de este incidente es la reacción del equipo de Hyperliquid y HyperSwap. Al descubrir la pérdida, la víctima intentó contactar al equipo de Hyperliquid a través de Discord para informar sobre el enlace fraudulento que aún permanecía en los comentarios. Sin embargo, sus solicitudes fueron ignoradas, y el único canal de comunicación activo con HyperSwap resultó no funcionar. El equipo de Hyperliquid lo redirigió de vuelta a HyperSwap, desentendiéndose efectivamente del problema.
Esto plantea serias preguntas sobre la responsabilidad de los ecosistemas. Hyperliquid proporciona la infraestructura, pero no controla las aplicaciones que operan sobre ella. Sin embargo, cuando la actividad fraudulenta prospera a la vista de todos y el equipo no responde a las señales, se crea un precedente peligroso. La víctima supuso razonablemente que los empleados de HyperSwap podrían estar involucrados en el robo o, como mínimo, ocultarlo deliberadamente.
Conclusiones del analista
Este caso no es solo la historia de una pérdida. Es una llamada de atención para todo el ecosistema Hyperliquid. Mientras el equipo del proyecto no asuma la responsabilidad por la seguridad de los usuarios, al menos a nivel de moderación y respuesta rápida a las amenazas, estas "zonas ciegas" seguirán siendo una mina de oro para los estafadores. Por su parte, los usuarios deben recordar: verifiquen las direcciones de las billeteras y los nombres de las cuentas letra por letra, no confirmen transacciones sospechosas y, sobre todo, no confíen en promesas de distribuciones gratuitas. En el mundo DeFi, su seguridad es su responsabilidad personal y, lamentablemente, no se puede depender de la vigilancia de nadie más.