Le vol HyperSwap a montré une fois de plus pourquoi la sécurité Hyperliquide reste un sujet sensible pour les utilisateurs de l'écosystème : un clic sur un lien de phishing dans X a entraîné une perte d'environ 12 000 $, et le retrait effectif des actifs a pris moins de deux minutes.
BeInCrypto a été contacté par un investisseur qui détenait des fonds sur l'échange décentralisé HyperSwap sur le réseau HyperEVM. Selon lui, il a suivi un lien du réseau social X, a connecté son portefeuille au site avec la promesse d'un airdrop, et a finalement donné aux escrocs l'accès à sa position.
Selon un observateur de Blockchain, le stratagème ressemblait à une fuite classique : d'abord, l'autorisation de l'utilisateur était trompée, puis l'attaquant lui-même lançait des transactions et emportait les actifs sans nouvelle confirmation du propriétaire du portefeuille.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Comment l'utilisateur est arrivé au site de phishing
La victime a placé des actifs sur HyperSwap. Sur ce site, l'utilisateur apporte des pièces au pool de liquidité général et perçoit des revenus, et sa part est confirmée par un NFT avec un numéro unique. Pour le propriétaire, un tel NFT n’était pas seulement un jeton, mais un actif qui donnait droit aux fonds investis.
Dans X, il a vu une publication avec un lien vers une page où il était censé être possible de vérifier le droit aux pièces gratuites. Le site s'est avéré être un faux et derrière le formulaire de connexion au portefeuille se trouvait un draineur – un outil qui aide les fraudeurs à retirer des fonds après avoir reçu les autorisations nécessaires.
HyperSwap fonctionne sur la blockchain Hyperliquid, ou plus précisément sur sa couche HyperEVM. Cependant, HyperSwap a une équipe distincte : Hyperliquid ne contrôle pas directement cet échange, tout comme Ethereum ne contrôle pas les applications qui s'exécutent sur son réseau, comme Uniswap.
Le compte en double ressemblait presque à un vrai
Le truc clé était la substitution. Le lien n’a pas été posté par le compte officiel HyperSwap, mais par une fausse page portant un nom très similaire. La différence était limitée à quelques caractères, il était donc facile de la manquer lors d'une analyse rapide de la bande.
Les fraudeurs comptent souvent exactement sur ce scénario : un compte en double et un site cloné semblent assez convaincants, et une signature inattentive dans un portefeuille peut coûter tous ses fonds à l'utilisateur.
Sur le faux site Internet, la victime a connecté un portefeuille et a confirmé la transaction, pensant qu'elle vérifiait la participation au largage. En pratique, cette action donnait à l'attaquant le droit de disposer de son investissement. Extérieurement, ces demandes peuvent ressembler à des transactions ordinaires sur des services légitimes, de sorte que le piège ne devient souvent évident qu'après la radiation.
Il est important de ne pas confondre cet épisode avec les mécanismes de marché : il n'était pas lié à la liquidité du marché, à l'Oracle, à la régulation ou à la liquidation. Il s'agit d'un risque personnalisé et d'une vulnérabilité typique (sécurité informatique), lorsque le propriétaire du portefeuille lui-même, ne comprenant pas les conséquences, délivre une autorisation dangereuse.
Le vol a duré moins de deux minutes
La phase active de l'attaque a eu lieu le 29 juin 2026 entre 20h21 et 20h23 UTC. Le navigateur hyperevmscan a marqué l'adresse de l'attaquant comme Fake_Phishing3746335 sur la base d'un signal du service de sécurité HashDit.
Premièrement, cette adresse a utilisé l'accès précédemment obtenu et a transféré le NFT avec la position de l'utilisateur vers son portefeuille. Un détail important : la transaction a été initiée par le fraudeur lui-même et il a également payé la commission. Au moment du vol, la victime ne signait plus rien.
Après cela, l'attaquant a retiré les pièces investies du NFT : environ 3935 USDC et 116 WHYPE. La perte totale s'élève à environ 12 100 $. Ensuite, grâce à un service légal d’échange et de transfert, les fonds volés ont été collectés dans HYPE, après quoi environ 12 300 $ ont été envoyés d’HyperEVM vers le réseau Ethereum.
Comment l'attaquant a couvert ses traces
Dans Ethereum, l’argent est arrivé à l’adresse créée peu de temps avant le transfert. Il n'a été utilisé qu'une seule fois : il a reçu des fonds, les a envoyés presque immédiatement en une seule transaction et est resté presque vide. Un tel portefeuille de transit à usage unique se trouve souvent dans les chaînes de retrait d'actifs volés.
Une confusion supplémentaire est créée par le fait que l'escroc n'a pas utilisé d'outil manifestement criminel. Pour transférer des fonds, il a utilisé un service de transfert légal régulier sur Internet. Pour cette raison, la victime peut penser que le problème vient du service ou de l'échange, même si le vol lui-même a commencé avec un permis de phishing.
Selon l'observateur, l'adresse frauduleuse était active depuis environ un mois et était associée à environ 25 portefeuilles différents. Cela ressemble plus à une tendance établie qu’à un incident isolé.
La victime a tenté de prévenir les équipes du projet
Après la disparition des fonds, l’utilisateur a tenté de supprimer le lien dangereux. Selon lui, le lien vers la ressource de phishing restait dans les messages.
La victime affirme avoir tenté de diverses manières d’avertir l’équipe d’Hyperliquid de l’arnaque, mais n’a reçu aucune réponse. L'une des captures d'écran montre comment il contacte le support Hyperliquid via Discord pour lui demander de transmettre des informations sur la menace trouvée, et en réponse, il lui est demandé de contacter HyperSwap lui-même.
Selon l'utilisateur, le seul canal de communication actif avec HyperSwap était Discord, mais au moment de la rédaction, le lien vers celui-ci ne fonctionnait plus. Par conséquent, il a essayé de transmettre le problème à l'équipe de l'écosystème dans laquelle le projet fonctionne, mais cela n'a pas aidé non plus.
La victime a également suggéré que les employés d'HyperSwap pourraient être impliqués dans le vol ou cacher délibérément ce qui se passe. Il n'y a aucune confirmation de cette version dans les données fournies, mais le fait même de l'absence de réponse compréhensible aux plaintes a renforcé ses soupçons.
Comment réduire le risque de phishing dans un portefeuille crypto
- Ouvrez les échanges et les services uniquement aux adresses provenant de sources officielles : ne suivez pas les liens des publications, commentaires et messages personnels sur les réseaux sociaux.
- Vérifiez le nom du compte lettre par lettre : les escrocs créent souvent des copies de pages qui ne diffèrent des vraies que par une ou deux lettres.
- Ne confirmez pas les transactions dans votre portefeuille à moins de les comprendre : soyez particulièrement attentif aux autorisations de gestion des tokens, des NFT et des positions dans les pools.
- Vérifiez régulièrement les autorisations délivrées et révoquez celles qui ne sont pas nécessaires : utilisez des services fiables et saisissez leur adresse manuellement.
- Si vous soupçonnez un piratage ou un phishing, révoquez immédiatement toutes les autorisations et transférez les actifs : il est préférable d'envoyer les fonds restants à une nouvelle adresse.
La conclusion principale est simple : le draineur n’a pas toujours besoin de pirater le protocole. Parfois, il suffit de convaincre l'utilisateur de signer une demande dangereuse, puis de retirer sereinement les actifs sans sa participation.