Un usuario del exchange descentralizado HyperSwap, que opera en la blockchain Hyperliquid (capa HyperEVM), se puso en contacto conmigo. Reportó una pérdida de aproximadamente $12,000. Los fondos fueron robados mediante un clásico ataque de phishing, iniciado a través de un enlace falso en la red social X.

El análisis de los datos proporcionados y los registros del explorador de blockchain me permitió reconstruir completamente la cronología del incidente. Se trata de un esquema bien afinado, no de un error casual.

Cómo ocurrió

La víctima mantenía activos en un pool de liquidez de HyperSwap. El derecho a la participación en el pool se confirmaba mediante un NFT único. En su feed de X, se topó con una publicación en una cuenta que visualmente era indistinguible del perfil oficial de HyperSwap. La publicación ofrecía un "airdrop" — una distribución gratuita de tokens. Al hacer clic en el enlace, el usuario llegó a un sitio clonado, donde se le ofreció "verificar el derecho a recibir el bono".

En ese sitio falso, conectó su billetera y confirmó una transacción. Externamente, no se diferenciaba en nada de las operaciones estándar en servicios DeFi legítimos. En realidad, le otorgó al estafador un permiso (approve) para gestionar su NFT de liquidez.

El momento del robo

La fase activa del ataque duró dos minutos — de las 20:21 a las 20:23 UTC del 29 de junio de 2026. El estafador, utilizando el permiso obtenido previamente, inició él mismo la transferencia del NFT desde la billetera de la víctima a su propia dirección. Punto clave: el robo en sí fue cometido por el atacante, quien pagó el gas de la transacción. La víctima no firmó nada en ese momento. En esto consiste la esencia de un "drainer": el acceso se obtiene por adelantado, y la extracción de fondos ocurre después, sin el conocimiento del propietario.

Tras obtener el NFT, el estafador retiró la liquidez del mismo: aproximadamente 3935 USDC y 116 WHYPE, sumando un total de unos $12,100. Luego, utilizando el puente entre cadenas legítimo LI.FI, convirtió todo a HYPE y transfirió alrededor de $12,300 a la red Ethereum.

Rastros y reacción

En la red Ethereum, los fondos llegaron a una billetera "de tránsito" desechable, creada poco antes y vaciada de inmediato. Esta es una práctica estándar para borrar huellas. Es importante destacar: para la retirada se utilizó un servicio común y legítimo, lo que complica el rastreo y puede crear la falsa impresión de que el exchange o el puente están involucrados en el robo.

La dirección del estafador, marcada por el servicio de seguridad HashDit como Fake_Phishing3746335, estuvo activa durante aproximadamente un mes y está vinculada a unas 25 billeteras diferentes. Esto indica un esquema serial, montado como una operación en cadena.

La víctima intentó contactar al equipo de Hyperliquid y HyperSwap para bloquear el enlace de phishing, pero no recibió respuesta. El enlace permaneció activo. El único canal de comunicación con HyperSwap (Discord) en ese momento no era válido.

Cómo protegerse

  • Acceda siempre a los sitios web de exchanges y servicios solo a través de enlaces directos desde fuentes oficiales (por ejemplo, CoinMarketCap), no desde publicaciones en redes sociales.
  • Revise cuidadosamente el nombre de la cuenta en X. Los estafadores utilizan imitadores que se diferencian por una o dos letras.
  • Nunca firme transacciones cuyo significado no comprenda completamente. Esto se aplica especialmente a la concesión de permisos (approve) para gestionar tokens y NFT.
  • Revise y revoque regularmente los permisos otorgados a través de servicios verificados, ingresando su dirección manualmente.
  • Ante la menor sospecha de robo, revoque inmediatamente todos los permisos de la billetera comprometida y transfiera los activos restantes a una nueva.

Opinión del experto: Este caso es una clara ilustración del "punto ciego" de seguridad en el ecosistema de Hyperliquid. La responsabilidad principal recae en el equipo de HyperSwap, que no pudo garantizar oportunamente la seguridad de su canal de comunicación ni moderarlo. Sin embargo, los usuarios también deben aprender una dura lección: confiar en enlaces de redes sociales, incluso si parecen oficiales, es un camino directo a la pérdida de fondos. La era en la que se podía hacer clic ciegamente en un "airdrop" ha terminado.