El ecosistema de Hyperliquid, a pesar de su atractivo tecnológico, enfrenta serios desafíos en el ámbito de la seguridad. Un usuario se puso en contacto conmigo tras perder aproximadamente $12,000 en el exchange descentralizado HyperSwap, que opera en la red HyperEVM. Los fondos fueron robados como resultado de un ataque de phishing clásico, organizado a través de un enlace falso en la red social X.
Anatomía del ataque: desde la suplantación hasta el robo
La víctima mantenía activos en un pool de liquidez de HyperSwap, donde su participación estaba respaldada por un NFT único. La atención de la víctima fue captada por una publicación en lo que parecía ser la cuenta oficial de HyperSwap, que ofrecía un "airdrop". Al hacer clic en el enlace, el usuario llegó a un sitio clonado, visualmente indistinguible del real. El detalle clave fue la suplantación: el nombre de la cuenta falsa difería de la real solo por un par de caracteres, y el sitio era una copia exacta.
Después de conectar la billetera y confirmar una transacción que la víctima interpretó como una verificación del derecho a recibir tokens gratuitos, en realidad otorgó al estafador permiso para gestionar su inversión en NFT. Esta acción es la piedra angular del esquema: el usuario, sin saberlo, firma una autorización que el atacante utiliza posteriormente.
Implementación técnica y cronología
La fase activa del robo duró menos de dos minutos, de 20:21 a 20:23 UTC del 29 de junio de 2026. La dirección fraudulenta, marcada por el servicio de seguridad HashDit como Fake_Phishing3746335, aprovechó el acceso previamente obtenido y transfirió el NFT con la inversión de la víctima a su propia billetera. La víctima no firmó nada en ese momento; la comisión por la transferencia fue pagada por el atacante. Esta es la esencia del "drenador": el acceso se obtiene de antemano, y la transferencia de activos ocurre sin la participación del propietario.
Del NFT se extrajeron aproximadamente 3935 USDC y 116 WHYPE (un total de ~$12,100). Luego, utilizando el servicio legítimo de puentes entre cadenas LI.FI, el estafador convirtió todo a HYPE y transfirió alrededor de $12,300 de la red HyperEVM a Ethereum. Es importante destacar que se utilizó una herramienta común y legítima, no software de hackers, para ocultar el rastro. Esto complica el seguimiento y crea la falsa impresión de que el propio exchange o servicio tiene la culpa.
Reacción del proyecto y problema sistémico
Al descubrir la pérdida, la víctima intentó contactar al equipo de HyperSwap y Hyperliquid para bloquear el enlace fraudulento, que había estado activo desde el 26 de junio. Sin embargo, no hubo respuesta. El único canal de comunicación activo con HyperSwap, Discord, resultó no funcional. Los intentos de informar del problema al equipo de Hyperliquid tampoco tuvieron éxito. Esto plantea preguntas justificadas sobre el nivel de soporte al usuario y la seguridad del ecosistema en general.
Conclusión experta
Este incidente no es un caso aislado, sino un esquema bien establecido y sistematizado. La dirección fraudulenta estuvo activa durante aproximadamente un mes y está vinculada a unas 25 billeteras diferentes, lo que indica una naturaleza sistémica, no aleatoria, de los ataques. El problema aquí no radica en una vulnerabilidad de los contratos inteligentes de Hyperliquid o HyperSwap, sino en el "factor humano" y en la respuesta insuficientemente rápida de los proyectos a las amenazas. Los usuarios deben reconsiderar radicalmente sus hábitos: acceder a los exchanges solo a través de enlaces directos de fuentes oficiales, verificar los nombres de las cuentas letra por letra y nunca firmar transacciones cuyo significado no comprendan completamente. La revisión y revocación periódica de los permisos otorgados para gestionar activos debe convertirse en un procedimiento obligatorio para todos los que trabajan con DeFi.