Ataque de phishing a Hyperliquid: cómo los estafadores robaron $12,000 a través de una cuenta falsa
El ecosistema de Hyperliquid, a pesar de su atractivo tecnológico, sigue mostrando vulnerabilidades en la seguridad de los usuarios. Un incidente reciente, en el que una víctima perdió alrededor de $12,000 en el exchange descentralizado HyperSwap (que opera en la capa HyperEVM), revela un esquema de phishing clásico pero no por ello menos peligroso. Los estafadores actúan con descaro y calculadamente, utilizando ingeniería social y falta de atención.
Esquema de ataque: suplantación de cuenta y sitio clonado
Todo comenzó cuando un usuario, que mantenía activos en un pool de liquidez de HyperSwap, vio en la red social X (antes Twitter) una publicación supuestamente de la cuenta oficial del exchange. La publicación ofrecía un airdrop — distribución gratuita de tokens. Al hacer clic en el enlace, la víctima llegó a un sitio web visualmente indistinguible del HyperSwap real. Sin embargo, era un clon de phishing.
Punto clave: la publicación no la hizo la cuenta oficial, sino un suplantador. La diferencia en la escritura del nombre era de solo un par de letras, fácil de pasar por alto al revisar rápidamente el feed. Los estafadores crearon una copia convincente tanto de la cuenta de redes sociales como del propio sitio web del exchange.
Momento del robo: "aprobación" sin conocimiento del propietario
En el sitio falso, el usuario conectó su billetera y, creyendo que solo verificaba su derecho a recibir tokens gratuitos, confirmó una transacción. En realidad, con esta acción otorgó al estafador un permiso (approval) para gestionar su inversión en el pool de liquidez. Externamente, la operación no se diferenciaba de las acciones habituales en servicios legítimos, por lo que el engaño pasó desapercibido.
El robo en sí tomó menos de dos minutos. Entre las 20:21 y las 20:23 UTC del 29 de junio de 2026, la dirección fraudulenta (marcada por el explorador hyperevmscan como Fake_Phishing3746335) utilizó el acceso obtenido y transfirió el NFT que confirmaba el derecho a la participación en el pool a su propia billetera. Importante: esta operación fue iniciada y pagada por el propio atacante — la víctima no firmó nada en ese momento. En esto consiste la esencia del drenador: el acceso se obtiene de antemano, y el retiro de fondos ocurre después, sin la participación del propietario.
Luego, el estafador retiró todos los fondos del NFT robado: alrededor de 3935 USDC y 116 WHYPE, que sumaron aproximadamente $12,100. Después, utilizando el servicio legítimo de puentes entre cadenas LI.FI, convirtió todo en HYPE y transfirió alrededor de $12,300 desde la red HyperEVM a la red Ethereum.
Reacción del proyecto y lecciones para la comunidad
Al descubrir la pérdida, la víctima intentó contactar al equipo de Hyperliquid para que ayudaran a eliminar el enlace al recurso de phishing que seguía apareciendo en los comentarios. Sin embargo, según sus palabras, no hubo respuesta. El único canal de comunicación activo con HyperSwap era Discord, que en el momento del contacto resultó estar inoperativo. Los intentos de contactar al equipo a través de otros canales tampoco tuvieron éxito.
Este caso es un claro ejemplo de que la seguridad en DeFi comienza con la vigilancia del propio usuario. Los estafadores explotan la confianza en las marcas y la falta de atención humana. Mi recomendación: verifique siempre las direcciones de los sitios web y los nombres de las cuenta carácter por carácter, nunca haga clic en enlaces a exchanges desde publicaciones en redes sociales, e introduzca las URL manualmente. Y lo más importante: nunca firme transacciones cuyo significado no comprenda completamente, especialmente aquellas relacionadas con la concesión de permisos para gestionar sus tokens. La revisión y revocación periódica de los permisos otorgados a través de servicios especializados es un procedimiento obligatorio para cualquiera que trabaje con protocolos DeFi.